Ir-regola tas-smigħ ta' firewalld kontra l-politika tar-riindirizzar: x'jagħmel kull wieħed

VPN li jgħaqqad imma ma jasal imkien normalment jiġi deskritt bħala problema ta' firewall, u s-soluzzjoni li jirrikorru għaliha n-nies hija li tqiegħed l-interface tat-tunnel f'żona tal-fiduċja. Dan jaħdem fis-sens li t-traffiku jibda joħroġ, iżda jammetti wkoll ħafna aktar mis-servizz maħsub. Iż-żewġ politiki involuti huma differenti: waħda tammetti t-trasport ta' barra lejn socket li jisma', u l-oħra tawtorizza t-traffiku deċifrat biex jasal għal riżorsa speċifika. Huwa li jittrattawhom bħala setting wieħed li jbiddel permess dejjaq f'wieħed wiesa'. It-tnejn jiġu deċiżi f'postijiet differenti, u għalhekk l-iżball huwa daqstant faċli.

Żewġ politiki, tunnel wieħed

Il-politika ta' barra twieġeb mistoqsija sempliċi: jista' pakkett minn dan is-sors jasal għall-UDP 1194 fuq dan il-host? Il-politika ta' ġewwa twieġeb oħra: jista' l-klijent awtentikat wara dak it-tunnel jasal għal din id-destinazzjoni, b'dan il-protokoll, fuq dan il-port? L-ewwel hija dwar socket, it-tieni hija dwar triq, u firewalld jimmodellahom b'oġġetti differenti għax jiġu deċiżi f'punti differenti. Waħda hija propjetà ta' socket fuq dan il-host, l-oħra ta' triq minnu.

Il-konsegwenza prattika hija li tunnel li jaħdem ma jgħid xejn dwar it-tieni politika, u t-tieni politika korretta ma tagħmilx l-ewwel waħda bla bżonn.

Ammetti s-smigħ ta' barra reali

Ibda billi teżamina dak li diġà huwa assenjat minflok ma tassumi. Aqra ż-żoni attivi, elenka ż-żona li tassew iġġorr l-ingress, u ċċekkja d-definizzjoni tas-servizz installata, għax isem ta' servizz jiddeskrivi sett ta' portijiet u ma jgħid xejn dwar jekk is-smigħ ta' dan is-server jaqbilx miegħu.

firewall-cmd --get-active-zones
firewall-cmd --zone=public --list-all
firewall-cmd --info-service=openvpn

Jekk is-smigħ huwa tassew UDP 1194 fuq dik iż-żona, iftaħ speċifikament dak il-port u t-trasport, imbagħad agħmel l-istess regola speċifika permanenti wara li tkun ittestjajtha. Iċċekkja wkoll l-assenjazzjonijiet ibbażati fuq is-sors, għax żona marbuta ma' firxa ta' sorsi tista' taqbad it-traffiku qabel ma ż-żona tal-interface tarah.

Awtorizza d-destinazzjoni deċifrata separatament

Konnessjoni ma' servizz li jaħdem fuq is-server VPN innifsu hija politika ta' input lokali. Konnessjoni mibgħuta lil host ieħor fil-LAN teħtieġ politika ta' riindirizzar, riindirizzar attivat fil-kernel u rotta tar-risposta — tliet rekwiżiti separati li n-nies spiss jgħaqqdu fi wieħed. L-oġġetti tal-politika moderni ta' firewalld jiddeskrivu traffiku direzzjonali bejn żona tal-ingress u żona tal-egress, u dak huwa l-post it-tajjeb biex tesprimi liema sorsi VPN jistgħu jasal għal liema servizzi privati.

Iddefinixxi b'mod espliċitu s-sorsi permessi u ħalli kull ħaġa oħra taqa' f'ċaħda. Permess għas-servizz ta' barra mhuwiex dik il-politika, tkun kemm tkun tidher hekk it-tqassim taż-żoni.

Għaliex il-fiduċja fl-interface hija l-qatra żbaljata

It-tqegħid tal-interface tat-tunnel f'żona li l-mira tagħha taċċetta kollox iħalli t-traffiku deċifrat kollu għal kull servizz li l-host jesponi, inklużi dawk li ma rrevedejtx. Li terġa' tiffoka ż-żona tal-fiduċja biex tkun restrittiva fuq magna li taħdem huwa agħar, għax interfaces u firxiet ta' sorsi oħra jistgħu diġà jiddependu mit-tifsira tagħha u se jbiddlu l-imġiba meta tedithha. Jekk għandek bżonn politika dejqa, oħloq waħda; terġax tuża żona maqsuma.

Żomm ukoll l-assenjazzjoni taż-żona tat-tunnel stabbli permezz ta' kwalunkwe komponent li jippossjedi dik il-konfigurazzjoni. It-telf tal-assenjazzjoni waqt l-istartjar jerġa' jipproduċi falliment li jidher bħala problema ta' regola tal-firewall u fil-fatt hija problema ta' persistenza.

Ivverifika tliet affarijiet, inkluża ċaħda waħda

Ittestja l-konnessjoni ta' barra minn barra, ittestja servizz intern awtorizzat minn klijent konness, u ittestja servizz li għandu jibqa' mhux aċċessibbli. It-tielet test huwa dak li jiddistingwi politika minn effett sekondarju, u huwa dak li n-nies iħallu barra għax kollox jidher li jaħdem. Jekk is-servizz miċħud iwieġeb, tkun ammettejt żona minflok servizz.

Irreġistra ż-żona, il-port, it-trasport u l-oġġett tal-politika fin-noti tas-server. Inkella l-bidla li jmiss fuq dan il-host tibda mill-istess suppożizzjoni.