Leyfa einum OpenVPN-biðlara að SSH-a á annan án þess að opna laugina

Einn biðlari þarf að ná í SSH-þjónustu annars biðlara, og afgangur laugarinnar á að vera jafn einangraður og nú er. Hið freistandi rofi er client-to-client, sem kveikir á aðgangi milli jafningja fyrir alla í einu og felur ákvörðunina OpenVPN í stað kjarnans. Þrengra svar heldur þeim rofa slökktum og lætur beiningu og eldvegg þjónsins bera nákvæmlega eina strauma.

Fyrirkomulagið skiptir meira máli en texti reglunnar, því aðferðirnar tvær setja pakkann á ólíka staði. Að vita hvora þú valdir útskýrir bæði regluna sem virðist gera ekkert og jafningjann sem tengist án hennar.

Hvert client-to-client færir pakkann

Með client-to-client virkt sendir þjónninn pakka jafningja áfram innanhúss í stað þess að senda hann út aftur um tunntækið, svo pakkinn nær aldrei sendingarleið kjarnans. Það er þægilegt og þýðir líka að eldveggurinn þinn sér aldrei strauminn sem hann á að hafa eftirlit með. Láttu valkostinn vera slökktan og þjónninn beinir pakkanum út aftur um sama viðmót, sem setur hann fyrir framan netfilter. Sama viðmót inn, sama viðmót út, og FORWARD-keðjan hefur atkvæðið.

Skiptin eru skýr: þú vinnur þér stefnupunkt og tekur við beiningar- og sendingarvinnunni sem styttist leiðin gerði fyrir þig. Sú vinna er lítil fyrir eina strauma og stækkar með hverri undantekningu sem þú bætir við. Teldu undantekningarnar núna, því reglusettið er þar sem stefnan gagnvart jafningjum býr í raun.

Leiðin sem pakki jafningja fer í raun

Gerðu ráð fyrir Linux Community OpenVPN 2.6 þjónustu, TUN-vinnslu í notendarými í stað DCO, undirnets-topológíu, tun0 og laug 10.44.0.0/24 með biðlara A á 10.44.0.21 og biðlara B á 10.44.0.37. Með undirnets-topológíu ná póstfangið og netgríman sem A fékk þegar yfir laugina, svo A sendir pakkann á tunntækið án þess að þurfa auka ýtta beiningu. Athugaðu virku beininguna á A í stað þess að gera ráð fyrir einni.

Á þjóninum berst pakkinn stílaður á B, sem er ekki staðbundið póstfang, svo honum er sent áfram. Kveikja verður á IPv4 sendingu til að það gerist yfirhöfuð, og beiningarleitin verður að senda pakkann út aftur um tun0. Eldveggurinn sér því sendingarstrauma með sama viðmóti á báðum hliðum, og það er smáatriðið sem flest reglusett missa af. Hér þarf enga þýðingu uppruna, og það að halda póstfangi A óbreyttu er það sem gerir B kleift að beita eigin reglu byggðri á uppruna.

Tvær reglur á þjóninum, í þessari röð

Þrjár reglur bera alla heimildina: sending, undantekning paranna og sjálfgefið frávarp fyrir tunnpar. Samþykktarreglan nefnir parið og þjónustuna, svo heimildin lifir af laug sem stækkar. Settu hana fyrir framan hverja almennu synjun á umferð tunnils-til-tunnils, því fyrsta samsvörunin vinnur:

sysctl -w net.ipv4.ip_forward=1
iptables -A FORWARD -i tun0 -o tun0 -s 10.44.0.21 -d 10.44.0.37 -p tcp --dport 22 -j ACCEPT
iptables -A FORWARD -i tun0 -o tun0 -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
iptables -A FORWARD -i tun0 -o tun0 -j DROP

Þessar skipanir eru til skýringar og eiga heima í því fyrirkomulagi sem hýsillinn þinn notar til að varðveita reglur; innsetning á keyrslutíma hverfur við næstu ræsingu. Það er reglan með stöðuna sem lætur svör B og TCP-handabandið koma til baka án annarrar, speglaðrar samþykktar.

Athugaðu teljarana eftir á frekar en reglulistann, því regla sem passar aldrei út lítur nákvæmlega eins út og sú sem virkar. Ef teljararnir standa í núlli fer pakkinn ekki þá leið sem þú heldur.

Hvað B verður samt að leyfa

B keyrir SSH-þjónustuna, svo B ákveður hvort eitthvað hlustar á tunnpóstfangið og hvort eigin hýsil-eldveggur samþykkir upprunann. Netheimild á þjóninum er ekki leyfi fyrir neinn reikning á B, og hýsillyklastaðfesting og notendaaðkenning gilda áfram eins og hvaðan sem er annars staðar.

Prófaðu jákvæða tilfellið fyrst: nýja SSH-tengingu frá A á tunnpóstfang B, samþykkta með væntanlegum hýsillykli. Prófaðu svo annan jafningja eða annað port og staðfestu að því sé hafnað, því heimild sem leyfir hljóðlega allt er ógreinanleg frá þeirri sem virkar þar til hún skiptir máli. Báðir helmingar þeirrar prófunar eru nauðsynlegir, og sá síðari er sá sem fólk sleppir.

Skráðu úthlutuð póstföng, virkar beiningar á báðum biðlurum og nákvæmu reglurnar á þjóninum og á B. Árangursríkt ping á gáttina eða opið port á þjóninum sannar ekkert af þessu, því bæði geta verið sönn á meðan sending milli jafningja er enn blokkuð. Skrifaðu þessar tölur niður á meðan tunnillinn er uppi, því póstfangið sem biðlari fær eftir endurtengingu getur verið annað.