firewalld-ի լսողի կանոնը ընդդեմ փոխանցման քաղաքականության. ինչ է անում յուրաքանչյուրը

VPN-ը, որը միանում է, բայց ոչ մի տեղ չի հասնում, սովորաբար նկարագրվում է որպես հրային պատի խնդիր, և լուծումը, որին դիմում են մարդիկ, թունելի ինտերֆեյսը վստահելի գոտի դնելն է։ Դա աշխատում է այն իմաստով, որ երթևեկությունը սկսում է հոսել, բայց նաև թույլ է տալիս շատ ավելին, քան նախատեսված ծառայությունը։ Ներգրավված երկու քաղաքականությունները տարբեր են. մեկը թույլ է տալիս արտաքին տրանսպորտը լսող սոկետին, մյուսը լիազորում է ապակոդավորված երթևեկությանը հասնել կոնկրետ ռեսուրսի։ Դրանք մեկ կարգավորում համարելն է, որ նեղ թույլտվությունը դարձնում է լայն։ Երկուսն էլ որոշվում են տարբեր տեղերում, դրա համար էլ սխալն այդքան հեշտ է։

Երկու քաղաքականություն, մեկ թունել

Արտաքին քաղաքականությունը պատասխանում է պարզ հարցի. կարո՞ղ է այս աղբյուրից փաթեթը հասնել UDP 1194-ին այս հոսթում։ Ներքին քաղաքականությունը պատասխանում է մեկ այլ հարցի. կարո՞ղ է այդ թունելի հետևում գտնվող նույնականացված կլիենտը հասնել այս նպատակակետին, այս արձանագրությամբ, այս պորտում։ Առաջինը սոկետի մասին է, երկրորդը՝ ուղու, և firewalld-ը մոդելավորում է դրանք տարբեր օբյեկտներով, որովհետև դրանք որոշվում են տարբեր կետերում։ Մեկը այս հոսթի սոկետի հատկությունն է, մյուսը՝ դրա միջով անցնող ուղու։

Գործնական հետևանքն այն է, որ աշխատող թունելը ոչինչ չի ասում երկրորդ քաղաքականության մասին, և ճիշտ երկրորդ քաղաքականությունը առաջինին ավելորդ չի դարձնում։

Թույլատրեք իրական արտաքին լսողին

Սկսեք ստուգելով, թե ինչ արդեն հատկացված է, ոչ թե ենթադրելով։ Կարդացեք ակտիվ գոտիները, թվարկեք այն գոտին, որն իսկապես կրում է մուտքային երթևեկությունը, և ստուգեք տեղադրված ծառայության սահմանումը, որովհետև ծառայության անունը նկարագրում է պորտերի հավաքածու և ոչինչ չի ասում այն մասին, թե արդյոք այս սերվերի լսողը համապատասխանում է դրան։

firewall-cmd --get-active-zones
firewall-cmd --zone=public --list-all
firewall-cmd --info-service=openvpn

Եթե լսողն իսկապես UDP 1194 է այդ գոտում, բացեք հենց այդ պորտն ու տրանսպորտը, ապա փորձարկելուց հետո դարձրեք նույն կոնկրետ կանոնը մշտական։ Ստուգեք նաև աղբյուրի վրա հիմնված հատկացումները, որովհետև աղբյուրի միջակայքին կապված գոտին կարող է որսալ երթևեկությունը նախքան ինտերֆեյսի գոտին այն կտեսնի։

Լիազորեք ապակոդավորված նպատակակետը առանձին

VPN սերվերի վրա աշխատող ծառայությանը միացումը տեղական մուտքի քաղաքականություն է։ LAN-ի մեկ այլ հոսթ փոխանցվող միացումը պահանջում է փոխանցման քաղաքականություն, միջուկում միացված փոխանցում և պատասխանի ուղի — դրանք երեք առանձին պահանջներ են, որոնք մարդիկ հաճախ միավորում են մեկի մեջ։ firewalld-ի ժամանակակից քաղաքականության օբյեկտները նկարագրում են ուղղորդված երթևեկությունը մուտքային և ելքային գոտիների միջև, և հենց այնտեղ է ճիշտ տեղը արտահայտելու, թե որ VPN աղբյուրները կարող են հասնել որ մասնավոր ծառայություններին։

Հստակ սահմանեք թույլատրված աղբյուրները և թողեք մնացած ամեն ինչ ընկնի մերժման մեջ։ Արտաքին ծառայության թույլտվությունը այդ քաղաքականությունը չէ, ինչպես էլ գոտիների դասավորությունը թվա։

Ինչու ինտերֆեյսին վստահելը սխալ կարճուղի է

Թունելի ինտերֆեյսը այնպիսի գոտի դնելը, որի նպատակը ամեն ինչ ընդունում է, թույլ է տալիս ամբողջ ապակոդավորված երթևեկությունը դեպի հոսթի բացած յուրաքանչյուր ծառայություն, ներառյալ նրանք, որոնք դուք չեք ստուգել։ Վստահելի գոտին աշխատող մեքենայի վրա սահմանափակող վերաուղղորդելը ավելի վատ է, որովհետև այլ ինտերֆեյսներ և աղբյուրի միջակայքեր կարող են արդեն կախված լինել դրա իմաստից և կփոխեն վարքը, երբ խմբագրեք այն։ Եթե նեղ քաղաքականություն է պետք, ստեղծեք մեկը. մի վերօգտագործեք ընդհանուր գոտի։

Նաև թունելի գոտու հատկացումը պահեք կայուն այն բաղադրիչի միջոցով, որը տիրապետում է այդ կարգավորմանը։ Վերագործարկման ժամանակ հատկացումը կորցնելը ստեղծում է խափանում, որը թվում է հրային պատի կանոնի խնդիր և իրականում կայունության խնդիր է։

Ստուգեք երեք բան, ներառյալ մեկ մերժում

Փորձարկեք արտաքին միացումը դրսից, փորձարկեք մեկ լիազորված ներքին ծառայություն միացված կլիենտից և փորձարկեք մի ծառայություն, որը պետք է մնա անհասանելի։ Երրորդ փորձարկումն է, որ տարբերում է քաղաքականությունը կողմնակի ազդեցությունից, և հենց այն են մարդիկ բաց թողնում, որովհետև ամեն ինչ աշխատում է թվում։ Եթե մերժված ծառայությունը պատասխանում է, դուք թույլատրել եք գոտի, ոչ թե ծառայություն։

Գրանցեք գոտին, պորտը, տրանսպորտը և քաղաքականության օբյեկտը սերվերի նշումներում։ Հակառակ դեպքում այս հոսթի հաջորդ փոփոխությունը կսկսվի նույն ենթադրությունից։