Firwat eng OpenVPN-Client-Blockregel ni op FORWARD stéisst

Zwee Cliente op demselwe OpenVPN-Server kënnen deen aneren erreechen, obwuel dir eng DROP-Regel fir hire Pool dobäigefüügt hutt. D'Regel sëtzt an der FORWARD-Kette, de Verkéier fléisst kloer, an den Zähler vun där Regel bleift op null. Déi natierlech Konklusioun ass, datt d'Firewall futti ass. Méi dacks ass de Paket guer net an d'Kette komm.

Et gëtt zwee Weeër, déi e Peer-Paket duerch en OpenVPN-Server ka goen, an se ginn duerch d'Konfiguratioun entscheet, net duerch d'Firewall. Ze wëssen, wéi ee Wee benotzt gëtt, seet Iech, ob eng Hostregel iwwerhaapt op der richteger Plaz ass.

Zwee Weeër, déi e Peer-Paket ka goen

Wann d'Optioun fir intern Weiderleedung ausgeschalt ass, kënnt e Paket vum Client A op der Tunnelinterfacce un, mat engem Zil bannent der zougewisener Adress vum Client B. D'Routentabell vum Server schéckt et duerch déi selwecht Tunnelinterfacce erëm eraus, well de Server d'Route bis zur Adress vum B huet. Dat ass en An-an-Aus-Floss duerch den Host, an den IPv4-Weiderleedungswee bewäert en.

Wann d'Optioun fir intern Weiderleedung ageschalt ass, passt de Serverprozess de Paket engem verbonnenen Client zou a schreift en direkt zu deem Client zréck. De Paket gëtt am Daemon behandelt an erëmert ni méi an den Tunnelapparat, sou datt de Weiderleedungswee vum Host komplett iwwersprong gëtt. D'OpenVPN-2.6-Handbuch beschreift dës Optioun als intern Client-zu-Client-Weiderleedung, an dat ass genee firwat eng Firewallregel um Host se net ka gesinn.

Eng drëtt Variant gëtt et a Setuppen, déi de Datenkanal op e Kernelmodul ausschaffen. D'Weiderleedungsentscheedung an d'Verschlësselung verloossen de Benotzerraum, an ob netfilter de Floss gesäit, hängt dovun of, wéi de Wee vum Auslagere gebaut ass. Huelt ni un, datt sech en ale Reegelsaz op engem ausgelagerte Server gläich verhält wéi op engem am Benotzerraum. Bestätegt de Modus aus der lafender Konfiguratioun, net aus der Pakversioun.

Wann den Zähler sech ni beweegt

En Nullzähler heescht, datt de Paket déi Regel op där Plaz net getraff huet, an et gëtt verschidde Grënn. Den éischten ass d'Ëmgoen uewendriwwer: de Verkéier huet d'Kette ni erreecht. Den zweeten ass eng Onstëmmegkeet bei Interfacce, Richtung, Quell oder Zil, wat dacks virkënnt, wann de Pool nei nummeréiert gouf an d'Regel nach deealen Prefix nennt.

Den drëtten ass d'Positioun. Eng Regel méi fréi an der Kette kann de Floss unhuelen, ier Ären DROP bewäert gëtt, an eng Regel méi spéit kann déi sinn, déi d'Resultat tatsächlech entscheet. Liest d'Kette der Rei no mat sichtbaren Zähler, a préift dann, wéi eng Regel hire Contenu klëmmt, wann Dir den Test widderhëlt.

Maacht een kontrolléierten Austausch tëschent zwee Cliente, deenen hir richteg Adressen Dir aus dem eegenen Zoustand vum Server bestätegt hutt, net aus enger Lease un déi Dir Iech erënnert. Wann den entspriechende Zähler sech nach ëmmer net beweegt, verdächtegt de Wee, ier Dir d'Passung nei schreift. Wann e sech beweegt, awer d'Verbindung nach ëmmer geléngt, gëtt den Drop méi spéit iwwerstëmmt an d'Reiefolleg ass de Problem. Déi Äntwert entscheet, ob d'Reparatur eng Regelännerung oder eng Topologieännerung ass, also fannt se, ier Dir eppes ännert.

Eng Grenz wielen, déi ka filteren

Wann d'Politik an der Firewall vum Host musse liewen, setzt de Verkéier dohi wou d'Firewall en ka gesinn. Intern Weiderleedung ofzeschalten ass dee ënnerstëtzte Wee, Peer-Verkéier duerch d'Tunnelinterfacce an de Weiderleedungswee ze kréien, op Käschte vun all Peer-Paket duerch de Stack vum Host.

Passt dann de Floss genee. De Verkéier kënnt op der Tunnelinterfacce un an geet duerch d'Tunnelinterfacce eraus, a béid Richtungen, also Reegelen déi nëmmen déi physesch Interfacce betruechten, passen net. Adressbaséiert Reegelen brauchen deeale Pool, an se mussen d'Réckrichtung esouwuel wéi d'Virrichtung berécksichtegen.

Vill Setuppe si besser bedéngt mat Filteren op Client- oder Gruppenniveau, wou d'Identitéit bekannt ass an d'Politik dem Benotzer follegt amplaz enger Adress, déi sech beim Neiverbannen ännert. Dat ass en anere Mechanismus wéi eng Hostkette, an déi zwee sollten net ouni kloere Grond gemëscht ginn.

Huet e Reegelsaz vun enger aler Topologie net onverännert iwwer eng Migratioun. Adresspools, Interface-Nimm a Weiderleedungsmodi beaflossen all, ob eng Regel passt, an eng kopéiert Regel déi fréier funktionéiert huet ass déi mannst vertrauenswürdeg Zort Beweis. Fänkt u mam Floss deen Dir wëllt erlaben a schreift d'Regel déi dozou passt.

Isolatioun testen amplaz enger Regel ze trauen

Test de verbuedenen Fall an den erlabten Fall am selwechten Laf. Start eng nei Verbindung vun engem Client op deen aneren a bestätegt datt se feelt, a bestätegt dann datt eng Verbindung déi sollt erlaabt sinn nach funktionéiert. Wann nëmmen dat Éischt getest gëtt, gesäit eng Firewall déi alles blockéiert aus wéi en Erfolleg.

Widderhëlt dat no dem Nei-Luede vun der Serverkonfiguratioun an nodeem e Client sech nei verbonnen huet, well intern Weiderleedung a Poolzouweisunge Laufzäit-Zoustand sinn. Préift d'Zähler a béid Richtungen, well eng Regel déi eng Richtung trëfft an net d'Äntwert deelweis Isolatioun mécht, déi an engem séieren Test schwéier ze bemierken ass.

Isolatioun ass dat observéiert Resultat op der Grenz déi de Floss tatsächlech dréit. Eng DROP-Regel irgendwou am Host ass kee Beweis; eng feelgeschlo Verbindung plus en beweegte Zähler op der Regel déi se verursaacht huet ass een.