Illimita Gateway OpenVPN għal LAN waħda bir-regoli UFW

Ħalli lill-klijenti tat-tunnel jilħqu subnet waħda u xejn aktar. Katini ta’ għassa qabel l-aċċettazzjonijiet bikrin ta’ UFW, permess tar-rotta, u testijiet li jippruvaw il-fruntiera.

Iddeċiedi l-permess qabel ma tiftaħ fajl tal-ħajt tan-nar: il-klijenti awtentikati jistgħu jiftħu konnessjonijiet lejn subnet speċifika waħda, u l-gateway irid jirrifjuta kull triq oħra ta’ tranżitu anki meta klijent jinstalla rotot addizzjonali. Dik is-sentenza hija d-disinn, u kull regola hawn taħt teżisti biex tinforzah. Xi ħaġa usa’, bħall-ispazju kollu tal-indirizzi privati, il-ħruġ lejn l-internet mit-tunnel jew traffiku bejn pari, huwa disinn ieħor li jeħtieġ id-deċiżjoni tiegħu stess. Ir-regoli huma wkoll deliberatament monotoni, għax ħajt tan-nar intelliġenti huwa dak li ħadd ma jista’ jawditjah aktar tard.

L-ewwel ikteb it-topoloġija u l-permess

L-eżempju juża server Community OpenVPN b’apparat TUN fl-ispazju tal-utent bl-isem tun0, pool ta’ klijenti 10.77.0.0/24, u subnet imwaħħla 192.168.60.0/24 fuq lan0. Il-ġarr ’il quddiem IPv4 diġà jaħdem u l-LAN diġà għandha rotta lura lejn il-pool, għalhekk xejn hawn ma jiddependi mit-traduzzjoni bejniethom.

UFW hija s-sid tal-ħajt tan-nar fuq dan il-host, u l-ebda sett ta’ regoli tal-kontenitur jew tabella nftables separata ma jistgħu jinstallaw triq ta’ aċċettazzjoni iktar bikrija. Shortcut ta’ fluss li jaqbeż il-filtru jagħmel il-katini ta’ għassa sempliċi dekorazzjoni, għalhekk ikkonferma li ħadd mhuwa attiv. Ħalli l-ġarr client-to-client ’il quddiem ta’ OpenVPN stess itfi, għax it-traffiku bejn pari li qatt ma jaqsam il-filtru tas-sistema operattiva ma jistax jiġi limitat bih. Is-semmiegħ estern u r-regoli tal-amministrazzjoni jibqgħu kif inhu, peress li dan it-tibdil jirregola traffiku deċifrat tat-tunnel minflok ma jissostitwixxi l-ħajt tan-nar.

Qiegħed il-gwardjani qabel l-aċċettazzjonijiet bikrin ta’ UFW

Permess tar-rotta u wara tiegħu rifjut mhumiex biżżejjed għal fruntiera stretta. Ir-regoli before standard jaċċettaw traffiku stabbilit u xi ICMP qabel ma titqies xi regola tal-utent, għalhekk fluss permess il-ġimgħa li għaddiet jista’ jibqa’ barra mir-restrizzjoni l-ġdida tad-destinazzjoni sempliċement għax għad għandu stat. Agħmel kopja tas-salvagwardja tal-fajls UFW u żomm console out-of-band miftuħa qabel ma tedita.

Fis-sezzjoni *filter tal-fajl /etc/ufw/before.rules, iddikjara żewġ katini ħdejn id-dikjarazzjonijiet eżistenti u qabel kull linja ta’ regola.

:vpn-src-guard - [0:0]
:vpn-reply-guard - [0:0]

Immedjatament wara d-dikjarazzjonijiet, u qabel il-permessi tad-dħul u tal-ġarr ’il quddiem, aqbeż fihom u ddefinixxi x’iħallu jgħaddi.

-A ufw-before-input -i tun0 -j DROP
-A ufw-before-forward -i tun0 -j vpn-src-guard
-A ufw-before-forward -o tun0 -j vpn-reply-guard

-A vpn-src-guard -o lan0 -d 192.168.60.0/24 -s 10.77.0.0/24 -m conntrack --ctdir ORIGINAL -j RETURN
-A vpn-src-guard -j DROP

-A vpn-reply-guard -i lan0 -d 10.77.0.0/24 -s 192.168.60.0/24 -m conntrack --ctstate RELATED,ESTABLISHED --ctdir REPLY -j RETURN
-A vpn-reply-guard -j DROP

Żomm il-bqija tas-sezzjoni u l-linja COMMIT tagħha. L-inka tal-tieni tabella tal-filtru jew it-tħassir tar-regoli mhux relatati hija l-mod kif tibdil tal-ħajt tan-nar isir waqfa, u l-fajl huwa restart wieħed bogħod milli jkun l-unika kopja li fiha l-valur.

