firewalld угуучу эрежеси жана өткөрүү саясаты: ар бири эмне кылат

Туташкан, бирок эч жерге жетпеген VPN адатта брандмауэр маселеси катары сүрөттөлөт, жана адамдар кайрылган чечим — туннелдин интерфейсин ишенимдүү зонага коюу. Бул трафик ага баштаганы маанисинде иштейт, бирок көздөлгөн кызматтан алда канча көп нерсени өткөрөт. Бул жердеги эки саясат ар башка: бири сырткы транспортту угуп жаткан сокетке өткөрөт, экинчиси шифрден чыгарылган трафиктин белгилүү ресурска жетүүсүнө уруксат берет. Аларды бир жөндөө катары кароо тар уруксатты кенен уруксатка айландырат. Экөө тең ар башка жерлерде чечилет, ошондуктан бул катаны кетирүү оңой.

Эки саясат, бир туннел

Сырткы саясат жөнөкөй суроого жооп берет: бул булактан келген пакет бул хосттогу UDP 1194кө жете алабы? Ички саясат башка суроого жооп берет: ошол туннелдин артындагы аутентификацияланган кардар бул багытка, бул протокол менен, бул портто жете алабы? Биринчиси сокет жөнүндө, экинчиси жол жөнүндө, жана firewalld аларды ар башка объектилер менен моделдейт, анткени алар ар башка чекиттерде чечилет. Бири бул хосттогу сокеттин касиети, экинчиси анын ичинен өткөн жолдун касиети.

Практикалык натыйжа — иштеп жаткан туннель экинчи саясат жөнүндө эч нерсе айтпайт, ал эми туура экинчи саясат биринчисин ашыкча кылбайт.

Чыныгы сырткы угуучуну өткөрүңүз

Болжолдоонун ордуна мурунтан эле дайындалган нерсени текшерүүдөн баштаңыз. Активдүү зоналарды окуңуз, кирүүнү чындап ташыган зонаны тизмелеңиз жана орнотулган кызмат аныктамасын текшериңиз, анткени кызматтын аталышы порттордун топтомун сүрөттөйт жана бул сервердин угуучусу ага туура келеби же жокпу, ал жөнүндө эч нерсе айтпайт.

firewall-cmd --get-active-zones
firewall-cmd --zone=public --list-all
firewall-cmd --info-service=openvpn

Эгер угуучу чын эле ошол зонадагы UDP 1194 болсо, так ошол портту жана транспортту ачыңыз, анан сынагандан кийин ошол эле так эрежени туруктуу кылыңыз. Булакка негизделген дайындоолорду да текшериңиз, анткени булак диапазонуна байланган зона интерфейс зонасы көрө электе эле трафикти кармап калышы мүмкүн.

Шифрден чыгарылган багытты өзүнчө уруксаттаңыз

VPN серверинин өзүндө иштеген кызматка туташуу — жергиликтүү кирүү саясаты. LANдагы башка хостко өткөрүлүп берилүүчү туташууга өткөрүү саясаты керек, ядродо күйгүзүлгөн өткөрүү жана кайтаруу жолу — бул адамдар көп учурда бириктирип жиберген үч өзүнчө талап. firewalldдин заманбап саясат объектилери кирүү жана чыгуу зоналарынын ортосундагы багытталган трафикти сүрөттөйт, жана кайсы VPN булактары кайсы жеке кызматтарга жете аларын билдирүү үчүн туура орун — ошол жер.

Уруксат берилген булактарды ачык аныктаңыз жана калгандын баары четке кагууга түшсүн. Сырткы кызматка берилген уруксат — ал саясат эмес, зоналардын жайгашуусу кандай көрүнбөсүн.

Эмне үчүн интерфейске ишенүү туура эмес кыска жол

Туннелдин интерфейсин максаты баарын кабыл алган зонага коюу хост сунуш кылган ар бир кызматка бардык шифрден чыгарылган трафикти өткөрөт, анын ичинде сиз карап чыкпаган кызматтар да бар. Ишенимдүү зонаны иштеп жаткан машинада чектөөчү кылып кайра багыттоо андан да жаман, анткени башка интерфейстер жана булак диапазондору анын маанисине мурунтан көз каранды болушу мүмкүн жана сиз аны оңдогондо жүрүм-туруму өзгөрөт. Тар саясат керек болсо, аны түзүңүз; жалпы зонаны кайра колдонбоңуз.

Туннелдин зона дайындоосун ушул конфигурацияга ээ болгон каалаган компонент аркылуу туруктуу кармаңыз. Кайра жүктөөдө дайындоону жоготуу брандмауэр эрежесинин маселесине окшош, бирок чындыгында туруктуулук маселеси болгон бузулууну жаратат.

Үч нерсени текшериңиз, анын ичинде бир четке кагууну

Сырткы туташууну сырттан сынаңыз, туташкан кардардан бир уруксат берилген ички кызматты сынаңыз жана жеткиликсиз бойдон калышы керек болгон бир кызматты сынаңыз. Үчүнчү сыноо — саясатты жаныма таасирден ажырата турган сыноо, жана адамдар дал ошону өткөрүп жиберет, анткени баары иштеп жаткандай көрүнөт. Эгер четке кагылган кызмат жооп берсе, сиз кызматты эмес, зонаны өткөрдүңүз.

Зонаны, портту, транспортту жана саясат объектисин сервердин жазууларына жазыңыз. Болбосо бул хосттогу кийинки өзгөртүү ошол эле божомолдон башталат.