OpenWrt VPN аймагы, багыттоо жана даректи жашыруу: кайсы керек?
Аймак кирүү, багыттоо жана даректи жашыруу ар башка суроолорго жооп берет. WAN аймагын ачпастан мурун VPN трафигиңизге эмне керек экенин чечиңиз.
VPN OpenWrt менен кездешкен сайын үч өзгөрүү аралашат: порт ачуу, багыттоого уруксат берүү жана даректи жашырууну күйгүзүү. Алар ар башка суроолорго жооп берет жана адатта алардын бирөө гана чыныгы талап болот. Ар бир башкарууну ал башкарган трафик ролуна жараша окуу божомолду чечимге айландырат, ошондой эле өзгөрүү туура эмес болгондо кандай белгини күтүү керектигин айтат. Эсиңизде калган белги кутучадан эмес, ийгиликсиз болгон ролдон баштаңыз.
Башкарууга тийүүдөн мурун трафик ролун атаңыз
Аймак кирүү маршрутизатордун өзүнө эмне жете аларын чечет. Аймак чыгуу маршрутизатор өзү жараткан трафикти камтыйт, аймакты багыттоо аймактан өткөн трафик үчүн демейки маани, ал эми даректи жашыруу чыгууда баштапкы даректин кайра жазыларын чечет. Бул төрт башка суроо, ал эми аймак саясаты төртөөнө бирден бирдей маани менен жооп берет, ошондуктан бүт аймакка жасалган өзгөрүү орой курал. Аталган эреже калгандарына тийбестен алардын бирине жооп бере алат.
Пайдалуу карта трафик ролу боюнча түзүлөт, анткени бир нерсе ийгиликсиз болгондо дал ошону байкай аласыз. Төмөнкү ар бир роль үчүн аны чечкен бир башкаруу жана ага көрсөткөн бир белги бар:
| Traffic role | Control that decides it | Where it lives in the config | Symptom when it is wrong |
|---|---|---|---|
| A client reaching a listener on the router | Input policy of the zone that carries the connection, or a rule for the port | option input in the zone stanza, or a named rule | The handshake never completes and the tunnel log says nothing |
| A tunnel client reaching the router itself | Input policy of the tunnel zone | option input in the VPN zone | A ping to the gateway fails |
| A tunnel client reaching another LAN host | Forwarding from the tunnel zone to the LAN zone | config forwarding plus the zone assignment | The gateway answers and the file share times out |
| The router's own traffic leaving the WAN | Output policy, and translation if the far side needs it | option output and option masq | The tunnel never establishes, or replies vanish |
Маршрутизатордогу угуучуга бир тар кирүү эрежеси керек
Маршрутизатордогу OpenVPN сервери маршрутизаторго адресделген трафикти кабыл алат, ошондуктан анын тышкы туташуусу аны ташыган аймактын кирүү саясатына көз каранды. Конфигурацияланган транспорт менен портка уруксат бериңиз, ал эми ошол аймактагы калганынын баарын четке кагылган бойдон калтырыңыз. Бир порт эрежеси бүт аймакка уруксат берүүдөн бир кыйла кичине өзгөрүү, жана бир жылдан кийин да дал ошону түшүндүрө аласыз.
Бул эрежени сактоону коопсуз кылган эки нерсе бар: ал кызмат чындап колдонгон портту атайт жана аймак аныктамасынын жанында турат, ошондуктан кийинки адам анын эмне үчүн бар экенин көрөт. Төмөнкү саптар — бул форма гана, порт серверде конфигурацияланган маанини билдирет. Кызмат ордун которгондо бул портту эки жерде тең өзгөртүңүз, анткени эски портто калган эреже текшерүүгө чейин көрүнбөйт.
config zone
option name 'wan'
option input 'REJECT'
option forward 'REJECT'
option output 'ACCEPT'
option masq '1'
config rule
option name 'allow-openvpn'
option src 'wan'
option proto 'udp'
option dest_port '1194'
option target 'ACCEPT'Кайра жүктөөдөн мурун текшериңиз, анткени firewall файлындагы синтаксистик ката маршрутизаторду иштеген эрежелер топтому жок калтырышы мүмкүн. fw4 колдонгон чыгарылышта текшерүү өзүнчө буйрук жана ал бузулган блокту үнсүз кабыл алуунун ордуна катуу ийгиликсиз болот. Текшерүү өткөндөн кийин гана кайра жүктөңүз жана мурунку файлды кайтарууга боло турган жерде сактаңыз.
