Zon Shorewall untuk dua laluan paket OpenVPN
Asingkan pengangkutan OpenVPN yang disulitkan daripada trafik klien yang dinyahsulit, berikan terowong zonnya sendiri dan benarkan hanya satu perkhidmatan yang diperlukan klien.
Dua aliran paket merentasi gateway Shorewall yang menamatkan OpenVPN, dan hanya satu daripadanya disulitkan. Yang pertama ialah pengangkutan klien ke pendengar VPN pada antara muka yang menghadap internet. Yang kedua ialah permintaan yang dinyahsulit yang keluar dari antara muka terowong ke pelayan pejabat atau perkhidmatan pada gateway. Petakan kedua-duanya sebelum menyunting dasar, kerana peraturan yang memenuhi yang pertama tidak melakukan apa-apa untuk yang kedua.
Lukis kedua-dua aliran sebelum menyunting dasar
Tulis aliran sebagai baris dengan sumber, destinasi, protokol dan port. Pada laluan luar, sumber ialah alamat awam klien dan destinasi ialah port pendengar gateway; Shorewall menganggapnya sebagai trafik internet ke tembok api. Pada laluan dalam, sumber ialah julat alamat terowong dan destinasi ialah perkhidmatan yang diluluskan. Kedua-dua baris mempunyai pemilik berbeza walaupun seorang pentadbir menyelenggara kedua-duanya.
| Flow | Zone relationship | What to constrain |
|---|---|---|
| Encrypted OpenVPN transport | Internet to the firewall host | The listener's actual protocol and port |
| Decrypted request to a LAN service | VPN clients to the LAN zone | One approved server and service |
| Decrypted request to the gateway | VPN clients to the firewall host | Only the local services required |
| Request to another VPN client | VPN clients to VPN clients | Denied unless deliberately required |
Tambahkan baris hanya jika permintaan berakhir pada gateway itu sendiri, seperti akses kepada penyelesai atau pentadbiran. Perkhidmatan pada hos mengikut dasar input hos, bukan laluan yang dimajukan. Mencampurkan kedua-duanya ialah cara peraturan terowong yang sempit akhirnya mendedahkan antara muka pentadbiran.
Tetapkan zon terowong dan skop antara muka
Zon pengembara diisytiharkan dalam /etc/shorewall/zones, antara muka terowong dilampirkan dalam /etc/shorewall/interfaces, dan sambungan luar diterangkan dalam /etc/shorewall/tunnels. Sesuaikan dengan sintaks keluaran yang dipasang, kerana susunan lajur dan nama pilihan telah berubah antara versi utama. Port contoh dalam panduan bukan sebab untuk membenarkan port yang berbeza daripada yang didengar oleh daemon sebenarnya. TCP dan UDP tidak boleh ditukar ganti hanya kerana nombornya sepadan.
Panduan mengumpulkan antara muka dengan tun+. Pada hos dengan lebih daripada satu terowong, kad liar itu boleh meletakkan VPN kedua dengan tahap kepercayaan berbeza dalam zon yang sama. Semak skop terhadap antara muka yang benar-benar wujud, dan kekalkan penamaan di bawah kitaran hayat pengurus sambungan dan bukannya menyunting nama antara muka secara manual.
Panduan sejarah mengandungi contoh konfigurasi OpenVPN yang jauh lebih lama, dan nasihat kriptonya tidak sepatutnya disalin ke penggunaan semasa. Pinjam model zon dan aliran sebaliknya. Ambil asas kriptografi daripada dasar OpenVPN gateway yang diselenggara.
Benarkan hanya laluan yang anda klasifikasikan
Penerimaan luas dari zon VPN ke LAN ialah lakaran permulaan, bukan dasar yang siap. Tulis sumber klien yang dibenarkan, alamat perkhidmatan sebenar, protokol dan port. Kemudian baca peraturan di atasnya dan lalai zon, kerana penambahan sempit tidak membatalkan kebenaran luas yang sudah sepadan. Trafik ke hos gateway ialah hubungan berasingan daripada trafik yang dimajukan melaluinya.
Trafik antara klien memerlukan keputusannya sendiri. client-to-client OpenVPN dan routeback Shorewall kedua-duanya mempengaruhi sama ada klien boleh saling mencapai, dan tiada satu pun patut didayakan semata-mata untuk menjadikan satu aplikasi LAN berfungsi. Tentukan di mana pengasingan dikuatkuasakan sebelum anda mengujinya.
Kekalkan laluan balasan dalam pelan yang sama. Perkhidmatan atau penghalaannya mesti tahu cara memulangkan trafik ke julat terowong, atau reka bentuk mesti menterjemah sumber secara sengaja dan dalam skop yang dimaksudkan.
Sahkan, kemudian buktikan kedua-dua laluan
Sahkan konfigurasi sebelum memulakan semula apa-apa, dan biarkan sesi pentadbiran bebas terbuka sekiranya dasar baharu itu salah.
shorewall checkSelepas pemeriksaan bersih, gunakan konfigurasi dan baca semula apa yang dimuatkan Shorewall. Bacaan ini menerangkan dasar yang sedang berjalan dan bukan apa yang kelihatan dikatakan oleh fail.
shorewall show zones
ip route get 192.168.10.20Uji satu permintaan dibenarkan yang baharu dan satu permintaan yang sengaja ditolak daripada klien yang sama. Jabat tangan OpenVPN yang berjaya hanya membuktikan pertukaran luar; perkhidmatan yang dibenarkan dan sumber yang ditolak membuktikan dasar dalaman yang anda maksudkan. Kemudian sambung semula klien dan ulangi, kerana nama dan alamat antara muka terowong boleh berubah antara sesi. Jika hasilnya berbeza, betulkan skop zon dan bukannya meluaskan peraturan.