Hlustunarregla firewalld gegn framsendingarstefnu: hvað hvor gerir

VPN sem tengist en nær engu er venjulega lýst sem eldveggsvandamáli, og lausnin sem fólk grípur til er að setja tunnelviðmótið í traustsvæði. Það virkar í þeim skilningi að umferð byrjar að streyma, en það hleypir líka miklu meira inn en tilætluð þjónusta. Stefnumörkin tvö sem hlut eiga að máli eru ólík: önnur hleypir ytri flutningnum að hlustandi sæti, hin heimilar afkóðaðri umferð að ná tiltekinni auðlind. Að meðhöndla þau sem eina stillingu er það sem breytir þröngu leyfi í breitt. Þau eru ákveðin á ólíkum stöðum, þess vegna er mistakið svo auðvelt.

Tvær stefnur, einn tunnel

Ytri stefnan svarar einfaldri spurningu: má pakki frá þessari upptök ná UDP 1194 á þessum hýsli? Innri stefnan svarar annarri: má sannvottaði biðlarinn bak við þennan tunnel ná þessum áfangastað, með þessari siðareglu, á þessari porti? Sú fyrri snýst um sæti, sú seinni um slóð, og firewalld módelar þau með ólíkum hlutum því ákveðið er um þau á ólíkum stöðum. Annað er eiginleiki sætis á þessum hýsli, hitt eiginleiki slóðar í gegnum hann.

Hagnýt afleiðing er sú að virkur tunnel segir ekkert um seinni stefnuna, og rétt seinni stefna gerir þá fyrstu ekki óþarfa.

Hleypið raunverulega ytri hlustandanum inn

Byrjið á að skoða það sem þegar er úthlutað í stað þess að gera ráð fyrir því. Lestu virku svæðin, listið svæðið sem raunverulega ber inntaksumferð og athugaðu uppsetta þjónustuskilgreiningu, því þjónustuheiti lýsir mengi porta og segir ekkert um hvort hlustandi þessa þjóns passi við hana.

firewall-cmd --get-active-zones
firewall-cmd --zone=public --list-all
firewall-cmd --info-service=openvpn

Ef hlustandinn er raunverulega UDP 1194 á því svæði, opnaðu nákvæmlega þá port og flutning og gerðu svo sömu tilteknu regluna varanlega eftir að hafa prófað hana. Athugaðu líka úthlutanir byggðar á upptök, því svæði sem er bundið upptökusviði getur gripið umferðina áður en viðmótssvæðið sér hana.

Heimilaðu afkóðaða áfangastaðinn sérstaklega

Tenging við þjónustu sem keyrir á VPN-þjóninum sjálfum er staðbundin inntaksstefna. Tenging sem er framsend á annan hýsil í LAN þarf framsendingarstefnu, framsendingu virkjaða í kjarnanum og svarleið — þrjár aðskildar kröfur sem fólk sameinar oft í eina. Nútíma stefnuhlutir firewalld lýsa stýrðri umferð milli inntakssvæðis og úttakssvæðis, og þar er rétti staðurinn til að tjá hvaða VPN-upptök mega ná hvaða einkaaðþjónustum.

Skilgreindu leyfðu upptökin skýrt og leyfðu öllu öðru að falla í synjun. Leyfi fyrir ytri þjónustuna er ekki sú stefna, hvernig svæðauppsetningin en lítur út.

Hvers vegna traust á viðmótinu er ranga flýtileiðin

Að setja tunnelviðmótið í svæði þar sem markið samþykkir allt hleypir allri afkóðaðri umferð til hverrar þjónustu sem hýsillinn býður, þar á meðal þeirra sem þú hefur ekki farið yfir. Að beina traustsvæðinu aftur til að vera takmarkandi á keyrandi vél er verra, því önnur viðmót og upptökusvið kunna þegar að ráðast af merkingu þess og munu breyta hegðun þegar þú breytir því. Ef þú þarft þrönga stefnu skaltu búa til eina; endurnýttu ekki sameiginlegt svæði.

Haltu líka svæðisúthlutun tunnelsins stöðugri í gegnum hvaða einingu sem á þá stillingu. Tap á úthlutun við endurræsingu veldur bilun sem lítur út eins og vandamál í eldveggjarreglu og er í raun varanleikavandamál.

Staðfestu þrjá hluti, þar á meðal eina synjun

Prófaðu ytri tenginguna að utan, prófaðu eina heimilaða innri þjónustu frá tengdum biðlara og prófaðu eina þjónustu sem ætti að vera óaðgengileg. Þriðja prófið er það sem greinir stefnu frá aukaverkun, og það er það sem fólk sleppir því allt virðist ganga. Ef synjaða þjónustan svarar hefur þú hleypt inn svæði en ekki þjónustu.

Skráðu svæðið, portið, flutninginn og stefnuhlutinn í minnisblöð þjónsins. Annars byrjar næsta breyting á þessum hýsli á sömu forsendu.