Il-ftuħ tal-port VPN ma jwassalx il-klijenti lejn il-LAN

Il-mina titla, il-klijent jiġi awtentikat, imma l-LAN wara l-gateway tibqa inviżibbli. Ir-regola li kellha tissewwi dan tippermetti l-port VPN u taħdem eżatt kif miktuba, għax dik ir-regola tirregola pakketti indirizzati lejn il-gateway innifsu. It-traffiku tal-klijent lejn host wara l-gateway għandu destinazzjoni oħra u katina oħra. Dħul li jirnexxi ma jbiddilx liema mill-katini tnejn tħares il-qalba.

Żewġ katini, żewġ destinazzjonijiet differenti

Id-destin ta pakkett jiġi deċiż minn fejn sejjer, mhux minn kif wasal. It-traffiku lejn indirizz fuq il-gateway jiġi kkonsenjat lokalment u evalwat mar-regoli tad-dħul. It-traffiku li l-gateway jgħaddi l quddiem jiġi evalwat mar-regoli tal-forwarding. L-istess interface tal-mina tista tipproduċi ż-żewġ tipi ta pakketti, għalhekk regola waħda ma tistax tkopri ż-żewġ xogħlijiet.

Il-mit kollu f sentenza waħda: li tippermetti s-semmiegħ ma jgħid xejn dwar li tippermetti n-netwerk warajh. Huma żewġ deċiżjonijiet separati b evidenza separata, u isem tal-interface fuq it-tnejn ma jgħaqqadhomx.

X jippermetti tassew ir-regola tas-semmiegħ

Il-pakketti tas-semmiegħ jispiċċaw fil-proċess VPN, u dan huwa dak li jippermetti li l-mina tinbena xejn. Il-paġna tal-amministrazzjoni tal-gateway u tweġiba dijanjostika lokali jużaw ukoll il-passa tad-dħul tal-host innifsu, għalhekk it-test lejn il-gateway jirnexxi filwaqt li kollox warajh ifalli. Iż-żewġ riżultati huma tajbin u ebda wieħed mhu dwar il-LAN.

Meta l-proċess jiddekapsula t-traffiku tal-klijent għal destinazzjoni oħra, il-pakkett jidħol fil-passa tal-forwarding u hemmhekk jeħtieġ permess. L-awtentikazzjoni li tirnexxi tiddeċiedi min hu l-klijent; ma tiddeċidix fejn jista jmur. Iż-żewġ mistoqsijiet għandhom sidien, logs u messaġġi ta żball differenti.

Ittestja minn klijent, qatt mill-gateway

Test magħmul fuq il-gateway isegwi l-passa tal-ħruġ tal-host innifsu u jista jgħaddi filwaqt li l-passa tal-forwarding hija magħluqa. Ibda t-test mill-klijent u ħares lejn iż-żewġ trufijiet tal-fluss.

nc -vz 10.40.7.25 445
tcpdump -ni tun0 host 10.40.7.25

Jekk it-talba tidher fuq tun0 u xejn ma jasal fid-destinazzjoni, il-pakkett jintrema wara l-wasla, li jindika r-regoli tal-forwarding jew il-filtrazzjoni tad-destinazzjoni stess. Jekk xejn ma jidher fuq tun0 xejn, il-klijent lanqas ma jibgħatha fil-mina, u l-problema hija r-routing fil-klijent mhux il-politika fil-gateway. Qabbel ma talba li toħroġ sew u ma ġġib xejn lura, li hija l-każ tal-passa tar-ritorn.

Il-forwarding jeħtieġ tliet affarijiet, mhux waħda

Il-forwarding fil-qalba jrid ikun attivat, regola tal-filtru trid taċċetta l-fluss, u d-destinazzjoni trid tkun tista tintlaħaq b passa għat-tweġiba biex terġa lura. Jekk jonqos wieħed mit-tlieta, is-skiet huwa l-istess mill-perspettiva tal-klijent.

sysctl net.ipv4.ip_forward
sudo iptables -S FORWARD
sudo iptables -S INPUT

Aqra t-tliet outputs flimkien. Żero fl-ewwel jagħmel it-tnejn l-oħra irrilevanti, u politika ta skart awtomatiku fit-tieni tarmi l-pakketti tal-klijent filwaqt li t-traffiku tal-gateway innifsu jibqa jaħdem. It-tielet output juri għaliex ir-regola tas-semmiegħ qatt ma kienet il-problema.

Żomm iż-żewġ settijiet ta regoli separati fid-dokumentazzjoni

Ikteb ir-regola tas-semmiegħ u r-regola tas-servizz mgħoddi fuq linji separati, b sidien u raġunijiet separati. Meta l-port VPN jinbidel jew servizz ġdid jiġi ppubblikat, dik is-separazzjoni tipprevjeni bidla waħda milli twessa l-oħra bil-kwiet.

Minflok ma tittratta kull sieħeb awtentikat bħala membru tal-LAN ta fiduċja, uża regoli dejqa għall-firxiet tal-klijenti u s-servizzi li jeħtieġuhom. In-noti dwar il-forwarding ta StrongSwan jiddeskrivu n-naħa tal-passa tar-ritorn u tat-traduzzjoni tal-istess fruntiera, li hija għal darba oħra t-tielet deċiżjoni.

Fl-aħħar, żomm is-saffi dritti meta utent jiġi miċħud. Jekk it-talba tasal fil-host u l-applikazzjoni tiċħad il-kont, sewwi l-permess tal-applikazzjoni f dak is-saff; it-twessigħ tal-forwarding ma jistax jipprovdi kredenzjali tal-qsim tal-fajls u se jwessa l-aċċess għal kulħadd li jikkonnettja b suċċess.