fw4 check
service firewall reloadКардардын суроосу кирүүдөн эмес, багыттоодон өтөт
Аутентификациядан кийин LAN кызматын сураган туннель кардарынын суроосу багытталган агымды жаратат, ошондуктан аны чечкен башкаруу — туннель аймагы менен LAN аймагынын ортосундагы багыттоо мамилеси. Туннель интерфейсин керектүү аймакка дайындаңыз, анан багытты, булактарды жана кызматты жарыялаңыз. Аймакты дайындоо багыттоо эрежесине маани берген нерсе, жана экөө бирге окуганда гана маанилүү. Туннель аймагын булак, ал эми LAN аймагын максат кылып көрсөткөн багыттоо мамилеси бир атайын чечим катары окулат, ал эми бүт аймакка берилген эки уруксат кырсык катары окулат.
Маршрутизатордун өзүнө жетүү дагы эле кирүү жолун колдонот, ошондуктан шлюзге ping анын артындагы файл бөлүшүү тууралуу эч нерсе айтпайт. Бул эки ийгиликсиздик ар башка блоктордо жашайт жана ар башка өзгөрүүлөр менен оңдолот. Экөөнүн бирин өзгөртүүдөн мурун эки жолду тең өзүнчө жазып алыңыз.
Даректи жашыруу — багыттоо чечими, уруксат эмес
Даректи жашыруу тандалган сыртка чыгуучу трафиктин баштапкы дарегин кайра жазат. Ал алыскы тарапта кайтуу маршруту жок чыгуу түзүлүшүн куткара алат, ошондой эле даректерди жазуучу же дарек боюнча уруксат берүүчү каалаган кызматтан жеке кардарлардын даректерин жашырат. Аны өчүрүү — кайтуу жолу тууралуу багыттоо тандоосу, ички тешикти жапкан коопсуздук өчүргүчү эмес. Котормо күйүк турганда иштеп, ал өчүрүлгөн учурда ийгиликсиз болгон туннелде адатта кайтуу маршруту жетишпейт, firewall эрежеси эмес.
Багытталган альтернатива котормонун ордуна алыскы тарапта кайтуу маршрутун талап кылат. Эки варианттын бири да firewall уруксатын же колдонмо эсебин бербейт, ошондуктан даректи жашырууну өчүрүү эч жерге жете албаган туннель кардарын дээрлик эч качан оңдобойт. IPv4 жана IPv6 саясатын да өзүнчө караңыз, анткени бир котормо жөндөөсү эки үй-бүлөнү тең сүрөттөбөйт.
Чечимди уруксат берилген жана четке кагылган суроо менен далилдеңиз
Уруксат берилиши керек болгон бир суроо жана четке кагылышы керек болгон бир суроо жөнөтүңүз, анан ар бир чечимди кабыл алган башкарууну аныктаңыз. Кокустан жүктөлгөн барак далил эмес; далил — дал келген эреже, ал дал келген чынжырда. Четке кагуу ийгилик менен бирдей маанилүү, анткени ал саясат баарына уруксат берүүнүн ордуна бир нерсе кылып жатканын көрсөтөт.
Учурдагы чыгарылышта эки буйрук ушул далилди берет. Суроо кабыл алынганда дал келген эреженин эсептегичи жылат, ал эми эреже үчүн журналдоону күйгүзсөңүз, журнал таштоону көрсөтөт:
nft list chain inet fw4 forward_wan
logread -f | grep -i -E 'DROP|REJECT'Каалаган firewall саясатын өзгөртүүдөн мурун дагы колдоно алган башкаруу жолун сактаңыз жана конфигурация ээсинин текшерүү жана кайтаруу процессин аткарыңыз. Сизди маршрутизатордон сыртка кулпулаган өзгөрүү тест жыйынтыгы эмес, ал экинчи окуя. Ар бир байкоонун жанында аймакты жана трафик ролун жазыңыз, ошондо жыйынтыктар жуп тайманбас барак жүктөөнү сүрөттөөнүн ордуна саясатты түшүндүрөт.