Firwat nftables den OpenVPN-Traffic tëschent Clienten net gesäit
Den Traffic tëschent Peeren gëtt bannent dem VPN-Prozess geliwwert, dofir beweege sech d'Weiderleitungszähler ni. Fir hien ze zielen, muss een tëschent dem Kernelwee an dem Prozesswee wielen.
Zwee Clienten op engem Server tausche Fichieren aus, d'Iwwerdroung geléngt, an all Weiderleitungsregel, déi Dir op den Tunnel riicht, mellt null Paketen. D'Regelen si net futti an d'Kette steet net falsch. Mat der Weiderleitung tëschent Peeren ageschalt gëtt de Pak bannent dem Serverprozess geliwwert an den Hoststack gëtt ni de Router, dofir huet d'Kernelfirewall näischt ze zielen. Dës Trennung ze verstoen entscheet, ob Dir d'Ofkierzung behält oder de Wee duerch de Kernel nei baut.
Verfollegt ee Pak duerch de Server
An engem gerouteten Tunnel gëtt den Daemon de entschlësselte Pak vun all Client un den Tunnelapparat. Vun do routt den Host en, de Weiderleitungshak leeft, an eng Regel déi op den Tunnelapparat passt kann den Traffic zielen oder verwerfen. Dat ass de Wee, deen déi meescht Firewall-Beispiller ugehollen.
| Forwarding path | Who decides | What the host firewall sees |
|---|---|---|
| Kernel routing between clients | Host routing table and forward rules | Every inner packet, with interface names |
| Peer forwarding inside the server process | The VPN daemon's own peer table | Only the outer encrypted transport |
D'Ofkierzung hëlt den Host aus der Mëtt. Den entschlësselte Pak vun enger Sitzung gëtt bannent dem Daemon un eng aner Sitzung ginn, an de bannenzege Pak gëtt ni op den Tunnelapparat ausginn an och net vum Host geroutt. Den agekapselte Traffic iwwerquiert weider de physikaleschen Interface, dofir gesäit eng baussenzeg Opnam beschäftegt aus, wärend d'bannenzeg Regelen stëll bleiwen. Eng Opnam um Tunnelapparat weist guer näischt, wat jiddereen iwwerrascht, dee sech erwaart d'Iwwerdroung do ze gesinn. Dës Asymmetrie ass de séierste Wee fir d'Ofkierzung vun dobausse vum Daemon ze erkennen.
Den Zählertest, dee entscheet wéi ee Wee gelaf ass
Hänkt en Zähler un d'Regel déi soll gëllen, fuert eng Iwwerdroung tëschent zwee Clienten aus, déi dës Regel misst blockéieren, a liest den Zähler duerno.
sudo nft list ruleset
sudo nft add rule inet filter forward iifname "tun0" oifname "tun0" counter accept
sudo nft list chain inet filter forwardWann d'Iwwerdroung geléngt an den Zähler op null bleift, huet de Kernel déi Päck ni behandelt, an et ännert näischt wéi vill een och un de Regele schafft. Widderholl deeselwechten Test géint en Déngscht um Server selwer, well dee Floss geet wierklech duerch den Hoststack an säin Zähler beweegt sech. Et ass de Verglach vun deenen zwou Resultater, dee d'Äntwert gëtt.
Zwee Detailer verhënneren eng falsch Liesung. En Interface-Numm, deen an engem Kette-Label steet, filtert vun eleng näischt, well den Ofgläich op Interface-Felder bannent de Regele geschitt. An eng iwwerbréckt Schicht-2-Konzept verhält sech nach eng Kéier anescht: do deelen d'Clienten eng Broadcast-Domän, dofir ass d'Entdecken vu Peeren erwaart an net e Routingfehler.
E Switch ass keng Zougangslescht
Dëst ass den Deel, deen en Nomëtteg kascht. D'Weiderleitung tëschent Peeren ass eng eenzeg Un-oder-Aus-Astellung, a wärend se un ass, ass den Daemon deen eenzege Weiderleitungspunkt. D'Hostfirewall kann net ausdrécken wien wien erreeche kann, an d'Fichiere pro Client maachen den Switch net zu enger Richtlinnematrix.
Wann Dir Regele pro Peer braucht, ass d'Wiel tëschent der Opgab vun der Ofkierzung an der Opgab vun der Hostfirewall als Steierung. Se auszeschalten stellt d'Kernelweiderleitung hier, wat IP-Weiderleitung um Server an ausdrécklech Regele fir déi gewënschte Flëss erfuerdert. Se unzeloossen heescht, d'Richtlinn lieft an der Konfiguratioun vum Daemon, wat praktesch all Peeren oder keng Peeren ass.
Getrennte Serverprozesser mat eegenen Adresspools a Porte sinn de gängbare Mëttelwee. All Prozess dréit genee eng Zougangsentscheedung, dofir kënnen zwou Gruppe verschidde Regele hunn ouni eng Richtlinnematrix. Den Host kann tëschent de Pools routen wann dat gemengt ass, an dann gesäit d'Firewall déi Flëss, well se den Host iwwerquieren. De Präis sinn extra Porten, extra Zertifikater an e Profil pro Grupp.
De Weiderleitungspunkt wielen
Wielt d'Kernelweiderleitung wann d'Firewall d'Richtlinnemaschinn ass, wann Dir Logging pro Floss braucht oder wann d'Ofrechnung zielt. De Präis ass den Duerchsaz duerch den Hoststack a méi Regele fir z'ënnerhalen. De Virdeel ass, datt all existent Instrument, vun Zähler bis Floss-Exporteuren, den Traffic erëm beschreift. Op engem klengen Server ass dee Präis onsiichtbar; op engem beschäftegte Relais net.
Wielt d'Weiderleitung am Prozess wann den Peertraffic entweder ganz erlaabt oder ganz verbueden ass an de Server dofir gemooss ass. De Präis ass, datt Zähler, Schlaangendisziplinnen an d'Verbindungsverfolgung déi bannenzeg Flëss net méi beschreiwen; dat ass nëmmen akzeptabel wann sech duerno keen drop verléisst.
Wat Dir och wielt, schreift et nieft d'Firewallregele. En Reegelsaz deen den Traffic tëschent Peeren ze erlaben schéngt, wärend den Daemon et awer entscheet, féiert déi nächst Persoun an d'Ier déi eng feelgeschloen Iwwerdroung debuggt. Wien nëmmen d'Regele liest, wäert unhuelen de Kernel sief d'Paart.
Wat viru Regelännerungen ze préiwen ass
Liest d'Konfiguratioun déi de Server wierklech gelueden huet, net d'Fichier déi Dir iech erënnert bearbecht ze hunn, a bestätegt ob d'Peeroptioun do ass. Wann Dir se geännert hutt, vergewëssert Iech datt den Déngscht nei gelueden huet an net just eng Fichier op der Plack nei geschriwwen huet.
Widderholl dann den Test mat engem Floss vu Client op Server fir ze beweisen datt d'Regel iwwerhaapt passt, a préift déi gedréckt Weeër, well en feelende Wee vun der Clientssäit genee wéi eng Firewallsper ausgesäit. Ännert d'Reiefolleg vun de Regele just nodeems Dir wësst wéi ee Weiderleitungspunkt d'Entscheedung huet.