OpenWrt VPN зона, проследување и маскирање: што ви треба?

Три промени се мешаат секогаш кога VPN се среќава со OpenWrt: отворање порта, дозволување проследување и вклучување маскирање. Тие одговараат на различни прашања, и обично само една од нив е вистинското барање. Читањето на секоја контрола според улогата на сообраќајот што ја управува претвора претпоставка во одлука, и исто така кажува каков симптом да очекувате кога промената е погрешна. Започнете со именување на улогата што не успеа, а не со полето за штиклирање што го паметите.

Именувајте ја улогата на сообраќајот пред да допрете контрола

Влезот на зоната одлучува што може да стигне до самиот рутер. Излезот на зоната го покрива сообраќајот што рутерот сам го создава, проследувањето на зоната е стандардната вредност за сообраќај што минува низ зона, а маскирањето одлучува дали изворната адреса се препишува на излезот. Тоа се четири различни прашања, а политиката на зоната одговара на сите одеднаш со истата вредност, затоа промената на целата зона е груба алатка. Именувано правило може да одговори на едно од нив без да ги допре останатите.

Корисната карта е според улогата на сообраќајот, бидејќи тоа е она што можете да го набљудувате кога нешто не успее. Секоја улога подолу има една контрола што ја одлучува и еден симптом што покажува на неа:

Слушателот на рутерот бара едно тесно влезно правило

OpenVPN серверот на рутерот прима сообраќај адресиран до рутерот, затоа неговата надворешна врска зависи од влезната политика на зоната што го носи. Дозволете го конфигурираниот транспорт и порта и оставете сѐ друго во таа зона одбиено. Едно правило за порта е многу помала промена од дозвола за целата зона, и токму тоа ќе можете да го објасните и по една година.

Две работи го прават тоа правило безбедно за чување: го именува портата што услугата навистина ја користи, и стои до дефиницијата на зоната за следниот човек да види зошто постои. Редовите подолу се само формата, а портата го заменува она што е конфигурирано на серверот. Сменете ја таа порта на двете места кога услугата ќе се премести, бидејќи правило оставено на старата е невидливо до ревизија.

config zone
    option name 'wan'
    option input 'REJECT'
    option forward 'REJECT'
    option output 'ACCEPT'
    option masq '1'

config rule
    option name 'allow-openvpn'
    option src 'wan'
    option proto 'udp'
    option dest_port '1194'
    option target 'ACCEPT'

Проверете пред повторно вчитување, бидејќи синтаксна грешка во датотека на огнениот ѕид може да го остави рутерот без работен сет правила. Во издание со fw4 проверката е одделна команда и таа гласно не успева наместо тивко да прифати скршен блок. Вчитајте повторно само откако проверката ќе помине, и чувајте ја претходната датотека таму каде што можете да ја вратите.

fw4 check
service firewall reload

Барањето на клиентот минува низ проследување, не низ влез

По автентикацијата, барањето на тунелски клиент за LAN услуга создава проследен тек, затоа контролата што го одлучува е односот на проследување меѓу тунелската зона и LAN зоната. Доделете го тунелскиот интерфејс на саканата зона, потоа објавете го правецот, изворите и услугата. Доделувањето на зоната е она што му дава смисла на правилото за проследување, и двете имаат смисла само прочитани заедно. Однос на проследување што ја именува тунелската зона како извор и LAN зоната како цел се чита како една намерна одлука, додека две дозволи за целата зона се читаат како несреќа.

Доаѓањето до самиот рутер сѐ уште го користи влезниот пат, затоа ping кон портата не кажува ништо за споделувањето датотеки зад неа. Тие две грешки живеат во различни блокови и се поправаат со различни измени. Запишете ги двата пата одделно пред да смените кој било од нив.

Маскирањето е одлука за рутирање, не дозвола

Маскирањето ја препишува изворната адреса на избраниот излезен сообраќај. Може да спаси излезен дизајн каде што далечната страна нема повратен пат, и исто така ги крие адресите на поединечните клиенти од секоја услуга што евидентира или одобрува според адреса. Неговото исклучување е избор за рутирање на повратниот пат, не безбедносен прекинувач што затвора влезна дупка. Тунел што работи со вклучен превод и не успева во мигот кога ќе се исклучи обично има пат што недостасува за враќање, не правило на огнениот ѕид.

Рутираната алтернатива бара повратен пат на далечната страна наместо превод. Ниту една опција не го дава дозволот на огнениот ѕид или сметката на апликацијата, затоа исклучувањето на маскирањето речиси никогаш не поправа тунелски клиент што не може никаде да стигне. Третирајте ја одделно и политиката за IPv4 и IPv6, бидејќи едно поставување за превод не ги опишува двете семејства.

Докажете ја одлуката со дозволено и одбиено барање

Испратете едно барање што треба да биде дозволено и едно што треба да биде одбиено, потоа утврдете ја контролата што ја донела секоја одлука. Страницата што случајно се вчитува не е доказ; доказот е правилото што се совпадна, во синџирот каде што се совпадна. Одбивањето е исто толку важно како успехот, бидејќи покажува дека политиката прави нешто наместо сѐ да е дозволено.

Две команди ви го даваат тој доказ во тековното издание. Бројачот на соодветното правило се поместува кога барањето е прифатено, а дневникот го покажува отфрлањето ако сте вклучиле евидентирање за правилото:

nft list chain inet fw4 forward_wan
logread -f | grep -i -E 'DROP|REJECT'

Чувајте административен пат што сѐ уште можете да го користите пред да смените која било политика на огнениот ѕид, и следете го процесот за проверка и враќање на сопственикот на конфигурацијата. Промена што ве заклучува надвор од рутерот не е резултат од тест, таа е втор инцидент. Запишете ја зоната и улогата на сообраќајот до секое набљудување, за парот резултати да ја објасни политиката наместо да опише среќно вчитување страница.