Shorewall-Zonen fir déi zwou OpenVPN-Paketweeër
Trennt den verschlësselte OpenVPN-Transport vum entschlësselte Client-Trafic, gitt dem Tunnel seng eege Zone a loosst nëmmen deen eenzegen Déngscht zou, deen de Client brauch.
Zwee Paketflëss ginn duerch eng Shorewall-Paart, déi OpenVPN terminéiert, a just een dovun ass verschlësselt. Den éischten ass den Transport vum Client bis zum VPN-Lauschterer op der internet-zougedréiter Interface. Den zweeten ass déi entschlësselt Ufro, déi d’Tunnel-Interface verléisst, op en Büroserver oder en Déngscht op der Paart. Zeechent béid op, ier Dir d’Politik ännert, well eng Regel, déi déi éischt erfëllt, fir déi zweet näischt mécht.
Zeechent déi zwou Flëss, ier Dir d’Politik ännert
Schreift d’Flëss als Zeilen mat Quell, Zil, Protokoll a Port. Op dem baussenzege Wee ass d’Quell d’ëffentlech Adress vum Client an d’Zil ass de Lauschterport vun der Paart; Shorewall behandelt dat als Trafic vum Internet op d’Firewall. Op dem bannenzege Wee ass d’Quell de Beräich vun den Tunneladressen an d’Zil ass den approuvéierten Déngscht. Déi zwou Zeilen hunn ënnerschiddlech Besëtzer, och wa een Administrateur béid ënnerhält.
| Flow | Zone relationship | What to constrain |
|---|---|---|
| Encrypted OpenVPN transport | Internet to the firewall host | The listener's actual protocol and port |
| Decrypted request to a LAN service | VPN clients to the LAN zone | One approved server and service |
| Decrypted request to the gateway | VPN clients to the firewall host | Only the local services required |
| Request to another VPN client | VPN clients to VPN clients | Denied unless deliberately required |
Füügt nëmmen eng Zeil derbäi, wann d’Ufro op der Paart selwer ophält, sou wéi den Zougang zum Resolver oder zur Verwaltung. En Déngscht um Host follegt der Host-Input-Politik, net dem weidergeleetem Wee. Genau d’Vermëssche vun deenen zwee ass de Grond, firwat eng enk Tunnelregel eng Verwaltungsinterface blousleeë kann.
Weist dem Tunnel seng Zone an den Interface-Ëmfang zou
D’Reesender-Zone gëtt an /etc/shorewall/zones deklaréiert, d’Tunnel-Interface gëtt an /etc/shorewall/interfaces ugehaang, an déi baussenzeg Verbindung gëtt an /etc/shorewall/tunnels beschriwwen. Passt Iech un d’Syntax vun der installéierter Versioun un, well d’Kolonnenuerdnung an d’Optionsnimm tëschent Haaptversiounen geännert hunn. De Beispillport aus dem Guide ass kee Grond, en anere Port ze erlaben wéi deen, op deem den Daemon tatsächlech lauschtert. TCP an UDP sinn net austauschbar, just well d’Zuelen iwwereneestëmmen.
De Guide gruppéiert Interfaces mat tun+. Op engem Host mat méi wéi engem Tunnel kann dëst Plazhalterzeechen en zweeten VPN mat engem aneren Vertrauensniveau an déiselwecht Zone setzen. Iwwerpréift den Ëmfang géint d’Interfaces, déi tatsächlech existéieren, a haalt d’Benennung ënner dem Liewenszyklus vum Verbindungsmanager, amplaz d’Interface-Nimm vun Hand ze änneren.
Den historesche Guide enthält vill méi al OpenVPN-Konfiguratiounsbeispiller, an seng Krypto-Rotschléi sollten net an eng aktuell Asetzung kopéiert ginn. Leint Iech amplaz d’Zonen- a Flëssmodell. Huelt d’kryptografesch Basis aus der ënnerhalener OpenVPN-Politik vun der Paart.
Loosst nëmmen dee Wee zou, deen Dir klassifizéiert hutt
Eng breet Akzeptanz vun der VPN-Zone op d’LAN ass en Ufankschema, keng fäerdeg Politik. Schreift d’erlaabt Clientquell, déi tatsächlech Déngschtadress, de Protokoll an de Port. Liest duerno d’Regele driwwer an den Zonen-Default, well eng enk Ergänzung eng breet Erlaabnes, déi schonn entsprécht, net ophieft. Den Trafic op den Host vun der Paart ass eng aner Bezéiung wéi den Trafic, deen duerch si weidergeleet gëtt.
Client-zu-Client-Trafic brauch seng eege Entscheedung. Dem OpenVPN seng client-to-client an dem Shorewall seng routeback beaflossen allebéid, ob d’Clienten sech kënnen erreechen, an keen dovun däerf just aktivéiert ginn, fir eng eenzeg LAN-Applikatioun ze bedreiwen. Entscheet, wou d’Isolatioun ëmgesat gëtt, ier Dir se testt.
Haalt de Réckwee am selwechte Plang. Den Déngscht oder säi Router muss wëssen, wéi den Trafic zréck an de Tunnelberäich kënnt, oder den Design muss d’Quell bewosst an am virgesäiten Ëmfang iwwersetzen.
Validéiert, a bewisen duerno béid Weeër
Validéiert d’Konfiguratioun, ier Dir eppes nei start, a haalt eng onofhängeg Administratiounssitzung op, wann déi nei Politik falsch ass.
shorewall checkNo enger propperer Iwwerpréiwung setzt d’Konfiguratioun ëm a liest zréck, wat Shorewall gelueden huet. Dës Liesunge beschreiwen déi lafend Politik an net dat, wat eng Datei ze soen schéngt.
shorewall show zones
ip route get 192.168.10.20Testt eng nei erlaabt Ufro an eng bewosst ofgeleent Ufro vum selwechte Client. En erfollegräichen OpenVPN-Handshake beweist nëmmen den baussenzege Austausch; den erlaabten Déngscht an déi ofgeleent Ressource beweisen déi bannenzeg Politik, déi Dir virgesinn hutt. Verbënnt den Client duerno nei a widderhielt, well den Numm an d’Adress vun der Tunnel-Interface tëschent Sitzungen ännere kënnen. Wann d’Resultat anescht ass, korrigéiert den Zonenëmfang amplaz d’Regel ze verbreeden.