OpenWrt VPN-Zon, Weiderleedung a Maskéierung: wat brauch een?
Zonen-Agang, Weiderleedung a Maskéierung beäntweren ënnerschiddlech Froen. Entscheet, wat ären VPN-Trafic brauch, ier Dir d’WAN-Zon opmaacht.
Dräi Ännerunge gi gemëscht, ëmmer wann eng VPN op OpenWrt trëfft: en Dräi opmaachen, Weiderleedung erlaben an d’Maskéierung aschalten. Si beäntweren ënnerschiddlech Froen, an normalerweis ass just eng dovun déi tatsächlech Ufuerderung. Wann een all Kontroll no der Trafic-Roll liest, déi se regéiert, gëtt aus enger Vermutung eng Entscheedung, an et seet och, wéi ee Symptom ze erwaarden ass, wann d’Ännerung falsch ass. Fänkt domat un, d’Roll ze nennen, déi versot huet, net d’Kräiz, un dat Dir Iech erënnert.
Nennt d’Trafic-Roll, ier Dir eng Kontroll beréiert
Den Zonen-Agang entscheet, wat de Router selwer erreeche kann. Den Zonen-Ausgang deckt den Trafic of, deen de Router selwer generéiert, d’Weiderleedung vun der Zon ass de Standard fir Trafic, deen duerch eng Zon geet, an d’Maskéierung entscheet, ob d’Quelladress um Wee eraus ëmgeschriwwe gëtt. Dat sinn véier verschidde Froen, an eng Zonepolitik beäntwert se all op eemol mat demselwe Wäert, dofir ass eng Ännerung iwwer déi ganz Zon e graff Instrument. Eng benannt Regel kann een dovun beäntweren, ouni déi aner ze beréieren.
Déi nëtzlech Kaart ass no Trafic-Roll, well dat ass wat Dir observéiere kënnt, wann eppes versot. All Roll hei drënner huet eng Kontroll, déi se entscheet, an ee Symptom, deen drop weist:
| Traffic role | Control that decides it | Where it lives in the config | Symptom when it is wrong |
|---|---|---|---|
| A client reaching a listener on the router | Input policy of the zone that carries the connection, or a rule for the port | option input in the zone stanza, or a named rule | The handshake never completes and the tunnel log says nothing |
| A tunnel client reaching the router itself | Input policy of the tunnel zone | option input in the VPN zone | A ping to the gateway fails |
| A tunnel client reaching another LAN host | Forwarding from the tunnel zone to the LAN zone | config forwarding plus the zone assignment | The gateway answers and the file share times out |
| The router's own traffic leaving the WAN | Output policy, and translation if the far side needs it | option output and option masq | The tunnel never establishes, or replies vanish |
En Nolauschterer um Router brauch eng eenzeg schmuel Agangsregel
En OpenVPN-Server um Router kritt Trafic, deen un de Router adresséiert ass, dofir hänkt seng baussenzeg Verbindung vun der Agangspolitik vun der Zon of, déi en dréit. Erlaabt den konfiguréierten Transport an de Port a loosst alles anescht an där Zon verworf. Eng eenzeg Portsregel ass eng vill méi kleng Ännerung wéi eng Erlaabnes iwwer déi ganz Zon, an et ass déi, déi Dir nach an engem Joer erkläre kënnt.
Zwee Saachen maachen déi Regel sécher ze halen: se nennt de Port, deen de Service tatsächlech benotzt, a se steet nieft der Zonendefinitioun, sou datt déi nächst Persoun gesäit, firwat se existéiert. D’Linnen hei drënner sinn d’Form, woubäi de Port dat ersetzt, wat um Server konfiguréiert ass. Ännert dee Port op béide Plaze wann de Service ëmzitt, well eng Regel, déi um ale bleift, ass bis zu enger Audit onsiichtbar.
config zone
option name 'wan'
option input 'REJECT'
option forward 'REJECT'
option output 'ACCEPT'
option masq '1'
config rule
option name 'allow-openvpn'
option src 'wan'
option proto 'udp'
option dest_port '1194'
option target 'ACCEPT'Validéiert ier Dir nei lued, well e Syntaxfehler an enger Firewall-Datei de Router ouni funktionéierend Reegleset ka loossen. An enger Versioun mat fw4 ass d’Kontroll en eegene Befehl, an e schléit haart fehl, amplaz e kaputte Block stëll ze akzeptéieren. Lued nëmmen nei nodeems d’Kontroll duerch ass, a behält déi vireg Datei do, wou Dir se kënnt zrécksetzen.
