firewalld-Listener-Regel géint Forwarding-Politik: wat jiddweree mécht

E VPN, deen sech verbënnt awer näischt erreecht, gëtt meeschtens als Firewallproblem beschriwwen, an d'Léisung, no där d'Leit gräifen, ass d'Tunnel-Schnittstell an eng vertraute Zone ze leeën. Dat funktionéiert am Sënn datt den Trafick ufänkt ze fléissen, awer et léisst och vill méi duerch wéi de virgesäiten Déngscht. Déi zwee Politike bedeelegt sinn ënnerschiddlech: déi eng léisst den äusseren Transport op eng lauschend Socket duerch, déi aner autoriséiert dechiffréierten Trafick eng bestëmmt Ressource z'erreechen. Et als eng eenzeg Astellung ze behandelen ass dat, wat eng enk Erlaabnes an eng breet verwandelt. Déi zwee ginn op verschiddene Plazen decidéiert, dofir ass de Feeler sou einfach.

Zwee Politiken, een Tunnel

Déi äusser Politik beäntwert eng einfach Fro: däerf e Pak aus dëser Quell UDP 1194 op dësem Host erreechen? Déi intern Politik beäntwert eng aner: däerf den authentifizéierte Client hannert deem Tunnel dës Destinatioun erreechen, mat dësem Protokoll, op dësem Port? Déi éischt geet ëm eng Socket, déi zweet ëm e Wee, a firewalld modelléiert se mat verschiddenen Objeten, well se op verschiddene Punkte decidéiert ginn. Dat eng ass eng Eegenschaft vun enger Socket op dësem Host, dat anert vun engem Wee duerch en.

D'praktesch Konsequenz ass, datt en funktionéierenden Tunnel näischt iwwer déi zweet Politik seet, an eng korrekt zweet Politik déi éischt net iwwerflësseg mécht.

Loosst den tatsächlechen äusseren Listener duerch

Fänkt domat un, ze kontrolléieren, wat schonn zougewisen ass, amplaz et unhuelen. Liest déi aktiv Zonen, lëscht d'Zone op, déi tatsächlech Ingress dréit, a kontrolléiert d'installéiert Déngschtdefinitioun, well en Déngschtnumm beschreift eng Rei Porten a seet näischt doriwwer, ob den Listener vun dësem Server deem entsprécht.

firewall-cmd --get-active-zones
firewall-cmd --zone=public --list-all
firewall-cmd --info-service=openvpn

Wann den Listener wierklech UDP 1194 an där Zone ass, maacht genee dee Port an den Transport op, an dann maacht déiselwecht spezifesch Regel permanent, nodeems Dir se getest huet. Kontrolléiert och quellbaséiert Zouweisungen, well eng Zone, déi un e Quellberäich gebonnen ass, den Trafick kann afänken, ier d'Interface-Zone en iwwerhaapt gesäit.

Autoriséiert d'dechiffréiert Destinatioun separat

Eng Verbindung zu engem Déngscht, deen um VPN-Server selwer leeft, ass lokal-Input-Politik. Eng Verbindung, déi op en aneren Host am LAN weidergeleet gëtt, brauch Forwarding-Politik, Forwarding am Kernel aktivéiert an eng Äntwertroute — dräi getrennt Ufuerderungen, déi d'Leit dacks an enger zesummefaassen. Modern firewalld-Politikobjete beschreiwen geriichteten Trafick tëscht enger Ingress- an enger Egress-Zone, an dat ass déi richteg Plaz, auszedrécken, wéi eng VPN-Quellen wéi eng privat Déngschter erreeche kënnen.

Definéiert déi erlaabte Quellen explizit a loosst alles anescht an eng Oflehnung falen. Eng Erlaabnes fir den äusseren Déngscht ass net déi Politik, egal wéi d'Zonen-Layout ausgesäit.

Firwat d'Vertrauen an d'Interface de falsche Kuerzwee ass

D'Tunnel-Schnittstell an eng Zone ze leeën, där hiert Zil alles akzeptéiert, léisst den ganze dechiffréierten Trafick op all Déngscht duerch, deen den Host exponéiert, och op déi, déi Dir net iwwerpréift hutt. D'vertraut Zone op enger lafender Maschinn ëmzezielen, fir restriktiv ze sinn, ass méi schlëmm, well aner Interface an Quellberäicher vläicht schonn op hir Bedeitung ugewise sinn a sech änneren, wann Dir se ännert. Wann Dir eng enk Politik braucht, maacht eng; benotzt keng gedeelt Zone ëm.

Halt och d'Zone-Zouweisung vum Tunnel stabil iwwer déi Komponent, déi déi Konfiguratioun besëtzt. D'Zouweisung beim Neistart ze verléieren, produzéiert e Feeler, deen wéi e Firewallregelproblem ausgesäit an eigentlech e Persistenzproblem ass.

Verifizéiert dräi Saachen, dorënner eng Oflehnung

Test d'äusser Verbindung vun dobaussen, test en autoriséierten internen Déngscht vun engem verbonnene Client, an test en Déngscht, dee soll onereechbar bleiwen. Den drëtten Test ass deen, deen eng Politik vun engem Nieweneffekt ënnerscheet, an et ass deen, deen d'Leit iwwersprangen, well alles ze funktionéieren schéngt. Wann den ofgeleenten Déngscht äntwert, hutt Dir eng Zone amplaz vun engem Déngscht erlaabt.

Notéiert d'Zone, de Port, den Transport an den Politikobjekt an den Notize vum Server. Soss fänkt déi nächst Ännerung op dësem Host bei der selwechter Unhuel un.