Shorewall zonas diviem OpenVPN pakešu ceļiem
Atdaliet šifrēto OpenVPN transportu no atšifrētās klienta plūsmas, piešķiriet tunelim savu zonu un atļaujiet tikai to vienu pakalpojumu, kas klientam nepieciešams.
Divas pakešu plūsmas šķērso Shorewall vārteju, kas pārtrauc OpenVPN, un tikai viena no tām ir šifrēta. Pirmā ir klienta transports uz VPN klausītāju interneta virzienā vērstajā saskarnē. Otrā ir atšifrētais pieprasījums, kas atstāj tuneļa saskarni, uz biroja serveri vai pakalpojumu uz vārtejas. Uzzīmējiet abas pirms politikas rediģēšanas, jo noteikums, kas apmierina pirmo, otrajam neko nedara.
Uzzīmējiet abas plūsmas pirms politikas rediģēšanas
Pierakstiet plūsmas kā rindas ar avotu, galamērķi, protokolu un portu. Ārējā ceļā avots ir klienta publiskā adrese, bet galamērķis ir vārtejas klausīšanās ports; Shorewall to uzskata par plūsmu no interneta uz ugunsmūri. Iekšējā ceļā avots ir tuneļa adrešu diapazons, bet galamērķis ir apstiprinātais pakalpojums. Abām rindām ir atšķirīgi īpašnieki arī tad, ja vienam administratoram jāuztur abas.
| Flow | Zone relationship | What to constrain |
|---|---|---|
| Encrypted OpenVPN transport | Internet to the firewall host | The listener's actual protocol and port |
| Decrypted request to a LAN service | VPN clients to the LAN zone | One approved server and service |
| Decrypted request to the gateway | VPN clients to the firewall host | Only the local services required |
| Request to another VPN client | VPN clients to VPN clients | Denied unless deliberately required |
Pievienojiet rindu tikai tad, ja pieprasījums beidzas pašā vārtejā, piemēram, piekļuve atrisinātājam vai pārvaldībai. Pakalpojums uz resursdatora ievēro resursdatora ievades politiku, nevis pārsūtīto ceļu. Tieši šo divu sajaukšana ir iemesls, kāpēc šaurs tuneļa noteikums galu galā atklāj pārvaldības saskarni.
Piešķiriet tuneļa zonu un saskarnes apjomu
Ceļotāja zona tiek deklarēta /etc/shorewall/zones, tuneļa saskarne tiek pievienota /etc/shorewall/interfaces, bet ārējais savienojums tiek aprakstīts /etc/shorewall/tunnels. Pielāgojieties instalētās versijas sintaksei, jo kolonnu secība un opciju nosaukumi starp galvenajām versijām ir mainījušies. Rokasgrāmatas piemēra ports nav iemesls atļaut citu portu nekā to, kurā dēmons faktiski klausās. TCP un UDP nav savstarpēji aizstājami tikai tāpēc, ka skaitļi sakrīt.
Rokasgrāmata grupē saskarnes ar tun+. Resursdatorā ar vairāk nekā vienu tuneli šis aizstājējs var ievietot otru atšķirīgas uzticības pakāpes VPN tajā pašā zonā. Pārskatiet apjomu pret faktiski esošajām saskarnēm un turiet nosaukumu piešķiršanu savienojumu pārvaldnieka dzīves ciklā, nevis rediģējiet saskarnes nosaukumus ar roku.
Vēsturiskajā rokasgrāmatā ir daudz vecāki OpenVPN konfigurācijas piemēri, un tās šifrēšanas ieteikumus nevajadzētu kopēt pašreizējā izvietošanā. Aizņemieties zonas un plūsmas modeli. Šifrēšanas pamatu ņemiet no uzturētās vārtejas OpenVPN politikas.
Atļaujiet tikai to ceļu, kuru klasificējāt
Plaša atļauja no VPN zonas uz LAN ir sākuma shēma, nevis gatava politika. Pierakstiet atļauto klienta avotu, faktisko pakalpojuma adresi, protokolu un portu. Pēc tam izlasiet noteikumus virs tā un zonas noklusējumu, jo šaurs papildinājums neatceļ jau atbilstošu plašu atļauju. Plūsma uz vārtejas resursdatoru ir atsevišķa attiecība no plūsmas, kas tiek pārsūtīta caur to.
Plūsmai starp klientiem nepieciešams atsevišķs lēmums. OpenVPN client-to-client un Shorewall routeback abi ietekmē to, vai klienti var viens otru sasniegt, un nevienu nevajadzētu iespējot tikai tāpēc, lai darbotos viena LAN lietotne. Izlemiet, kur tiek ieviesta izolācija, pirms to pārbaudāt.
Turiet atbildes ceļu tajā pašā plānā. Pakalpojumam vai tā maršrutētājam jāzina, kā atgriezt plūsmu tuneļa diapazonā, vai arī projektam apzināti un paredzētajā apjomā jāpārveido avots.
Pārbaudiet un pēc tam pierādiet abus ceļus
Pārbaudiet konfigurāciju pirms kaut kā restartēšanas un turiet atvērtu neatkarīgu administrēšanas sesiju, ja jaunā politika izrādītos nepareiza.
shorewall checkPēc tīras pārbaudes piemērojiet konfigurāciju un nolasiet, ko Shorewall ielādēja. Šie nolasījumi apraksta darbojošos politiku, nevis to, ko fails it kā saka.
shorewall show zones
ip route get 192.168.10.20Pārbaudiet vienu jaunu atļauto pieprasījumu un vienu apzināti noraidītu pieprasījumu no tā paša klienta. Veiksmīga OpenVPN rokasspiediena rezultāts pierāda tikai ārējo apmaiņu; atļautais pakalpojums un noraidītais resurss ir pierādījums paredzētajai iekšējai politikai. Pēc tam atkārtoti pievienojiet klientu un atkārtojiet, jo tuneļa saskarnes nosaukums un adrese starp sesijām var mainīties. Ja rezultāts atšķiras, labojiet zonas apjomu, nevis paplašiniet noteikumu.