firewalld ലിസണർ നിയമവും ഫോർവേഡിംഗ് നയവും: ഓരോന്നും എന്ത് ചെയ്യുന്നു

കണക്റ്റ് ചെയ്യുന്നുവെങ്കിലും എങ്ങും എത്താത്ത VPN സാധാരണയായി ഫയർവാൾ പ്രശ്നമായി വിവരിക്കപ്പെടുന്നു, ആളുകൾ സ്വീകരിക്കുന്ന പരിഹാരം ടണൽ ഇന്റർഫേസ് വിശ്വസ്ത സോണിലേക്ക് ഇടുക എന്നതാണ്. ട്രാഫിക് ഒഴുകിത്തുടങ്ങുന്നു എന്ന അർത്ഥത്തിൽ അത് പ്രവർത്തിക്കുന്നു, പക്ഷേ ഉദ്ദേശിച്ച സേവനത്തേക്കാൾ ഏറെ കാര്യങ്ങൾ അനുവദിക്കുകയും ചെയ്യുന്നു. ഇവിടെ ബന്ധപ്പെട്ട രണ്ട് നയങ്ങൾ വ്യത്യസ്തമാണ്: ഒന്ന് പുറം ഗതാഗതം കേൾക്കുന്ന സോക്കറ്റിലേക്ക് അനുവദിക്കുന്നു, മറ്റൊന്ന് ഡീക്രിപ്റ്റ് ചെയ്ത ട്രാഫിക് ഒരു നിർദ്ദിഷ്ട റിസോഴ്സിലേക്ക് എത്താൻ അധികാരം നൽകുന്നു. ഇവയെ ഒരൊറ്റ ക്രമീകരണമായി കാണുന്നതാണ് ഇടുങ്ങിയ അനുമതിയെ വിശാലമാക്കുന്നത്. രണ്ടും വ്യത്യസ്ത സ്ഥലങ്ങളിൽ തീരുമാനിക്കപ്പെടുന്നു, അതുകൊണ്ടാണ് ഈ തെറ്റ് ഇത്ര എളുപ്പമാകുന്നത്.

രണ്ട് നയങ്ങൾ, ഒരു ടണൽ

പുറം നയം ലളിതമായ ഒരു ചോദ്യത്തിന് ഉത്തരം നൽകുന്നു: ഈ ഉറവിടത്തിൽ നിന്നുള്ള പാക്കറ്റിന് ഈ ഹോസ്റ്റിലെ UDP 1194-ൽ എത്താമോ? ആന്തരിക നയം മറ്റൊന്നിന് ഉത്തരം നൽകുന്നു: ആ ടണലിന് പിന്നിലുള്ള പ്രാമാണീകരിച്ച ക്ലയന്റിന് ഈ ലക്ഷ്യസ്ഥാനത്ത്, ഈ പ്രോട്ടോക്കോളിൽ, ഈ പോർട്ടിൽ എത്താമോ? ആദ്യത്തേത് സോക്കറ്റിനെക്കുറിച്ചാണ്, രണ്ടാമത്തേത് പാതയെക്കുറിച്ചാണ്, വ്യത്യസ്ത പോയിന്റുകളിൽ തീരുമാനിക്കുന്നതിനാൽ firewalld അവയെ വ്യത്യസ്ത ഒബ്ജക്റ്റുകൾ കൊണ്ട് മോഡൽ ചെയ്യുന്നു. ഒന്ന് ഈ ഹോസ്റ്റിലെ സോക്കറ്റിന്റെ സ്വത്താണ്, മറ്റൊന്ന് അതിലൂടെയുള്ള പാതയുടേതും.

പ്രായോഗിക ഫലം എന്തെന്നാൽ പ്രവർത്തിക്കുന്ന ടണൽ രണ്ടാം നയത്തെക്കുറിച്ച് ഒന്നും പറയുന്നില്ല, ശരിയായ രണ്ടാം നയം ആദ്യത്തേതിനെ അനാവശ്യമാക്കുന്നുമില്ല.

