Hvers vegna OpenVPN-viðskiptablokkarregla nær aldrei FORWARD

Tveir viðskiptavinir á sama OpenVPN-þjóni geta náð hvor til annars þótt þú hafir bætt við DROP-reglu fyrir þeirra sambyggða safn. Reglan situr í FORWARD-keðjunni, umferðin streymir greinilega og teljarinn fyrir þá reglu helst á núlli. Eðlileg ályktun er sú að eldveggurinn sé bilaður. Oftar hefur pakkinn aldrei komist inn í keðjuna.

Það eru tvær leiðir sem jafningjapakki getur farið um OpenVPN-þjón, og þær ráðast af stillingunni, ekki af eldveggnum. Að vita hvaða leið er í notkun segir þér hvort regla hýsilsins sé yfirhöfuð á réttum stað.

Tvær leiðir sem jafningjapakki getur farið

Þegar innri áframsending er óvirk kemur pakki frá viðskiptavini A inn á tunnilviðmótið með áfangastað innan úthlutaðs heimilisfangs viðskiptavinar B. Leiðatöfluþjónsins sendir hann aftur út um sama tunnilviðmót, því þjónninn á leiðina að heimilisfangi B. Þetta er inn-og-út streymi um hýsilinn, og IPv4-áframsendingarleiðin metur það.

Þegar innri áframsending er virk passar þjónsferlið pakkann við tengdan viðskiptavin og skrifar hann aftur beint til þess viðskiptavinar. Pakkinn er meðhöndlaður inni í daemonnum og fer aldrei aftur inn í tunniltækið, svo áframsendingarleið hýsilsins er algjörlega sleppt. Handbók OpenVPN 2.6 lýsir þessari valkosti sem innri áframsendingu frá viðskiptavini til viðskiptavinar, og það er einmitt hvers vegna eldveggsregla hýsilsins getur ekki séð hana.

Þriðja afbrigðið er í uppsetningum sem flytja gagnarásina yfir í kjarnamótul. Ákvörðunin um áframsendingu og dulkóðunin flytjast út úr notendarýminu, og hvort netfilter sér streymið fer eftir því hvernig flutningsleiðin er byggð. Gerðu aldrei ráð fyrir að gömul reglusett hegði sér á þjóni með flutningi eins og á þjóni í notendarýminu. Staðfestu haminn úr stillingunni sem er í gangi, ekki úr útgáfu pakkans.

Þegar teljarinn hreyfist aldrei

Núllteljari þýðir að pakkinn passaði ekki við þá reglu á þeim stað, og ástæðurnar eru nokkrar. Sú fyrsta er hjáleiðin hér að ofan: umferðin náði aldrei keðjunni. Sú önnur er misræmi í viðmóti, stefnu, uppruna eða áfangastað, sem er algengt þegar safninu var endurnúmerað og reglan nefnir enn gamla forskeytið.

Sú þriðja er staðsetning. Regla fyrr í keðjunni getur samþykkt streymið áður en DROP-reglan þín er metin, og regla síðar gæti verið sú sem raunverulega ræður niðurstöðunni. Lestu keðjuna í röð með teljarana sýnilega, og athugaðu svo hvaða regla hækkar þegar þú endurtekur prófið.

Framkvæmdu eina stýrða skipti milli tveggja viðskiptavina sem þú hefur staðfest raunveruleg heimilisföng þeirra út frá eigin stöðu þjónsins, ekki leigu sem þú manst eftir. Ef viðkomandi teljari hreyfist ekki enn, grunaðu leiðina áður en þú endurskrifar samsvörunina. Ef hann hreyfist en tengingin gengur samt, er dropinu ýtt til hliðar síðar og röðin er vandamálið. Það svar ræður því hvort viðgerðin er reglubreyting eða staðfræðibreyting, svo fáðu það áður en þú breytir nokkru.

Að velja mörk sem geta síað

Ef stefnan verður að búa í eldvegg hýsilsins, settu umferðina þar sem eldveggurinn sér hana. Að slökkva á innri áframsendingu er studda leiðin til að láta umferð jafningja fara um tunnilviðmótið og áframsendingarleiðina, á kostnað þess að hver jafningjapakki fer um stakk hýsilsins.

Passeðu svo streymið nákvæmlega. Umferð kemur inn á tunnilviðmótið og fer út um tunnilviðmótið, í báðar stefnur, svo reglur sem taka aðeins tillit til líkamlega viðmótsins munu ekki passa. Reglur sem byggja á heimilisföngum þurfa núverandi safn, og þær verða að taka tillit til bakstefnunnar jafnt sem framstefnunnar.

Margar uppsetningar njóta góðs af að sía á viðskiptavina- eða hópstigi, þar sem auðkennið er þekkt og stefnan fylgir notandanum frekar en heimilisfangi sem breytist við endurtengingu. Það er önnur aðferð en keðja í hýslinum, og ekki ætti að blanda þeim tveimur án skýrrar ástæðu.

Ekki flytja reglusett gamallar staðfræði óbreytt yfir flutning. Heimilisfangasöfn, viðmótsnöfn og áframsendingarhamir hafa öll áhrif á hvort regla passi, og afrituð regla sem virkaði áður er villandi tegund sönnunargagna. Byrjaðu á streyminu sem þú vilt leyfa og skrifaðu regluna sem passar við það.

Að prófa einangrun í stað þess að treysta reglu

Prófaðu bannaða tilfellið og leyfða tilfellið í sama keyrslu. Byrjaðu nýja tengingu frá einum viðskiptavini til hins og staðfestu að hún mistakist, staðfestu svo að tenging sem ætti að vera leyfð virki enn. Ef aðeins hið fyrra er prófað lítur eldveggur sem blokkar allt út eins og árangur.

Endurtaktu eftir að hafa endurhlaðið stillingu þjónsins og eftir að viðskiptavinur tengist aftur, því innri áframsending og úthlutanir safna eru keyrslutímaástand. Athugaðu teljarana í báðar stefnur, því regla sem passar við aðra stefnuna en ekki svarið myndar hluta einangrun sem erfitt er að taka eftir í hröðu prófi.

Einangrun er sú niðurstaða sem sést á þeim mörkum sem raunverulega bera streymið. DROP-regla einhvers staðar í hýslinum er ekki sönnun; mistekin tenging auk hreyfðs teljara á reglunni sem olli henni er sönnun.