firewalld-figyelő szabály kontra továbbítási házirend: melyik mit tesz

A VPN, amely csatlakozik, de semmit sem ér el, általában tűzfalproblémaként írható le, és az a megoldás, amelyhez az emberek nyúlnak, a tunelinterfész megbízható zónába helyezése. Ez működik abban az értelemben, hogy a forgalom elkezd folyni, de jóval többet is beenged, mint a szánt szolgáltatás. A két érintett házirend különbözik: az egyik beengedi a külső átvitelt egy figyelő sockethez, a másik engedélyezi a visszafejtett forgalomnak, hogy elérjen egy adott erőforrást. Az, hogy egyetlen beállításként kezeljük őket, az, ami a szűk engedélyt szélessé teszi. A kettőt különböző helyeken döntik el, ezért olyan könnyű elkövetni a hibát.

Két házirend, egy tunel

A külső házirend egyszerű kérdésre válaszol: elérheti-e egy csomag ebből a forrásból az UDP 1194-et ezen a gazdagépen? A belső házirend egy másikra válaszol: elérheti-e a tunel mögötti hitelesített kliens ezt a célt, ezzel a protokollal, ezen a porton? Az első socketről szól, a második útvonalról, és a firewalld különböző objektumokkal modellezi őket, mert különböző pontokon döntenek róluk. Az egyik egy socket tulajdonsága ezen a gazdagépen, a másik egy rajta átvezető útvonalé.

A gyakorlati következmény az, hogy egy működő tunel semmit sem mond a második házirendről, és egy helyes második házirend nem teszi feleslegessé az elsőt.

Engedje be a tényleges külső figyelőt

Kezdje annak vizsgálatával, ami már hozzá van rendelve, ahelyett hogy feltételezne. Olvassa el az aktív zónákat, listázza azt a zónát, amely valóban hordozza a bejövő forgalmat, és ellenőrizze a telepített szolgáltatásdefiníciót, mert egy szolgáltatásnév portok halmazát írja le, és semmit sem mond arról, hogy a szerver figyelője megfelel-e neki.

firewall-cmd --get-active-zones
firewall-cmd --zone=public --list-all
firewall-cmd --info-service=openvpn

Ha a figyelő valóban UDP 1194 ezen a zónán, nyissa meg pontosan azt a portot és átvitelt, majd a tesztelés után tegye állandóvá ugyanazt a konkrét szabályt. Ellenőrizze a forrásalapú hozzárendeléseket is, mert egy forrástartományhoz kötött zóna még azelőtt elkaphatja a forgalmat, hogy az interfész zóna egyáltalán látná.

Engedélyezze külön a visszafejtett célt

A VPN-kiszolgálón futó szolgáltatáshoz való kapcsolat helyi bemeneti házirend. A LAN másik gazdagépére továbbított kapcsolathoz továbbítási házirend kell, a kernelben engedélyezett továbbítás és egy visszatérési útvonal — három külön követelmény, amelyeket az emberek gyakran egybe vonnak. A modern firewalld házirend-objektumok a bejövő és kimenő zóna közötti irányított forgalmat írják le, és ez a megfelelő hely annak kifejezésére, mely VPN-források érhetnek el mely privát szolgáltatásokat.

Határozza meg kifejezetten az engedélyezett forrásokat, és hagyja, hogy minden más elutasításba essen. A külső szolgáltatásra adott engedély nem ez a házirend, akármilyen is a zónaelrendezés.

Miért rossz rövidítés az interfészben bízni

A tunelinterfész olyan zónába helyezése, amelynek célja mindent elfogad, minden visszafejtett forgalmat beenged a gazdagép által kínált minden szolgáltatáshoz, azokhoz is, amelyeket nem vizsgált át. A megbízható zóna utólagos szigorításra való átirányítása egy futó gépen rosszabb, mert más interfészek és forrástartományok már függhetnek a jelentésétől, és viselkedésük megváltozik, amikor szerkeszti. Ha szűk házirendre van szüksége, hozzon létre egyet; ne használjon újra megosztott zónát.

Tartsa stabilan a tunel zónahozzárendelését azon a komponensen keresztül, amelyik ezt a konfigurációt birtokolja. A hozzárendelés elvesztése újraindításkor olyan hibát okoz, amely tűzfalszabály-problémának látszik, valójában pedig tartóssági probléma.

Ellenőrizzen három dolgot, köztük egy elutasítást

Tesztelje a külső kapcsolatot kívülről, teszteljen egy engedélyezett belső szolgáltatást egy csatlakozott kliensről, és teszteljen egy szolgáltatást, amelynek elérhetetlennek kell maradnia. A harmadik teszt az, amely megkülönbözteti a házirendet egy mellékhatástól, és ezt szokták kihagyni, mert minden működni látszik. Ha az elutasított szolgáltatás válaszol, zónát engedett be, nem szolgáltatást.

Jegyezze fel a zónát, portot, átvitelt és házirend-objektumot a szerver megjegyzéseibe. Különben a következő változtatás ezen a gazdagépen ugyanabból a feltételezésből indul.