യഥാർത്ഥ പുറം ലിസണറെ അനുവദിക്കുക

ഊഹിക്കുന്നതിനുപകരം ഇതിനകം അനുവദിച്ചിട്ടുള്ളത് പരിശോധിച്ച് തുടങ്ങുക. സജീവ സോണുകൾ വായിക്കുക, ഇൻഗ്രെസ് യഥാർത്ഥത്തിൽ വഹിക്കുന്ന സോൺ പട്ടികപ്പെടുത്തുക, ഇൻസ്റ്റാൾ ചെയ്ത സേവന നിർവചനം പരിശോധിക്കുക, കാരണം സേവനത്തിന്റെ പേര് പോർട്ടുകളുടെ ഒരു കൂട്ടം വിവരിക്കുന്നു, ഈ സെർവറിന്റെ ലിസണർ അതുമായി പൊരുത്തപ്പെടുന്നുണ്ടോ എന്ന് ഒന്നും പറയുന്നില്ല.

firewall-cmd --get-active-zones
firewall-cmd --zone=public --list-all
firewall-cmd --info-service=openvpn

ലിസണർ യഥാർത്ഥത്തിൽ ആ സോണിൽ UDP 1194 ആണെങ്കിൽ, കൃത്യമായി ആ പോർട്ടും ഗതാഗതവും തുറക്കുക, പരിശോധിച്ചതിന് ശേഷം അതേ നിർദ്ദിഷ്ട നിയമം സ്ഥിരമാക്കുക. ഉറവിട അടിസ്ഥാനമാക്കിയുള്ള അനുവദനങ്ങളും പരിശോധിക്കുക, കാരണം ഉറവിട ശ്രേണിയോട് ബന്ധിപ്പിച്ച ഒരു സോണിന് ഇന്റർഫേസ് സോൺ കാണുന്നതിന് മുമ്പുതന്നെ ട്രാഫിക് പിടിക്കാനാകും.

ഡീക്രിപ്റ്റ് ചെയ്ത ലക്ഷ്യസ്ഥാനം വെവ്വേറെ അനുവദിക്കുക

VPN സെർവറിൽ തന്നെ പ്രവർത്തിക്കുന്ന ഒരു സേവനത്തിലേക്കുള്ള കണക്ഷൻ പ്രാദേശിക-ഇൻപുട്ട് നയമാണ്. LAN-ലെ മറ്റൊരു ഹോസ്റ്റിലേക്ക് ഫോർവേഡ് ചെയ്യുന്ന കണക്ഷന് ഫോർവേഡിംഗ് നയം വേണം, കെർണലിൽ പ്രവർത്തനക്ഷമമാക്കിയ ഫോർവേഡിംഗും ഒരു മടങ്ങിവരവ് പാതയും — ഇവ മൂന്ന് വെവ്വേറെ ആവശ്യകതകളാണ്, ആളുകൾ പലപ്പോഴും ഇവയെ ഒന്നായി ചേർക്കുന്നു. ആധുനിക firewalld നയ ഒബ്ജക്റ്റുകൾ ഇൻഗ്രെസ് സോണും ഈഗ്രെസ് സോണും തമ്മിലുള്ള ദിശാബോധമുള്ള ട്രാഫിക് വിവരിക്കുന്നു, ഏത് VPN ഉറവിടങ്ങൾക്ക് ഏത് സ്വകാര്യ സേവനങ്ങളിൽ എത്താമെന്ന് പ്രകടിപ്പിക്കാനുള്ള ശരിയായ സ്ഥലം അതാണ്.

അനുവദിച്ച ഉറവിടങ്ങൾ വ്യക്തമായി നിർവചിക്കുക, ബാക്കിയെല്ലാം നിരാകരണത്തിലേക്ക് വീഴട്ടെ. പുറം സേവനത്തിനുള്ള അനുമതി ആ നയമല്ല, സോൺ ക്രമീകരണം എങ്ങനെ കാണപ്പെട്ടാലും.

