OpenWrt VPN-svæði, framsending og dulbúningur heimilisfanga: hvað þarf?

Þrjár breytingar blandast saman í hvert sinn sem VPN mætir OpenWrt: að opna port, að leyfa framsendingu og að kveikja á dulbúningi heimilisfanga. Þær svara mismunandi spurningum, og yfirleitt er aðeins ein þeirra raunverulega krafan. Að lesa hverja stjórn út frá hlutverki umferðarinnar sem hún stýrir breytir ágiskun í ákvörðun, og segir líka hvaða einkenni má búast við þegar breytingin er röng. Byrjið á að nefna hlutverkið sem brást, ekki gátreitinn sem þið munið.

Nefnið hlutverk umferðarinnar áður en þið snertið stjórn

Inntak svæðis ræður því hvað getur náð til sjálfs beinisins. Úttak svæðis nær yfir umferð sem beinið skapar sjálft, framsending svæðis er sjálfgefið gildi fyrir umferð sem fer í gegnum svæði, og dulbúningur heimilisfanga ræður því hvort upprunaaðsetrið er endurskrifað á leið út. Þetta eru fjórar mismunandi spurningar, og stefna svæðis svarar þeim öllum í einu með sama gildi, þess vegna er breyting á öllu svæðinu gróft tæki. Nafngreind regla getur svarað einni þeirra án þess að snerta hinar.

Gagnlegi kortið er eftir hlutverki umferðar, því það er það sem þið getið fylgst með þegar eitthvað bregst. Hvert hlutverk hér að neðan hefur eina stjórn sem ræður því og eitt einkenni sem bendir á það:

Hlustandi á beininu þarf eina þrönga inntaksreglu

OpenVPN-þjónn á beininu tekur við umferð sem er beint að beininu, svo ytri tenging hans fer eftir inntaksstefnu svæðisins sem ber hana. Leyfið stilltu flutninginn og portið og látið allt annað á því svæði vera hafnað. Ein portregla er miklu minni breyting en leyfi á öllu svæðinu, og það er sú sem þið getið enn útskýrt eftir ár.

Tvennt gerir þá reglu örugga að halda: hún nefnir portið sem þjónustan notar í raun, og hún stendur við hlið svæðisskilgreiningarinnar svo næsta manneskja sjái hvers vegna hún er til. Línurnar hér að neðan eru formið, þar sem portið stendur fyrir það sem er stillt á þjóninum. Skiptið um það port á báðum stöðum þegar þjónustan flyst, því regla sem verður eftir á því gamla er ósýnileg þar til endurskoðun fer fram.

config zone
    option name 'wan'
    option input 'REJECT'
    option forward 'REJECT'
    option output 'ACCEPT'
    option masq '1'

config rule
    option name 'allow-openvpn'
    option src 'wan'
    option proto 'udp'
    option dest_port '1194'
    option target 'ACCEPT'

Staðfestið fyrir endurhleðslu, því setningarvilla í eldveggjarskrá geti skilið beinið eftir án vinnandi reglusetts. Í útgáfu sem notar fw4 er athugunin sérstök skipun, og hún bregst hávært í stað þess að samþykkja brotinn blokk hljóðlega. Hleðjið aðeins aftur eftir að athugunin heppnast, og geymið fyrri skrána þar sem þið getið sett hana aftur.

fw4 check
service firewall reload

Beiðni biðils fer um framsendingu, ekki inntak

Eftir auðkenningu myndar beiðni göngubiðils um LAN-þjónustu framsenda strauminn, svo stjórnin sem ræður því er framsendingarsambandið milli göngusvæðisins og LAN-svæðisins. Úthlutið gönguviðmótinu til tilætlaðs svæðis, og lýsið síðan stefnunni, upprununum og þjónustunni. Svæðisúthlutunin er það sem gefur framsendingarreglunni merkingu, og bæði eru aðeins skiljanleg lesin saman. Framsendingarsamband sem nefnir göngusvæðið sem uppruna og LAN-svæðið sem áfangastað er lesið sem ein ákveðin ákvörðun, á meðan tvö leyfi á öllu svæðinu eru lesin sem slys.

Að ná til sjálfs beinisins notar enn inntaksleiðina, þess vegna segir ping á gáttina ekkert um skráardeilingu bak við hana. Þessi tvö mistök lifa í mismunandi blokkum og eru löguð með mismunandi breytingum. Skrifið báðar leiðirnar sér, áður en þið breytið annarri hvorri.

Dulbúningur heimilisfanga er leiðarákvörðun, ekki leyfi

Dulbúningur heimilisfanga endurskrifar upprunaaðsetur valinnar útleiðandi umferðar. Hann getur bjargað útleiðarhönnun þar sem fjarlæga hliðin hefur enga endurkomuleið, og hann felur einnig aðsetur einstakra biðla fyrir hverri þjónustu sem skráir eða heimilar eftir aðsetri. Að slökkva á honum er leiðarval um endurkomuleiðina, ekki öryggisrofi sem lokar inntaksholu. Göng sem virka með þýðingu á og bregðast á þeirri stundu sem slökkt er á henni vantar yfirleitt endurkomuleið, ekki eldveggjareglu.

Leiðaður valkostur þarf endurkomuleið á fjarlægu hliðinni í stað þýðingar. Hvorugur valkosturinn veitir eldveggjarleyfið eða forritareikninginn, þess vegna lagar að slökkva á dulbúningi næstum aldrei göngubiðil sem kemst hvergi. Meðhöndlið stefnu IPv4 og IPv6 einnig sér, því ein þýðingarstilling lýsir ekki báðum fjölskyldum.

Sannið ákvörðunina með leyfðri og hafnaðri beiðni

Sendið eina beiðni sem ætti að vera leyfð og eina sem ætti að vera hafnað, og greinið síðan stjórnina sem tók hverja ákvörðun. Síða sem hleðst fyrir tilviljun er ekki sönnun; sönnunin er reglan sem passaði, í keðjunni þar sem hún passaði. Höfnunin skiptir jafn miklu máli og árangurinn, því hún sýnir að stefnan gerir eitthvað í stað þess að allt sé leyft.

Tvær skipanir gefa ykkur þá sönnun á núverandi útgáfu. Teljarinn á samsvarandi reglu hreyfist þegar beiðnin er samþykkt, og annálin sýnir sleppinguna ef þið kveiktuðu á skráningu fyrir regluna:

nft list chain inet fw4 forward_wan
logread -f | grep -i -E 'DROP|REJECT'

Haldið stjórnunarleið sem þið getið enn notað áður en þið breytið hvaða eldveggjastefnu sem er, og fylgið staðfestingar- og afturköllunarferli eiganda stillingarinnar. Breyting sem lokar ykkur úti af beininu er ekki prófunarniðurstaða, hún er annað atvik. Skráið svæðið og hlutverk umferðarinnar við hverja athugun, svo niðurstöðuparið útskýri stefnuna í stað þess að lýsa heppilegri síðuhleðslu.