firewalld тыңдаушы ережесі және қайта жіберу саясаты: әрқайсысы не істейді

Қосылатын, бірақ еш жерге жетпейтін VPN әдетте брандмауэр мәселесі ретінде сипатталады, және адамдар ұстанатын шешім — туннель интерфейсін сенімді аймаққа қою. Бұл трафиктің аға бастағаны мағынасында жұмыс істейді, бірақ көзделген қызметтен әлдеқайда көп нәрсені жібереді. Мұндағы екі саясат әртүрлі: біреуі сыртқы тасымалдауды тыңдап тұрған сокетке жібереді, екіншісі шифрдан шығарылған трафиктің нақты ресурсқа жетуіне рұқсат береді. Оларды бір параметр ретінде қарау тар рұқсатты кеңге айналдырады. Екеуі әртүрлі жерде шешіледі, сондықтан бұл қатені жасау оңай.

Екі саясат, бір туннель

Сыртқы саясат қарапайым сұраққа жауап береді: осы көзден келген пакет осы хосттағы UDP 1194-ке жете ала ма? Ішкі саясат басқа сұраққа жауап береді: сол туннельдің артындағы аутентификацияланған клиент осы межеге, осы протоколмен, осы портта жете ала ма? Біріншісі сокет туралы, екіншісі жол туралы, және firewalld оларды әртүрлі нысандармен модельдейді, өйткені олар әртүрлі нүктелерде шешіледі. Біреуі осы хосттағы сокеттің қасиеті, екіншісі ол арқылы өтетін жолдың қасиеті.

Практикалық салдар — жұмыс істеп тұрған туннель екінші саясат туралы ештеңе айтпайды, ал дұрыс екінші саясат біріншісін артық етпейді.

Нақты сыртқы тыңдаушыны жіберіңіз

Болжам жасаудың орнына қазірдің өзінде тағайындалған нәрсені тексеруден бастаңыз. Белсенді аймақтарды оқыңыз, кірісті шынымен тасымалдайтын аймақты тізімдеңіз және орнатылған қызмет анықтамасын тексеріңіз, өйткені қызмет атауы порттар жиынын сипаттайды және осы сервердің тыңдаушысы оған сәйкес келе ме, ол туралы ештеңе айтпайды.

firewall-cmd --get-active-zones
firewall-cmd --zone=public --list-all
firewall-cmd --info-service=openvpn

Егер тыңдаушы шынымен сол аймақтағы UDP 1194 болса, дәл сол порт пен тасымалдауды ашыңыз, содан кейін сынақтан өткізгеннен кейін сол нақты ережені тұрақты етіңіз. Көзге негізделген тағайындауларды да тексеріңіз, өйткені көз ауқымына байланған аймақ трафикті интерфейс аймағы көрмей тұрып ұстап алуы мүмкін.

Шифрдан шығарылған межені бөлек рұқсат етіңіз

VPN серверінің өзінде жұмыс істейтін қызметке қосылу — жергілікті кіріс саясаты. LAN-дағы басқа хостқа қайта жіберілетін қосылуға қайта жіберу саясаты қажет, ядрода қосылған қайта жіберу және қайтару жолы — бұл адамдар жиі біріктіретін үш бөлек талап. firewalld-тің заманауи саясат нысандары кіру және шығу аймақтары арасындағы бағытталған трафикті сипаттайды, және қай VPN көздері қай жеке қызметтерге жете алатынын білдіруге дұрыс орын — сол жер.

Рұқсат етілген көздерді нақты анықтаңыз және қалғанының бәрі бас тартуға түссін. Сыртқы қызметке арналған рұқсат — ол саясат емес, аймақтардың орналасуы қалай көрінсе де.

Неліктен интерфейске сену дұрыс емес қысқа жол

Туннель интерфейсін мақсаты бәрін қабылдайтын аймаққа қою хост ұсынатын әрбір қызметке барлық шифрдан шығарылған трафикті жібереді, соның ішінде қарап шықпағандарыңыз да бар. Сенімді аймақты жұмыс істеп тұрған машинада шектеуші етіп қайта бағыттау одан да нашар, өйткені басқа интерфейстер мен көз ауқымдары оның мағынасына тәуелді болуы мүмкін және сіз оны өңдегенде мінез-құлқы өзгереді. Тар саясат керек болса, оны жасаңыз; ортақ аймақты қайта пайдаланбаңыз.

Туннельдің аймақ тағайындауын осы конфигурацияға ие кез келген құрамдас арқылы тұрақты ұстаңыз. Қайта іске қосқанда тағайындауды жоғалту брандмауэр ережесінің мәселесіне ұқсайтын, бірақ шын мәнінде тұрақтылық мәселесі болып табылатын ақау тудырады.

Үш нәрсені тексеріңіз, оның ішінде бір бас тартуды

Сыртқы қосылуды сырттан тексеріңіз, қосылған клиенттен бір рұқсат етілген ішкі қызметті тексеріңіз және қолжетімсіз болып қалуы тиіс бір қызметті тексеріңіз. Үшінші сынақ — саясатты жанама әсерден ажырататын сынақ, және адамдар дәл оны өткізіп жібереді, өйткені бәрі жұмыс істеп тұрғандай көрінеді. Егер бас тартылған қызмет жауап берсе, сіз қызметті емес, аймақты жібердіңіз.

Аймақты, портты, тасымалдауды және саясат нысанын сервер жазбаларына жазыңыз. Әйтпесе осы хосттағы келесі өзгеріс сол болжамнан басталады.