Shorewall zonos dviem OpenVPN paketų keliams
Atskirkite šifruotą OpenVPN transportą nuo iššifruoto kliento srauto, suteikite tuneliui savo zoną ir leiskite tik tą vieną paslaugą, kurios klientui reikia.
Du paketų srautai kerta Shorewall šliuzą, kuris užbaigia OpenVPN, ir tik vienas jų yra šifruotas. Pirmasis yra kliento transportas į VPN klausytoją interneto link nukreiptoje sąsajoje. Antrasis yra iššifruota užklausa, kuri palieka tunelio sąsają, biuro serverio arba šliuze esančios paslaugos link. Nubraižykite abu prieš redaguodami politiką, nes taisyklė, tenkinanti pirmąjį, antrajam nieko nedaro.
Nubraižykite du srautus prieš redaguodami politiką
Užrašykite srautus kaip eilutes su šaltiniu, paskirties vieta, protokolu ir prievadu. Išoriniame kelyje šaltinis yra viešasis kliento adresas, o paskirties vieta yra šliuzo klausymo prievadas; Shorewall tai traktuoja kaip srautą iš interneto į ugniasienę. Vidiniame kelyje šaltinis yra tunelio adresų diapazonas, o paskirties vieta yra patvirtinta paslauga. Abi eilutės turi skirtingus savininkus, net kai vienas administratorius prižiūri abi.
| Flow | Zone relationship | What to constrain |
|---|---|---|
| Encrypted OpenVPN transport | Internet to the firewall host | The listener's actual protocol and port |
| Decrypted request to a LAN service | VPN clients to the LAN zone | One approved server and service |
| Decrypted request to the gateway | VPN clients to the firewall host | Only the local services required |
| Request to another VPN client | VPN clients to VPN clients | Denied unless deliberately required |
Pridėkite eilutę tik tada, kai užklausa baigiasi pačiame šliuze, pavyzdžiui, prieiga prie sprendiklio ar valdymo. Paslauga pagrindiniame kompiuteryje laikosi pagrindinio kompiuterio įvesties politikos, o ne persiunčiamo kelio. Būtent šių dviejų maišymas lemia, kad siaura tunelio taisyklė galiausiai atskleidžia administravimo sąsają.
Priskirkite tunelio zoną ir sąsajos aprėptį
Keliautojo zona deklaruojama /etc/shorewall/zones, tunelio sąsaja pridedama /etc/shorewall/interfaces, o išorinis ryšys aprašomas /etc/shorewall/tunnels. Prisitaikykite prie įdiegtos versijos sintaksės, nes stulpelių tvarka ir parinkčių pavadinimai tarp pagrindinių versijų pasikeitė. Vadovo pavyzdinis prievadas nėra priežastis leisti kitą prievadą nei tą, kuriame tarnyba iš tikrųjų klausosi. TCP ir UDP nėra keičiami vien todėl, kad skaičiai sutampa.
Vadovas grupuoja sąsajas naudodamas tun+. Kompiuteryje su daugiau nei vienu tuneliu šis pakaitos simbolis gali į tą pačią zoną įdėti antrą skirtingo pasitikėjimo lygio VPN. Peržiūrėkite aprėptį pagal faktiškai egzistuojančias sąsajas ir laikykite pavadinimus ryšių tvarkyklės gyvavimo cikle, o ne redaguokite sąsajų pavadinimus rankiniu būdu.
Istoriniame vadove yra daug senesnių OpenVPN konfigūracijos pavyzdžių, o jo šifravimo patarimų nereikėtų kopijuoti į dabartinį diegimą. Pasiskolinkite zonų ir srautų modelį. Šifravimo pagrindą imkite iš prižiūrimos šliuzo OpenVPN politikos.
Leiskite tik tą kelią, kurį klasifikavote
Platus priėmimas iš VPN zonos į LAN yra pradinė schema, o ne baigta politika. Užrašykite leidžiamą kliento šaltinį, tikrąjį paslaugos adresą, protokolą ir prievadą. Tada perskaitykite taisykles virš jo ir zonos numatytąją reikšmę, nes siauras papildymas nepanaikina jau atitinkančio plataus leidimo. Srautas į šliuzo kompiuterį yra atskiras santykis nuo srauto, persiunčiamo per jį.
Srautas tarp klientų reikalauja atskiro sprendimo. OpenVPN client-to-client ir Shorewall routeback abu veikia tai, ar klientai gali pasiekti vienas kitą, ir nė vieno nereikėtų įjungti vien tam, kad veiktų viena LAN programa. Nuspręskite, kur taikoma izoliacija, prieš tai išbandydami.
Laikykite atsakymo kelią tame pačiame plane. Paslauga arba jos maršrutizatorius turi žinoti, kaip grąžinti srautą į tunelio diapazoną, arba projektas turi sąmoningai išversti šaltinį ir neviršijant numatytos aprėpties.
Patikrinkite, tada įrodykite abu kelius
Patikrinkite konfigūraciją prieš ką nors perkraudami ir palikite atvirą nepriklausomą administravimo sesiją, jei nauja politika būtų klaidinga.
shorewall checkPo švarios patikros pritaikykite konfigūraciją ir perskaitykite, ką Shorewall įkėlė. Šie skaitymai apibūdina veikiančią politiką, o ne tai, ką failas tarsi sako.
shorewall show zones
ip route get 192.168.10.20Išbandykite vieną naują leidžiamą užklausą ir vieną sąmoningai atmestą užklausą iš to paties kliento. Sėkmingas OpenVPN rankos paspaudimas įrodo tik išorinius mainus; leidžiama paslauga ir atmestas išteklius įrodo vidinę politiką, kurios siekėte. Tada vėl prijunkite klientą ir pakartokite, nes tunelio sąsajos pavadinimas ir adresas gali pasikeisti tarp sesijų. Jei rezultatas skiriasi, pataisykite zonos aprėptį, o ne plėskite taisyklę.