Shorewall зони за двете патеки на пакети на OpenVPN
Одвојте го шифрираниот OpenVPN транспорт од дешифрираниот клиентски сообраќај, дајте ѝ на тунелот своја зона и дозволете само таа една услуга што му е потребна на клиентот.
Два текови на пакети минуваат низ Shorewall порта што го завршува OpenVPN, и само еден од нив е шифриран. Првиот е транспортот на клиентот до слушачот на VPN на интерфејсот свртен кон интернет. Вториот е дешифрираното барање што излегува од тунелскиот интерфејс кон канцелариски сервер или услуга на портата. Нацртајте ги двете пред да ја уредувате политиката, зашто правило што го задоволува првото не прави ништо за второто.
Нацртајте ги двата тека пред да ја уредувате политиката
Запишете ги тековите како редови со извор, одредиште, протокол и порта. На надворешната патека изворот е јавната адреса на клиентот, а одредиштето е портата за слушање на портата; Shorewall го третира тоа како сообраќај од интернет кон огнениот ѕид. На внатрешната патека изворот е опсегот на адреси на тунелот, а одредиштето е одобрената услуга. Двата реда имаат различни сопственици дури и кога еден администратор ги одржува и двата.
| Flow | Zone relationship | What to constrain |
|---|---|---|
| Encrypted OpenVPN transport | Internet to the firewall host | The listener's actual protocol and port |
| Decrypted request to a LAN service | VPN clients to the LAN zone | One approved server and service |
| Decrypted request to the gateway | VPN clients to the firewall host | Only the local services required |
| Request to another VPN client | VPN clients to VPN clients | Denied unless deliberately required |
Додајте ред само ако барањето завршува на самата порта, како пристап до решавачот или до администрацијата. Услугата на домаќинот ја следи политиката за влез на домаќинот, а не препратената патека. Токму мешањето на двете е причината зошто тесно правило за тунел на крајот открива административен интерфејс.
Доделете ја зоната на тунелот и опсегот на интерфејсот
Зоната на патникот се декларира во /etc/shorewall/zones, тунелскиот интерфејс се прикачува во /etc/shorewall/interfaces, а надворешната врска се опишува во /etc/shorewall/tunnels. Прилагодете се на синтаксата на инсталираното издание, зашто редоследот на колоните и имињата на опциите се сменија меѓу главните верзии. Примерната порта од водичот не е причина да се дозволи порта различна од онаа на која демонот навистина слуша. TCP и UDP не се заменливи само затоа што броевите се совпаѓаат.
Водичот ги групира интерфејсите со tun+. На домаќин со повеќе од еден тунел тој џокер знак може да постави втор VPN со различно ниво на доверба во истата зона. Прегледајте го опсегот спрема интерфејсите што навистина постојат и држете го именувањето под животниот циклус на менаџерот за врски, наместо рачно да ги уредувате имињата на интерфејсите.
Историскиот водич содржи многу постари примери за конфигурација на OpenVPN, а неговите криптографски совети не треба да се копираат во тековно распоредување. Позајмете го наместо тоа моделот на зони и текови. Криптографската основа земете ја од одржуваната OpenVPN политика на портата.
Дозволете само патеката што сте ја класифицирале
Широкото прифаќање од VPN зоната кон LAN е почетна скица, а не готова политика. Запишете го дозволениот извор на клиентот, вистинската адреса на услугата, протоколот и портата. Потоа прочитајте ги правилата над него и стандардната вредност на зоната, зашто тесен додаток не го поништува широкото дозволување што веќе се совпаѓа. Сообраќајот кон домаќинот на портата е одделен однос од сообраќајот што се препраќа низ неа.
Сообраќајот меѓу клиентите бара сопствена одлука. client-to-client на OpenVPN и routeback на Shorewall и двете влијаат на тоа дали клиентите можат да се достигнат, и ниту едно не треба да се вклучи само за да работи една LAN апликација. Одлучете каде се спроведува изолацијата пред да ја тестирате.
Држете ја патеката за одговор во истиот план. Услугата или нејзиниот рутер мора да знае како да го врати сообраќајот во опсегот на тунелот, или проектот мора намерно и во предвидениот опсег да го преведе изворот.
Проверете, потоа докажете ги двете патеки
Проверете ја конфигурацијата пред да рестартирате било што и држете отворена независна административна сесија во случај новата политика да е погрешна.
shorewall checkПо чиста проверка применете ја конфигурацијата и прочитајте што вчитал Shorewall. Овие читања ја опишуваат политиката што работи, а не она што изгледа дека го кажува датотеката.
shorewall show zones
ip route get 192.168.10.20Тестирајте едно ново дозволено барање и едно намерно одбиено барање од истиот клиент. Успешното ракување на OpenVPN докажува само надворешна размена; дозволената услуга и одбиениот ресурс ја докажуваат внатрешната политика што сте ја имале на ум. Потоа повторно поврзете го клиентот и повторете, зашто името и адресата на тунелскиот интерфејс може да се сменат меѓу сесиите. Ако резултатот се разликува, поправете го опсегот на зоната наместо да го проширите правилото.