OpenVPN-нің екі пакет жолына арналған Shorewall аймақтары
Шифрланған OpenVPN тасымалын шифры шешілген клиент трафигінен бөліңіз, туннельге өз аймағын беріңіз және клиентке қажет жалғыз қызметке ғана рұқсат етіңіз.
Екі пакет ағыны OpenVPN терминациялайтын Shorewall шлюзінен өтеді, және олардың тек біреуі ғана шифрланған. Біріншісі — интернетке қараған интерфейстегі VPN тыңдаушысына клиенттің тасымалы. Екіншісі — туннель интерфейсінен шығатын шифры шешілген сұраныс, ол кеңсе серверіне немесе шлюздегі қызметке барады. Саясатты өңдеудің алдында екеуін де көрсетіңіз, өйткені біріншісін қанағаттандыратын ереже екіншісі үшін ештеңе істемейді.
Саясатты өңдеудің алдында екі ағынды сызыңыз
Ағындарды дереккөз, меже, протокол және портпен жолдар ретінде жазыңыз. Сыртқы жолда дереккөз клиенттің жария мекенжайы, ал меже шлюздің тыңдау порты; Shorewall мұны интернеттен брандмауэрге қарай трафик деп қарастырады. Ішкі жолда дереккөз туннель мекенжай ауқымы, ал меже бекітілген қызмет. Бір әкімші екеуін де ұстаса да, екі жолдың иелері бөлек.
| Flow | Zone relationship | What to constrain |
|---|---|---|
| Encrypted OpenVPN transport | Internet to the firewall host | The listener's actual protocol and port |
| Decrypted request to a LAN service | VPN clients to the LAN zone | One approved server and service |
| Decrypted request to the gateway | VPN clients to the firewall host | Only the local services required |
| Request to another VPN client | VPN clients to VPN clients | Denied unless deliberately required |
Жолды сұраныс шлюздің өзінде аяқталғанда ғана қосыңыз, мысалы шешушіге немесе басқаруға қатынас. Хосттағы қызмет жіберілген жолды емес, хост кірісінің саясатын ұстанады. Осы екеуін араластыру — тар туннель ережесінің әкімшілік интерфейсті ашып тастауының себебі.
Туннель аймағын және интерфейс ауқымын тағайындаңыз
Саяхатшы аймағы /etc/shorewall/zones файлында жарияланады, туннель интерфейсі /etc/shorewall/interfaces файлында қосылады, ал сыртқы қосылым /etc/shorewall/tunnels файлында сипатталады. Орнатылған шығарылымның синтаксисіне сай келіңіз, өйткені баған тәртібі мен опция атаулары негізгі нұсқалар арасында өзгерді. Нұсқаулықтағы мысал порт демон шын мәнінде тыңдайтын порттан өзге портқа рұқсат беруге негіз емес. Сандар сәйкес келгені үшін ғана TCP мен UDP бірін-бірі алмастыра алмайды.
Нұсқаулық интерфейстерді tun+ арқылы топтайды. Бірнеше туннелі бар хостта бұл әмбебап таңба басқа сенім деңгейіндегі екінші VPN-ды сол аймаққа қоюы мүмкін. Ауқымды іс жүзінде бар интерфейстермен салыстырып қарап шығыңыз және интерфейс атауларын қолмен өңдеудің орнына атауды қосылым менеджерінің өмірлік цикліне бағындырыңыз.
Тарихи нұсқаулық әлдеқайда ескі OpenVPN конфигурация үлгілерін қамтиды және оның крипто кеңестерін қазіргі орналастыруға көшіруге болмайды. Оның орнына аймақ пен ағын моделін алыңыз. Криптографиялық негізді шлюздің қолдау көрсетілетін OpenVPN саясатынан алыңыз.
Тек өзіңіз жіктеген жолға рұқсат етіңіз
VPN аймағынан LAN-ға кең рұқсат — бастапқы схема, дайын саясат емес. Рұқсат етілген клиент дереккөзін, қызметтің нақты мекенжайын, протоколды және портты жазыңыз. Содан кейін оның үстіндегі ережелерді және аймақтың әдепкі мәнін оқыңыз, өйткені тар қосымша бұрыннан сәйкес келетін кең рұқсатты жоя алмайды. Шлюз хостіне трафик ол арқылы жіберілетін трафиктен бөлек қатынас.
Клиенттер арасындағы трафик өз шешімін қажет етеді. OpenVPN-нің client-to-client және Shorewall-дың routeback параметрлері клиенттердің бір-біріне жете алуына әсер етеді, және ешқайсысы бір LAN қосымшасы жұмыс істеуі үшін ғана қосылмауы керек. Оқшаулау қайда қолданылатынын сынамас бұрын шешіңіз.
Жауап жолын сол жоспарда ұстаңыз. Қызмет немесе оның маршрутизаторы трафикті туннель ауқымына қалай қайтаратынын білуі керек, әйтпесе жоба дереккөзді әдейі және көзделген ауқымда түрлендіруі керек.
Тексеріңіз, содан кейін екі жолды дәлелдеңіз
Бірдеңені қайта іске қоспас бұрын конфигурацияны тексеріңіз және жаңа саясат қате болса деп тәуелсіз әкімшілік сессияны ашық ұстаңыз.
shorewall checkТаза тексеруден кейін конфигурацияны қолданыңыз және Shorewall не жүктегенін қайта оқыңыз. Бұл оқулар файл айтып тұрғандай көрінетінді емес, жұмыс істеп тұрған саясатты сипаттайды.
shorewall show zones
ip route get 192.168.10.20Сол клиенттен бір жаңа рұқсат етілген сұраныс пен бір әдейі қабылданбаған сұранысты сынаңыз. Сәтті OpenVPN қол алысуы тек сыртқы алмасуды дәлелдейді; рұқсат етілген қызмет пен қабылданбаған ресурс сіз көздеген ішкі саясатты дәлелдейді. Содан кейін клиентті қайта қосып, қайталаңыз, өйткені туннель интерфейсінің аты мен мекенжайы сессиялар арасында өзгеруі мүмкін. Нәтиже өзгеше болса, ережені кеңейтудің орнына аймақ ауқымын түзетіңіз.