Aqra x’iħalli jgħaddi u x’jirrifjuta kull gwardjan

L-ewwel katin ikompli l-ipproċessar biss meta s-sors ikun fil-pool, id-destinazzjoni tkun dik is-subnet waħda, l-interface tal-ħruġ tkun il-LAN u l-pakkett jivvjaġġa fid-direzzjoni oriġinali tal-fluss tiegħu. Kull ħaġa oħra li tasal mit-tunnel tintrema, inkluż sors barra l-pool u kull destinazzjoni lil hinn mis-subnet permessa.

Pakkett bejn pari jidħol u joħroġ tun0, għalhekk ifalli t-test tal-interface tal-LAN qabel ma tinkiseb saħansitra verifika tad-destinazzjoni. Konnessjonijiet ġodda mil-LAN lejn il-klijenti jfallu wkoll it-test tad-direzzjoni tar-risposta, li b’mod awtomatiku jagħlaq it-triq tal-callback maqluba.

Il-mira RETURN iżżomm il-politika ordinarja ta’ UFW fil-logħba. Dawn il-katini jiffiltraw, u l-permess tar-rotta li żżid wara xorta waħda jiddeċiedi jekk pakkett li baqa’ jinqibilx. Dik is-separazzjoni hija dik li tippermettilek tibdel is-subnet permessa f’post wieħed aktar tard. Kieku l-gwardjani aċċettaw il-pakketti direttament, kull regola futura kellha tiġi miżjuda darbtejn.

Awtorizza s-subnet u agħlaq il-bibien tal-ġenb

Ipprevedi l-permess tar-rotta l-ewwel, imbagħad neħħi l-bandiera tal-preview biex tapplikah: sudo ufw --dry-run route allow in on tun0 out on lan0 from 10.77.0.0/24 to 192.168.60.0/24. Wara, erġa’ eżamina l-ordni tar-regoli tal-utent, għax rifjut preċedenti xorta jirbaħ aċċettazzjoni aktar tard. Permess għas-subnet kollha huwa wkoll il-forma ħażina meta għandu jkun aċċessibbli biss il-port HTTPS ta’ host wieħed.

Innota x’jagħmel it-tarmija tad-dħul: il-klijenti tat-tunnel ma jistgħux jilħqu l-ebda servizz fuq il-gateway stess, inkluż semmiegħ DNS marbut mal-indirizz tal-LAN tiegħu. Li tospita DNS hemmhekk jeħtieġ eċċezzjoni deliberata qabel it-tarmija u kuntratt ta’ permess rivedut. Jekk UFW tamministra IPv6, żid tarmijiet li jaqblu għal tun0 fil-fajl before6.rules ukoll, għax lista ta’ destinazzjonijiet IPv4 tgħid xejn dwar pakketti IPv6.

Ivverifika l-politika mgħobbija, mhux il-preview

Ipprevedi l-erġgħat tal-ħatt, applikaha fi tieqa ta’ manutenzjoni, u aqra s-sett ta’ regoli ħaj.

sudo ufw --dry-run reload
sudo ufw show raw

Ikkonferma li l-gwardjani tat-tunnel jidhru qabel il-permessi awtomatiċi tal-istat u tal-ICMP. ufw status sempliċi ma jurix regoli before editati bl-idejn, u għalhekk l-operaturi jikkonkludu li regola hija nieqsa meta fil-fatt tkun mgħobbija. Aqra l-lista mhux maħduma minn fuq għal isfel minflok ma tfittex framment. Jekk il-gwardjani jidhru wara permess tal-istat, il-fruntiera mhijiex tagħmel dak li tissuġġerixxi l-fajl.

Imbagħad ittestja l-imġiba mhux it-test. Iftaħ konnessjoni ġdida lejn host permess u ara r-risposta, indirizza talba bla ħsara lejn destinazzjoni barra s-subnet u kkonferma li tmut, ipprova konnessjoni bejn pari, ipprova servizz lokali għall-gateway, u pprova konnessjoni mil-LAN għall-klijent mhux mitluba. Inkludi fluss wieħed barra mill-firxa li kien jeżisti qabel it-tibdil, u naddaf biss dak il-fluss minflok ma tħott it-tabella kollha tat-traċċar tal-magna.

Irreġistra l-limiti maġenb ir-regoli: dan jillimita t-tranżitu u xejn aktar. Ma jwaqqafx klijent milli juża l-konnessjoni tal-internet tiegħu stess, ma jwaqqafx host tal-LAN permess milli jgħaddi t-traffiku ’l quddiem, u ma jissostitwixxix l-awtentikazzjoni fi ħdan is-servizzi permessi.

Artikli relatati