Shorewall-ի գոտիները OpenVPN-ի երկու փաթեթային ուղիների համար
Առանձնացրեք գաղտնագրված OpenVPN-ի տրանսպորտը վերծանված հաճախորդային երթևեկությունից, տվեք թունելին իր գոտին և թույլատրեք միայն այն մի ծառայությունը, որն անհրաժեշտ է հաճախորդին։
Երկու փաթեթային հոսքեր անցնում են Shorewall դարպասով, որը վերջացնում է OpenVPN-ը, և դրանցից միայն մեկն է գաղտնագրված։ Առաջինը հաճախորդի տրանսպորտն է դեպի ինտերնետին նայող ինտերֆեյսի VPN լսորդը։ Երկրորդը վերծանված հարցումն է, որը դուրս է գալիս թունելի ինտերֆեյսից դեպի գրասենյակային սերվեր կամ դարպասի ծառայություն։ Քարտեզագրեք երկուսն էլ նախքան քաղաքականությունը խմբագրելը, քանի որ առաջինին բավարարող կանոնը ոչինչ չի անում երկրորդի համար։
Նկարեք երկու հոսքերը նախքան քաղաքականությունը խմբագրելը
Գրեք հոսքերը որպես տողեր՝ աղբյուր, նպատակակետ, արձանագրություն և պորտ։ Արտաքին ուղու վրա աղբյուրը հաճախորդի հանրային հասցեն է, իսկ նպատակակետը՝ դարպասի լսող պորտը, Shorewall-ը դա դիտարկում է որպես ինտերնետից դեպի հրապարակարգիչ երթևեկություն։ Ներքին ուղու վրա աղբյուրը թունելի հասցեների տիրույթն է, իսկ նպատակակետը՝ հաստատված ծառայությունը։ Երկու տողերն ունեն տարբեր սեփականատերեր, նույնիսկ երբ մեկ ադմինիստրատոր սպասարկում է երկուսին։
| Flow | Zone relationship | What to constrain |
|---|---|---|
| Encrypted OpenVPN transport | Internet to the firewall host | The listener's actual protocol and port |
| Decrypted request to a LAN service | VPN clients to the LAN zone | One approved server and service |
| Decrypted request to the gateway | VPN clients to the firewall host | Only the local services required |
| Request to another VPN client | VPN clients to VPN clients | Denied unless deliberately required |
Ավելացրեք տող միայն այն դեպքում, երբ հարցումը ավարտվում է հենց դարպասի վրա, օրինակ՝ լուծիչի կամ կառավարման հասանելիությունը։ Հոսթի վրա գտնվող ծառայությունը հետևում է հոսթի մուտքային քաղաքականությանը, ոչ թե փոխանցված ուղուն։ Այս երկուսի խառնումն է, որ ի վերջո նեղ թունելային կանոնը բացահայտում է կառավարման ինտերֆեյս։
Նշանակեք թունելի գոտին և ինտերֆեյսի շրջանակը
Ճանապարհորդի գոտին հռչակվում է /etc/shorewall/zones-ում, թունելի ինտերֆեյսը կցվում է /etc/shorewall/interfaces-ում, իսկ արտաքին կապը նկարագրվում է /etc/shorewall/tunnels-ում։ Համապատասխանեցրեք տեղադրված թողարկման շարահյուսությանը, քանի որ սյունակների հերթականությունը և ընտրանքների անունները փոխվել են հիմնական տարբերակների միջև։ Ուղեցույցի օրինակային պորտը պատճառ չէ թույլատրելու այլ պորտ, քան այն, որի վրա դեմոնն իրականում լսում է։ TCP-ն և UDP-ն փոխարինելի չեն միայն այն պատճառով, որ թվերը համընկնում են։
Ուղեցույցը ինտերֆեյսները խմբավորում է tun+-ով։ Մեկից ավելի թունել ունեցող հոսթի վրա այդ նիշը կարող է տեղադրել այլ վստահության մակարդակի երկրորդ VPN նույն գոտում։ Վերանայեք շրջանակը իրականում գոյություն ունեցող ինտերֆեյսների նկատմամբ և անվանումը պահեք կապերի կառավարչի կյանքի ցիկլի ներքո՝ ինտերֆեյսների անունները ձեռքով խմբագրելու փոխարեն։
Պատմական ուղեցույցը պարունակում է շատ ավելի հին OpenVPN կարգավորման օրինակներ, և դրա գաղտնագրման խորհուրդները չպետք է պատճենվեն ընթացիկ տեղակայման մեջ։ Փոխարենը վերցրեք գոտու և հոսքի մոդելը։ Գաղտնագրային հիմքը վերցրեք դարպասի պահպանվող OpenVPN քաղաքականությունից։
Թույլատրեք միայն այն ուղին, որը դասակարգել եք
VPN գոտուց դեպի LAN լայն ընդունումը սկզբնական սխեմա է, ոչ ավարտված քաղաքականություն։ Գրեք թույլատրված հաճախորդի աղբյուրը, ծառայության իրական հասցեն, արձանագրությունը և պորտը։ Այնուհետև կարդացեք վերևի կանոնները և գոտու լռելյայնը, քանի որ նեղ հավելումը չի չեղարկում արդեն համապատասխանող լայն թույլտվությունը։ Դարպասի հոսթին ուղղված երթևեկությունը առանձին հարաբերություն է դրա միջով փոխանցվող երթևեկությունից։
Հաճախորդից հաճախորդ երթևեկությունը պահանջում է իր որոշումը։ OpenVPN-ի client-to-client-ը և Shorewall-ի routeback-ը երկուսն էլ ազդում են, թե արդյոք հաճախորդները կարող են հասնել միմյանց, և ոչ մեկը չպետք է միացվի միայն մեկ LAN հավելված աշխատեցնելու համար։ Որոշեք, թե որտեղ է կիրառվում մեկուսացումը, նախքան այն փորձարկելը։
Պատասխանի ուղին պահեք նույն պլանում։ Ծառայությունը կամ դրա երթուղիչը պետք է իմանա, թե ինչպես վերադարձնել երթևեկությունը թունելի տիրույթ, կամ նախագծումը պետք է դիտավորյալ և նախատեսված շրջանակում թարգմանի աղբյուրը։
Ստուգեք, ապա ապացուցեք երկու ուղիները
Ստուգեք կարգավորումը նախքան որևէ բան վերագործարկելը և բաց պահեք անկախ ադմինիստրատիվ նստաշրջան, եթե նոր քաղաքականությունը սխալ է։
shorewall checkՄաքուր ստուգումից հետո կիրառեք կարգավորումը և կրկին կարդացեք, թե ինչ բեռնեց Shorewall-ը։ Այս ընթերցումները նկարագրում են աշխատող քաղաքականությունը, ոչ թե այն, ինչ ֆայլը կարծես ասում է։
shorewall show zones
ip route get 192.168.10.20Փորձարկեք մեկ նոր թույլատրված հարցում և մեկ դիտավորյալ մերժված հարցում նույն հաճախորդից։ Հաջող OpenVPN ձեռքսեղմումը ապացուցում է միայն արտաքին փոխանակումը, իսկ թույլատրված ծառայությունը և մերժված ռեսուրսը ապացուցում են ձեր նպատակային ներքին քաղաքականությունը։ Այնուհետև նորից միացրեք հաճախորդին և կրկնեք, քանի որ թունելի ինտերֆեյսի անունը և հասցեն կարող են փոխվել նստաշրջանների միջև։ Եթե արդյունքը տարբեր է, ուղղեք գոտու շրջանակը՝ կանոնը լայնացնելու փոխարեն։