Peraturan pendengar firewalld berbanding dasar pemajuan: apa yang setiap satu lakukan

VPN yang bersambung tetapi tidak sampai ke mana-mana biasanya digambarkan sebagai masalah tembok api, dan penyelesaian yang diambil orang ialah meletakkan antara muka terowong ke dalam zon dipercayai. Itu berfungsi dalam erti kata trafik mula mengalir, tetapi ia juga membenarkan jauh lebih banyak daripada perkhidmatan yang dimaksudkan. Dua dasar yang terlibat adalah berbeza: satu membenarkan pengangkutan luar ke soket yang mendengar, dan satu lagi membenarkan trafik dinyahsulit mencapai sumber tertentu. Menganggap kedua-duanya sebagai satu tetapan itulah yang menukar kebenaran sempit menjadi luas. Kedua-duanya diputuskan di tempat berbeza, sebab itu kesilapan ini begitu mudah.

Dua dasar, satu terowong

Dasar luar menjawab soalan mudah: bolehkah paket dari sumber ini sampai ke UDP 1194 pada hos ini? Dasar dalam menjawab soalan lain: bolehkah klien yang disahkan di belakang terowong itu sampai ke destinasi ini, dengan protokol ini, pada port ini? Yang pertama tentang soket, yang kedua tentang laluan, dan firewalld memodelkannya dengan objek berbeza kerana kedua-duanya diputuskan pada titik berbeza. Satu ialah sifat soket pada hos ini, satu lagi sifat laluan melaluinya.

Akibat praktikalnya ialah terowong yang berfungsi tidak memberitahu apa-apa tentang dasar kedua, dan dasar kedua yang betul tidak menjadikan yang pertama tidak perlu.

Benarkan pendengar luar yang sebenar

Mulakan dengan memeriksa apa yang sudah ditetapkan dan bukannya menganggap. Baca zon aktif, senaraikan zon yang benar-benar membawa masuk, dan periksa definisi perkhidmatan yang dipasang, kerana nama perkhidmatan menerangkan satu set port dan tidak mengatakan apa-apa tentang sama ada pendengar pelayan ini sepadan dengannya.

firewall-cmd --get-active-zones
firewall-cmd --zone=public --list-all
firewall-cmd --info-service=openvpn

Jika pendengar benar-benar UDP 1194 pada zon itu, buka port dan pengangkutan itu secara khusus, kemudian jadikan peraturan khusus yang sama kekal selepas anda mengujinya. Periksa juga penetapan berasaskan sumber, kerana zon yang terikat pada julat sumber boleh menangkap trafik sebelum zon antara muka melihatnya.

Benarkan destinasi dinyahsulit secara berasingan

Sambungan ke perkhidmatan yang berjalan pada pelayan VPN itu sendiri ialah dasar input setempat. Sambungan yang dimajukan ke hos lain dalam LAN memerlukan dasar pemajuan, pemajuan yang didayakan dalam kernel dan laluan balasan — tiga keperluan berasingan yang sering digabungkan orang menjadi satu. Objek dasar firewalld moden menerangkan trafik berarah antara zon masuk dan zon keluar, dan di situlah tempat yang betul untuk menyatakan sumber VPN mana yang boleh sampai ke perkhidmatan peribadi mana.

Takrifkan sumber yang dibenarkan secara jelas dan biarkan semua yang lain jatuh ke penolakan. Kebenaran untuk perkhidmatan luar bukanlah dasar itu, tidak kira bagaimana susun atur zon kelihatan.

Mengapa mempercayai antara muka ialah jalan pintas yang salah

Meletakkan antara muka terowong ke dalam zon yang sasarannya menerima segala-galanya membenarkan semua trafik dinyahsulit ke setiap perkhidmatan yang didedahkan hos, termasuk yang belum anda semak. Menyasarkan semula zon dipercayai supaya mengehadkan pada mesin yang berjalan lebih teruk, kerana antara muka dan julat sumber lain mungkin sudah bergantung pada maknanya dan akan berubah tingkah laku apabila anda mengeditnya. Jika anda memerlukan dasar sempit, cipta satu; jangan guna semula zon kongsi.

Kekalkan juga penetapan zon terowong stabil melalui mana-mana komponen yang memiliki konfigurasi itu. Kehilangan penetapan semasa mula semula menghasilkan kegagalan yang kelihatan seperti masalah peraturan tembok api dan sebenarnya masalah kegigihan.

Sahkan tiga perkara, termasuk satu penolakan

Uji sambungan luar dari luar, uji satu perkhidmatan dalam yang dibenarkan daripada klien yang bersambung, dan uji satu perkhidmatan yang sepatutnya kekal tidak dapat dicapai. Ujian ketiga itulah yang membezakan dasar daripada kesan sampingan, dan itulah yang dilepaskan orang kerana semuanya kelihatan berfungsi. Jika perkhidmatan yang ditolak menjawab, anda telah membenarkan zon dan bukan perkhidmatan.

Catat zon, port, pengangkutan dan objek dasar dalam nota pelayan. Jika tidak, perubahan seterusnya pada hos ini akan bermula daripada andaian yang sama.