Shorewall-svæði fyrir tvo OpenVPN-pakkaleiðir

Tveir pakkaflaumar fara um Shorewall-hlið sem lýkur OpenVPN, og aðeins annar þeirra er dulkóðaður. Sá fyrri er flutningur biðlarans til VPN-hlustara á viðmótinu sem snýr að internetinu. Sá síðari er afkóðuð beiðni sem fer út úr gönguviðmótinu til skrifstofuþjóns eða þjónustu á hliðinu. Kortið bæði áður en þið breytið stefnunni, því regla sem fullnægir þeirri fyrri gerir ekkert fyrir þá síðari.

Teiknið flaumana tvo áður en þið breytið stefnunni

Skrifið flaumana sem línur með uppruna, áfangastað, samskiptareglu og porti. Á ytri leiðinni er uppruninn opinbert vistfang biðlarans og áfangastaðurinn hlustunarport hliðsins; Shorewall meðhöndlar það sem umferð frá internetinu að eldveggnum. Á innri leiðinni er uppruninn vistfangabil göngunnar og áfangastaðurinn samþykkt þjónusta. Línurnar tvær hafa mismunandi eigendur jafnvel þótt einn stjórnandi viðhaldi báðum.

Bætið línu aðeins við ef beiðnin endar á hliðinu sjálfu, svo sem aðgangur að leysi eða stjórnun. Þjónusta á hýsilnum fylgir inntaksstefnu hýsilsins, ekki framsendu leiðinni. Blandan af þessu tvennu er ástæðan fyrir því að þröng gagnaregla afhjúpar stjórnviðmót.

Úthlutið svæði ganganna og umfangi viðmótsins

Svæði farandmannsins er lýst yfir í /etc/shorewall/zones, gönguviðmótið er tengt í /etc/shorewall/interfaces, og ytri tengingin er lýst í /etc/shorewall/tunnels. Lagið ykkur að setningafræði uppsettrar útgáfu, því dálkaröð og heiti valkosta hafa breyst milli aðalútgáfa. Dæmiport leiðbeiningarinnar er ekki ástæða til að leyfa annað port en það sem púkinn hlustar í raun á. TCP og UDP eru ekki skiptanleg bara af því að tölurnar stemma.

Leiðbeiningin flokkar viðmót með tun+. Á hýsil með fleiri en eina göngu getur það jokerteikn sett annað VPN með annan trauststig í sama svæði. Farið yfir umfangið gagnvart viðmótunum sem raunverulega eru til, og haldið nafnsetningunni undir lífsferli tengistjórans í stað þess að breyta viðmótsheitum handvirkt.

Sögulega leiðbeiningin inniheldur mun eldri OpenVPN-stillingadæmi, og dulkóðunarábendingar hennar ætti ekki að afrita í núverandi uppsetningu. Fáið frekar svæðis- og flaumlíkanið að láni. Takið dulkóðunargrunninn úr viðhaldinni OpenVPN-stefnu hliðsins.

Leyfið aðeins leiðina sem þið flokkuðuð

Rúm samþykkt frá VPN-svæði til LAN er upphafsskissa, ekki fullunnin stefna. Skrifið leyfðan uppruna biðlarans, raunverulegt vistfang þjónustunnar, samskiptaregluna og portið. Lestu síðan reglurnar fyrir ofan og sjálfgefið gildi svæðisins, því þröng viðbót fellir ekki úr gildi rúma heimild sem passar þegar. Umferð að hýsli hliðsins er aðskilin tenging frá umferð sem er framsend í gegnum það.

Umferð milli biðlara þarf eigin ákvörðun. client-to-client OpenVPN og routeback Shorewall hafa bæði áhrif á hvort biðlarar ná hvor til annars, og hvorugt ætti að virkja bara til að koma einu LAN-forriti í gang. Ákveðið hvar einangrun er framfylgt áður en þið prófið hana.

Haldið svarleiðinni í sama áætlun. Þjónustan eða beinir hennar verður að vita hvernig á að skila umferð í vistfangabil ganganna, eða hönnunin verður að þýða upprunann viljandi og innan fyrirhugaðs umfangs.

Sannprófið og sannið síðan báðar leiðir

Sannprófið stillinguna áður en þið endurræsið nokkuð, og haldið sjálfstæðri stjórnunarlotu opinni ef nýja stefnan er röng.

shorewall check

Eftir hreina athugun skuluð þið beita stillingunni og lesa til baka hvað Shorewall hlaðdi. Þessar lestrar lýsa stefnunni sem er í gangi, ekki því sem skrá virðist segja.

shorewall show zones
ip route get 192.168.10.20

Prófið eina nýja leyfða beiðni og eina viljandi hafnaða beiðni frá sama biðlara. Árangursrík OpenVPN-handaband sannar aðeins ytri skiptin; leyfða þjónustan og hafnaða auðlindin sanna innri stefnuna sem þið ætluðuð. Endurtengið biðlarann og endurtakið, því heiti og vistfang gönguviðmótsins geta breyst milli lota. Ef niðurstaðan er önnur, lagaðu umfang svæðisins í stað þess að víkka regluna.