Правило на слушател во firewalld наспроти политика на проследување: што прави секое

VPN што се поврзува но не стигнува никаде обично се опишува како проблем со огнен ѕид, а решението по кое луѓето посегнуваат е да го стават интерфејсот на тунелот во доверлива зона. Тоа работи во смисла дека сообраќајот почнува да тече, но исто така пропушта многу повеќе од предвидената услуга. Двете вклучени политики се различни: едната го пропушта надворешниот транспорт до сокет што слуша, а другата го овластува дешифрираниот сообраќај да стигне до одреден ресурс. Токму третирањето на двете како едно поставување е она што ја претвора тесната дозвола во широка. Двете се решаваат на различни места, затоа грешката е толку лесна.

Две политики, еден тунел

Надворешната политика одговара на едноставно прашање: може ли пакет од овој извор да стигне до UDP 1194 на овој домаќин? Внатрешната политика одговара на друго: може ли автентифицираниот клиент зад тој тунел да стигне до оваа дестинација, со овој протокол, на овој порт? Првата е за сокет, втората е за патека, и firewalld ги моделува со различни објекти зашто се решаваат на различни точки. Едната е својство на сокет на овој домаќин, другата на патека низ него.

Практичната последица е дека тунелот што работи не кажува ништо за втората политика, а точната втора политика не ја прави првата излишна.

Пропуштете го вистинскиот надворешен слушател

Започнете со проверка на она што е веќе доделено, наместо со претпоставка. Прочитајте ги активните зони, наведете ја зоната што навистина го носи влезниот сообраќај и проверете ја инсталираната дефиниција на услугата, бидејќи името на услугата опишува збир порти и не кажува ништо за тоа дали слушателот на овој сервер се совпаѓа со неа.

firewall-cmd --get-active-zones
firewall-cmd --zone=public --list-all
firewall-cmd --info-service=openvpn

Ако слушателот е навистина UDP 1194 во таа зона, отворете го токму тој порт и транспорт, потоа направете го истото конкретно правило трајно откако ќе го тестирате. Проверете ги и доделувањата врз основа на извор, бидејќи зона врзана за опсег на извори може да го фати сообраќајот пред зоната на интерфејсот воопшто да го види.

Овластете ја дешифрираната дестинација одделно

Поврзувањето со услуга што работи на самиот VPN сервер е политика на локален влез. Поврзувањето што се проследува до друг домаќин во LAN бара политика на проследување, проследување овозможено во јадрото и повратна рута — тоа се три одделни барања што луѓето често ги спојуваат во едно. Современите објекти на политики во firewalld опишуваат насочен сообраќај меѓу влезна и излезна зона, и токму таму е вистинското место да се изрази кои VPN извори смеат да стигнат до кои приватни услуги.

Дефинирајте ги дозволените извори експлицитно и оставете сѐ друго да падне во одбивање. Дозволата за надворешната услуга не е таа политика, како и да изгледа распоредот на зоните.

Зошто довербата во интерфејсот е погрешната кратенка

Ставањето на интерфејсот на тунелот во зона чија цел прифаќа сѐ го пропушта целиот дешифриран сообраќај до секоја услуга што домаќинот ја изложува, вклучително и тие што не сте ги прегледале. Пренасочувањето на доверливата зона да биде ограничувачка на машина што работи е полошо, бидејќи други интерфејси и опсези на извори може веќе да зависат од нејзиното значење и ќе го променат однесувањето кога ќе ја уредите. Ако ви треба тесна политика, создадете една; не преупотребувајте споделена зона.

Исто така одржувајте ја доделбата на зоната на тунелот стабилна преку која и да е компонента што ја поседува таа конфигурација. Губењето на доделбата при рестарт создава дефект што изгледа како проблем со правило на огнен ѕид, а всушност е проблем со трајност.

Проверете три работи, вклучително едно одбивање

Тестирајте го надворешното поврзување однадвор, тестирајте една овластена внатрешна услуга од поврзан клиент и тестирајте една услуга што треба да остане недостапна. Третиот тест е оној што ја разликува политиката од несакан ефект, и токму него луѓето го прескокнуваат зашто сѐ изгледа дека работи. Ако одбиената услуга одговори, сте пропуштиле зона, а не услуга.

Запишете ја зоната, портот, транспортот и објектот на политика во белешките на серверот. Инаку следната промена на овој домаќин ќе започне од истата претпоставка.