दोन OpenVPN पॅकेट मार्गांसाठी Shorewall झोन
एन्क्रिप्टेड OpenVPN वाहतूक डिक्रिप्टेड क्लायंट रहदारीपासून वेगळी करा, टनेलला स्वतःचा झोन द्या आणि क्लायंटला आवश्यक असलेल्या एकाच सेवेला परवानगी द्या.
दोन पॅकेट प्रवाह OpenVPN संपवणाऱ्या Shorewall गेटवेमधून जातात, आणि त्यापैकी फक्त एक एन्क्रिप्टेड आहे। पहिला इंटरनेटकडे असलेल्या इंटरफेसवरील VPN श्रोत्याकडे क्लायंटची वाहतूक आहे। दुसरा टनेल इंटरफेस सोडणारी डिक्रिप्टेड विनंती आहे, जी ऑफिस सर्व्हर किंवा गेटवेवरील सेवेकडे जाते। धोरण संपादित करण्यापूर्वी दोन्ही नकाशावर आणा, कारण पहिल्याला पूर्ण करणारा नियम दुसऱ्यासाठी काहीही करत नाही।
धोरण संपादित करण्यापूर्वी दोन्ही प्रवाह काढा
प्रवाह स्रोत, गंतव्य, प्रोटोकॉल आणि पोर्टसह ओळी म्हणून लिहा। बाह्य मार्गावर स्रोत क्लायंटचा सार्वजनिक पत्ता आहे आणि गंतव्य गेटवेचा श्रवण पोर्ट आहे; Shorewall हे इंटरनेटकडून फायरवॉलकडे जाणारी रहदारी मानते। अंतर्गत मार्गावर स्रोत टनेल पत्ता श्रेणी आहे आणि गंतव्य मंजूर सेवा आहे। एकच प्रशासक दोन्ही सांभाळत असला तरी दोन्ही ओळींचे मालक वेगळे असतात।
| Flow | Zone relationship | What to constrain |
|---|---|---|
| Encrypted OpenVPN transport | Internet to the firewall host | The listener's actual protocol and port |
| Decrypted request to a LAN service | VPN clients to the LAN zone | One approved server and service |
| Decrypted request to the gateway | VPN clients to the firewall host | Only the local services required |
| Request to another VPN client | VPN clients to VPN clients | Denied unless deliberately required |
विनंती गेटवेवरच संपत असेल तरच ओळ जोडा, उदाहरणार्थ रिझोल्व्हर किंवा व्यवस्थापन प्रवेश। होस्टवरील सेवा फॉरवर्ड केलेल्या मार्गाचे नाही, होस्ट-इनपुट धोरणाचे पालन करते। हे दोन्ही मिसळल्यामुळेच अरुंद टनेल नियम व्यवस्थापन इंटरफेस उघड करतो।
टनेल झोन आणि इंटरफेस व्याप्ती निश्चित करा
प्रवासी झोन /etc/shorewall/zones मध्ये घोषित केला जातो, टनेल इंटरफेस /etc/shorewall/interfaces मध्ये जोडला जातो, आणि बाह्य कनेक्शन /etc/shorewall/tunnels मध्ये वर्णन केले जाते। स्थापित आवृत्तीच्या सिंटॅक्सशी जुळवून घ्या, कारण स्तंभ क्रम आणि पर्याय नावे प्रमुख आवृत्त्यांमध्ये बदलली आहेत। मार्गदर्शकातील उदाहरण पोर्ट हा डेमन प्रत्यक्षात ज्या पोर्टवर ऐकतो त्यापेक्षा वेगळ्या पोर्टला परवानगी देण्याचे कारण नाही। फक्त संख्या जुळतात म्हणून TCP आणि UDP अदलाबदल करण्यायोग्य नाहीत।
