OpenVPNдин эки пакет жолу үчүн Shorewall аймактары
Шифрленген OpenVPN ташуусун шифри чечилген кардар трафигинен бөлүңүз, туннелге өз аймагын бериңиз жана кардарга керектүү бир гана кызматка уруксат бериңиз.
Эки пакет агымы OpenVPN бүтүрүүчү Shorewall дарбазасынан өтөт, жана алардын бирөө гана шифрленген. Биринчиси — интернетке караган интерфейстеги VPN угуучуга кардардын ташуусу. Экинчиси — туннел интерфейсинен чыгуучу шифри чечилген сурам, ал кеңсе серверине же дарбазадагы кызматка барат. Саясатты оңдоодон мурун экөөнү тең чийиңиз, анткени биринчисин канааттандырган эреже экинчиси үчүн эч нерсе кылбайт.
Саясатты оңдоодон мурун эки агымды чийиңиз
Агымдарды булак, багыт, протокол жана порт менен саптар катары жазыңыз. Сырткы жолдо булак кардардын жарыя дареги, ал эми багыт дарбазанын угуу порту; Shorewall муну интернеттен брандмауэрге карай трафик деп эсептейт. Ички жолдо булак туннелдин дарегинин диапазону, ал эми багыт бекитилген кызмат. Бир администратор экөөнү тең кармаса да, эки саптын ээлери бөлөк.
| Flow | Zone relationship | What to constrain |
|---|---|---|
| Encrypted OpenVPN transport | Internet to the firewall host | The listener's actual protocol and port |
| Decrypted request to a LAN service | VPN clients to the LAN zone | One approved server and service |
| Decrypted request to the gateway | VPN clients to the firewall host | Only the local services required |
| Request to another VPN client | VPN clients to VPN clients | Denied unless deliberately required |
Сапты сурам дарбазанын өзүндө бүткөндө гана кошуңуз, мисалы чечүүчүгө же башкарууга жетүү. Хосттогу кызмат жиберилген жолду эмес, хосттун кирүү саясатын аткарат. Ушул экөөнү аралаштыруу — тар туннел эрежесинин административдик интерфейсти ачып салышынын себеби.
Туннел аймагын жана интерфейс көлөмүн дайындаңыз
Саякатчы аймагы /etc/shorewall/zones файлында жарыяланат, туннел интерфейси /etc/shorewall/interfaces файлында кошулат, ал эми сырткы байланыш /etc/shorewall/tunnels файлында сүрөттөлөт. Орнотулган чыгарылыштын синтаксисине ылайыкташыңыз, анткени мамычалардын тартиби жана опция аттары негизги версиялардын ортосунда өзгөргөн. Нускамадагы мисал порт демон чындыгында угуучу порттон башка портка уруксат берүүгө негиз эмес. Сандар дал келгени үчүн гана TCP жана UDP бири-бирин алмаштыра албайт.
Нускама интерфейстерди tun+ аркылуу топтойт. Бирден ашык туннели бар хостто бул белги башка ишеним деңгээлиндеги экинчи VPNды ошол эле аймакка жайгаштырышы мүмкүн. Көлөмдү иш жүзүндө бар интерфейстер менен салыштырып карап чыгыңыз жана интерфейс аттарын кол менен оңдоонун ордуна атоону туташуу менеджеринин жашоо циклинде кармаңыз.
Тарыхый нускамада бир кыйла эски OpenVPN конфигурация үлгүлөрү бар жана анын крипто кеңештерин учурдагы жайгаштырууга көчүрүүгө болбойт. Анын ордуна аймак жана агым моделинин алыңыз. Криптографиялык негизди дарбазанын колдоого алынган OpenVPN саясатынан алыңыз.
Өзүңүз классификациялаган жолго гана уруксат бериңиз
VPN аймагынан LANга кенен уруксат — баштапкы схема, бүткөн саясат эмес. Уруксат берилген кардар булагын, кызматтын чыныгы дарегин, протоколду жана портту жазыңыз. Анан анын үстүндөгү эрежелерди жана аймактын демейки маанисин окуңуз, анткени тар кошумча мурунтан дал келген кенен уруксатты жокко чыгарбайт. Дарбаза хостуна трафик андан өткөрүлүүчү трафиктен өзүнчө мамиле.
Кардарлардын ортосундагы трафик өз чечимин талап кылат. OpenVPNдин client-to-client жана Shorewallдын routeback параметрлери кардарлар бири-бирине жете аларына таасир этет, жана экөөнүн бири да бир LAN тиркемеси иштеши үчүн гана күйгүзүлбөшү керек. Бөлүү кайда колдонуларын сынаардан мурун чечиңиз.
Жооп жолун ошол эле планда кармаңыз. Кызмат же анын маршрутизатору трафикти туннелдин диапазонуна кантип кайтарарын билиши керек, болбосо долбоор булакты атайын жана көздөлгөн көлөмдө которушу керек.
Текшериңиз, анан эки жолду тең далилдеңиз
Бир нерсени кайра баштоодон мурун конфигурацияны текшериңиз жана жаңы саясат туура эмес болсо деп көз карандысыз административдик сессияны ачык кармаңыз.
shorewall checkТаза текшерүүдөн кийин конфигурацияны колдонуңуз жана Shorewall эмнени жүктөгөнүн кайра окуңуз. Бул окуулар файл айтып жаткандай көрүнгөндү эмес, иштеп жаткан саясатты сүрөттөйт.
shorewall show zones
ip route get 192.168.10.20Ошол эле кардардан бир жаңы уруксат берилген сурамды жана бир атайын четке кагылган сурамды сынаңыз. Ийгиликтүү OpenVPN кол алышуусу сырткы алмашууну гана далилдейт; уруксат берилген кызмат жана четке кагылган ресурс сиз көздөгөн ички саясатты далилдейт. Анан кардарды кайра туташтырып кайталаңыз, анткени туннел интерфейсинин аты жана дареги сессиялардын ортосунда өзгөрүшү мүмкүн. Жыйынтык башка болсо, эрежени кеңейтүүнүн ордуна аймактын көлөмүн оңдоңуз.