ഇന്റർഫേസിൽ വിശ്വസിക്കുന്നത് എന്തുകൊണ്ട് തെറ്റായ എളുപ്പവഴിയാണ്

ലക്ഷ്യം എല്ലാം സ്വീകരിക്കുന്ന ഒരു സോണിൽ ടണൽ ഇന്റർഫേസ് ഇടുന്നത് ഹോസ്റ്റ് വെളിപ്പെടുത്തുന്ന എല്ലാ സേവനങ്ങളിലേക്കും എല്ലാ ഡീക്രിപ്റ്റ് ചെയ്ത ട്രാഫിക്കും അനുവദിക്കുന്നു, നിങ്ങൾ അവലോകനം ചെയ്യാത്തവ ഉൾപ്പെടെ. പ്രവർത്തിക്കുന്ന മെഷീനിൽ വിശ്വസ്ത സോൺ നിയന്ത്രണാത്മകമാക്കാൻ വീണ്ടും ലക്ഷ്യമിടുന്നത് അതിലും മോശമാണ്, കാരണം മറ്റ് ഇന്റർഫേസുകളും ഉറവിട ശ്രേണികളും ഇതിനകം അതിന്റെ അർത്ഥത്തെ ആശ്രയിച്ചിരിക്കാം, നിങ്ങൾ അത് തിരുത്തുമ്പോൾ പെരുമാറ്റം മാറും. ഇടുങ്ങിയ നയം വേണമെങ്കിൽ ഒന്ന് സൃഷ്ടിക്കുക; പങ്കിട്ട സോൺ വീണ്ടും ഉപയോഗിക്കരുത്.

ടണലിന്റെ സോൺ അനുവദനം ആ കോൺഫിഗറേഷൻ കൈവശം വയ്ക്കുന്ന ഏത് ഘടകത്തിലൂടെയും സ്ഥിരമായി നിലനിർത്തുക. പുനരാരംഭത്തിൽ അനുവദനം നഷ്ടപ്പെടുന്നത് ഫയർവാൾ നിയമ പ്രശ്നം പോലെ തോന്നുന്ന, എന്നാൽ യഥാർത്ഥത്തിൽ സ്ഥിരതയുടെ പ്രശ്നമായ ഒരു പരാജയം സൃഷ്ടിക്കുന്നു.

മൂന്ന് കാര്യങ്ങൾ പരിശോധിക്കുക, അതിൽ ഒരു നിരാകരണവും

പുറം കണക്ഷൻ പുറത്തുനിന്ന് പരിശോധിക്കുക, ബന്ധിപ്പിച്ച ക്ലയന്റിൽ നിന്ന് ഒരു അനുവദിച്ച ആന്തരിക സേവനം പരിശോധിക്കുക, എത്തിച്ചേരാനാകാത്തതായി തുടരേണ്ട ഒരു സേവനം പരിശോധിക്കുക. മൂന്നാമത്തെ പരിശോധനയാണ് നയത്തെ ഒരു പാർശ്വഫലത്തിൽ നിന്ന് വേർതിരിക്കുന്നത്, എല്ലാം പ്രവർത്തിക്കുന്നതായി തോന്നുന്നതിനാൽ ആളുകൾ ഒഴിവാക്കുന്നതും അതുതന്നെ. നിരാകരിച്ച സേവനം മറുപടി നൽകുന്നുവെങ്കിൽ, നിങ്ങൾ ഒരു സേവനമല്ല, ഒരു സോൺ അനുവദിച്ചിരിക്കുന്നു.

സെർവറിന്റെ കുറിപ്പുകളിൽ സോൺ, പോർട്ട്, ഗതാഗതം, നയ ഒബ്ജക്റ്റ് എന്നിവ രേഖപ്പെടുത്തുക. അല്ലെങ്കിൽ ഈ ഹോസ്റ്റിലെ അടുത്ത മാറ്റവും അതേ അനുമാനത്തിൽ നിന്ന് ആരംഭിക്കും.