firewalld-ийн сонсогчийн дүрэм ба дамжуулах бодлого: аль нь юу хийдэг

Холбогддог боловч хаана ч хүрдэггүй VPN-ийг ихэвчлэн галт хананы асуудал гэж тодорхойлдог бөгөөд хүмүүсийн сонгодог шийдэл нь туннелийн интерфейсийг итгэмжлэгдсэн бүсэд оруулах явдал юм. Энэ нь урсгал урсаж эхэлдэг гэсэн утгаараа ажилладаг ч зорьсон үйлчилгээнээс хамаагүй илүү зүйлийг нэвтрүүлдэг. Энд хоёр бодлого оролцож байгаа бөгөөд тэд ялгаатай: нэг нь гадаад тээврийг сонсож буй сокет руу нэвтрүүлдэг, нөгөө нь тайлагдсан урсгалыг тодорхой нөөцөд хүрэхийг зөвшөөрдөг. Тэднийг нэг тохиргоо гэж үзэх нь нарийн зөвшөөрлийг өргөн болгодог. Хоёр нь өөр өөр газар шийдэгддэг тул энэ алдааг хийхэд амархан.

Хоёр бодлого, нэг туннель

Гадаад бодлого энгийн асуултад хариулна: энэ эх сурвалжаас ирсэн пакет энэ хост дээрх UDP 1194-т хүрч чадах уу? Дотоод бодлого өөр асуултад хариулна: тэр туннелийн цаанаах баталгаажсан клиент энэ очих газарт, энэ протоколоор, энэ портод хүрч чадах уу? Эхнийх нь сокетийн тухай, хоёр дахь нь замын тухай бөгөөд firewalld тэдгээрийг өөр объектуудаар загварчилдаг, учир нь тэд өөр цэгүүдэд шийдэгддэг. Нэг нь энэ хост дээрх сокетийн шинж чанар, нөгөө нь түүгээр дамжих замын шинж чанар юм.

Практик үр дагавар нь ажиллаж буй туннель хоёр дахь бодлогын талаар юу ч хэлэхгүй, зөв хоёр дахь бодлого эхнийхийг илүүдэлгүй болгодоггүй.

Бодит гадаад сонсогчийг нэвтрүүлээрэй

Таамаглахын оронд аль хэдийн хуваарилагдсаныг шалгаж эхэл. Идэвхтэй бүсүүдийг уншиж, оролтыг үнэхээр зөөж буй бүсийг жагсааж, суулгасан үйлчилгээний тодорхойлолтыг шалга, учир нь үйлчилгээний нэр портуудын багцыг тодорхойлдог бөгөөд энэ серверийн сонсогч түүнд тохирох эсэхийг юу ч хэлэхгүй.

firewall-cmd --get-active-zones
firewall-cmd --zone=public --list-all
firewall-cmd --info-service=openvpn

Хэрэв сонсогч үнэхээр тэр бүс дээрх UDP 1194 бол яг тэр порт болон тээврийг нээж, дараа нь туршсаны дараа мөн тэр тодорхой дүрмийг байнгын болго. Эх сурвалжид суурилсан хуваарилалтыг ч шалга, учир нь эх сурвалжийн мужид холбогдсон бүс интерфейсийн бүс харахаас өмнө урсгалыг барьж чадна.

Тайлагдсан очих газрыг тусад нь зөвшөөр

VPN сервер дээр өөрөө ажиллаж буй үйлчилгээтэй холбогдох нь локал оролтын бодлого юм. LAN дахь өөр хост руу дамжуулагдах холболтод дамжуулах бодлого хэрэгтэй, цөмд идэвхжүүлсэн дамжуулалт ба буцах зам — эдгээр нь хүмүүсийн ихэвчлэн нэг болгон нэгтгэдэг гурван тусдаа шаардлага юм. firewalld-ийн орчин үеийн бодлогын объектууд оролтын болон гаралтын бүсийн хоорондох чиглэсэн урсгалыг тодорхойлдог бөгөөд аль VPN эх сурвалж аль хувийн үйлчилгээнд хүрч болохыг илэрхийлэх зөв газар нь тэр юм.

Зөвшөөрөгдсөн эх сурвалжуудыг тодорхой зааж, бусад бүх зүйлийг татгалзалд унага. Гадаад үйлчилгээний зөвшөөрөл нь тэр бодлого биш, бүсийн зохион байгуулалт хэрхэн харагдахаас үл хамааран.

Яагаад интерфейст итгэх нь буруу богино зам вэ

Туннелийн интерфейсийг зорилго нь бүгдийг хүлээж авдаг бүсэд оруулах нь хост ил гаргаж буй бүх үйлчилгээ рүү бүх тайлагдсан урсгалыг нэвтрүүлдэг, та хянаж үзээгүй үйлчилгээнүүд орно. Итгэмжлэгдсэн бүсийг ажиллаж буй машин дээр хязгаарладаг болгож дахин чиглүүлэх нь бүр дор, учир нь бусад интерфейс болон эх сурвалжийн мужууд аль хэдийн түүний утгаас хамаарч байж болох бөгөөд та засах үед зан төлөв өөрчлөгдөнө. Нарийн бодлого хэрэгтэй бол нэгийг үүсгэ; хуваалцсан бүсийг дахин ашиглах хэрэггүй.

Мөн туннелийн бүсийн хуваарилалтыг тэр тохиргоог эзэмшдэг аль ч бүрэлдэхүүнээр дамжуулан тогтвортой байлга. Дахин эхлүүлэх үед хуваарилалт алдагдах нь галт хананы дүрмийн асуудал мэт харагдах боловч үнэндээ тогтвортой байдлын асуудал болох эвдрэл үүсгэдэг.

Гурван зүйлийг шалга, түүний нэг нь татгалзал

Гадаад холболтыг гаднаас туршиж, холбогдсон клиентээс нэг зөвшөөрөгдсөн дотоод үйлчилгээг туршиж, хүрэх боломжгүй хэвээр байх ёстой нэг үйлчилгээг туршиж үз. Гурав дахь туршилт нь бодлогыг гаж нөлөөнөөс ялгадаг бөгөөд бүх зүйл ажиллаж байгаа мэт санагддаг тул хүмүүс яг үүнийг алгасдаг. Хэрэв татгалзсан үйлчилгээ хариулж байвал та үйлчилгээг биш, бүсийг нэвтрүүлсэн байна.

Бүс, порт, тээвэр, бодлогын объектыг серверийн тэмдэглэлд бич. Үгүй бол энэ хост дээрх дараагийн өөрчлөлт мөн тэр таамаглалаас эхэлнэ.