मार्गदर्शक इंटरफेस tun+ ने गटबद्ध करते। एकापेक्षा जास्त टनेल असलेल्या होस्टवर ते वाइल्डकार्ड वेगळ्या विश्वास पातळीचे दुसरे VPN त्याच झोनमध्ये ठेवू शकते। व्याप्ती प्रत्यक्षात असलेल्या इंटरफेसच्या तुलनेत तपासा, आणि इंटरफेसची नावे हाताने संपादित करण्याऐवजी नामकरण कनेक्शन व्यवस्थापकाच्या जीवनचक्राखाली ठेवा।
ऐतिहासिक मार्गदर्शकात खूप जुने OpenVPN संरचना नमुने आहेत, आणि त्याचा क्रिप्टो सल्ला सध्याच्या उपयोजनात कॉपी करू नये। त्याऐवजी झोन आणि प्रवाहाचे मॉडेल घ्या। क्रिप्टोग्राफिक पाया गेटवेच्या देखभाल केलेल्या OpenVPN धोरणातून घ्या।
तुम्ही वर्गीकृत केलेल्या मार्गालाच परवानगी द्या
VPN झोनपासून LAN पर्यंतची व्यापक परवानगी सुरुवातीचे रेखाचित्र आहे, पूर्ण धोरण नाही। परवानगी असलेला क्लायंट स्रोत, सेवेचा प्रत्यक्ष पत्ता, प्रोटोकॉल आणि पोर्ट लिहा। नंतर त्यावरील नियम आणि झोनचे डीफॉल्ट वाचा, कारण अरुंद जोड आधीच जुळणारी व्यापक परवानगी रद्द करत नाही। गेटवे होस्टकडील रहदारी त्यातून फॉरवर्ड होणाऱ्या रहदारीपेक्षा वेगळे नाते आहे।
क्लायंट-ते-क्लायंट रहदारीला स्वतःचा निर्णय हवा। OpenVPN चे client-to-client आणि Shorewall चे routeback दोन्ही क्लायंट एकमेकांपर्यंत पोहोचू शकतात का यावर परिणाम करतात, आणि फक्त एक LAN अनुप्रयोग चालावा म्हणून कोणतेही सक्षम करू नये। चाचणी करण्यापूर्वी अलगीकरण कुठे लागू होते ते ठरवा।
उत्तर मार्ग त्याच योजनेत ठेवा। सेवेला किंवा तिच्या राउटरला रहदारी टनेल श्रेणीत कशी परत पाठवायची हे माहीत असले पाहिजे, किंवा रचनेने स्रोताचे जाणीवपूर्वक आणि इच्छित व्याप्तीत भाषांतर केले पाहिजे।
सत्यापित करा, नंतर दोन्ही मार्ग सिद्ध करा
काहीही पुन्हा सुरू करण्यापूर्वी संरचना सत्यापित करा, आणि नवीन धोरण चुकीचे असल्यास त्यासाठी स्वतंत्र प्रशासकीय सत्र उघडे ठेवा।
shorewall checkस्वच्छ तपासणीनंतर संरचना लागू करा आणि Shorewall ने काय लोड केले ते परत वाचा। ही वाचने फाइल काय सांगते असे दिसते त्यापेक्षा चालू धोरणाचे वर्णन करतात।
shorewall show zones
ip route get 192.168.10.20एकाच क्लायंटकडून एक नवीन परवानगी असलेली विनंती आणि एक जाणीवपूर्वक नाकारलेली विनंती तपासा। यशस्वी OpenVPN हस्तांदोलन फक्त बाह्य देवाणघेवाण सिद्ध करते; परवानगी असलेली सेवा आणि नाकारलेला स्रोत तुम्ही हेतू असलेले अंतर्गत धोरण सिद्ध करतात। नंतर क्लायंट पुन्हा जोडा आणि पुनरावृत्ती करा, कारण टनेल इंटरफेसचे नाव आणि पत्ता सत्रांमध्ये बदलू शकतात। निकाल वेगळा असल्यास नियम रुंदावण्याऐवजी झोनची व्याप्ती दुरुस्त करा।