fw4 check
service firewall reloadD’Ufro vun engem Client geet duerch d’Weiderleedung, net duerch den Agang
No der Authentifikatioun mécht d’Ufro vun engem Tunnel-Client no engem LAN-Service en weidergeleeten Floss, dofir ass d’Kontroll, déi dat entscheet, d’Weiderleedungsbezéiung tëscht der Tunnelzon an der LAN-Zon. Weist dem Tunnelinterface déi gewënscht Zon zou, a deklaréiert dann d’Richtung, d’Quellen an de Service. D’Zouzweedung vun der Zon ass dat, wat der Weiderleedungsregel Bedeitung gëtt, an déi zwee erginn nëmme Sënn zesummen gelies. Eng Weiderleedungsbezéiung, déi d’Tunnelzon als Quell an d’LAN-Zon als Zil nennt, liesst sech als eng bewosst Entscheedung, wärend zwou Erlaabnesser iwwer déi ganz Zon sech als Accident liesen.
De Router selwer z’erreechen benotzt nach ëmmer den Agangswee, dofir seet e Ping op de Gateway näischt iwwer d’Dateifräigab hannendrun. Déi zwou Feeler liewen a verschidde Bléck a ginn mat verschidden Ännerunge behuewen. Schreift béid Weeër getrennt op, ier Dir een dovun ännert.
D’Maskéierung ass eng Routing-Entscheedung, keng Erlaabnes
D’Maskéierung schreift d’Quelladress vum ausgewielten erausgehendem Trafic ëm. Se kann en Ausgangsdesign retten, wou déi wäit Säit keng Zréckroute huet, an se verstoppt och d’Adresse vun eenzelen Clienten virun all Service, dee Adressen loggt oder no Adress autoriséiert. Se auszeschalten ass eng Routing-Wiel iwwer de Zréckwee, net en Sécherheetsschalter, dee en agaangend Lach zoumécht. En Tunnel, dee mat der Iwwersetzung un funktionéiert an am Moment versot, wou se ausgeschalt gëtt, huet normalerweis eng fehlend Zréckroute, net eng fehlend Firewallregel.
Déi geroutete Alternativ brauch eng Zréckroute op der wäiter Säit amplaz vun der Iwwersetzung. Keng vun den zwou Optioune liwwert d’Firewall-Erlaabnes oder de Applikatiounskont, dofir reparéiert d’Ausschalte vun der Maskéierung bal ni en Tunnelclient, deen néierens hikënnt. Behandelt d’Politik fir IPv4 an IPv6 och getrennt, well eng eenzeg Iwwersetzungsastellung net béid Famillen beschreift.
Beweist d’Entscheedung mat enger erlaabter an enger verworfener Ufro
Schéckt eng Ufro, déi sollt erlaabt ginn, an eng, déi sollt verworf ginn, a bestëmmt dann d’Kontroll, déi all Entscheedung getraff huet. Eng Säit, déi zoufälleg lued, ass kee Beweis; de Beweis ass d’Regel, déi gepasst huet, an der Kette, wou se gepasst huet. D’Verwerfung zielt esou vill wéi den Erfolleg, well se weist, datt d’Politik eppes mécht, amplaz datt alles erlaabt ass.
Zwee Befehlen ginn Iech dee Beweis op enger aktueller Versioun. Den Zähler op der passender Regel beweegt sech, wann d’Ufro ugeholl gëtt, an de Log weist de Verwerf, wann Dir d’Logging fir d’Regel ageschalt hutt:
nft list chain inet fw4 forward_wan
logread -f | grep -i -E 'DROP|REJECT'Behält en Administratiounswee, deen Dir nach benotze kënnt, ier Dir eng Firewallpolitik ännert, a befollegt den Validéierungs- an Zrécksetzprozess vum Besëtzer vun der Konfiguratioun. Eng Ännerung, déi Iech aus dem Router ausschléisst, ass kee Testresultat, et ass en zweeten Incident. Nottéiert d’Zon an d’Trafic-Roll nieft all Observatioun, sou datt d’Resultatspuer d’Politik erkläert amplaz eng glécklech Säitelued ze beschreiwen.