Għaliex regola ta' blokk tal-klijent OpenVPN qatt ma tilħaq il-FORWARD

Żewġ klijenti fuq l-istess server OpenVPN jistgħu jilħqu lil xulxin anki wara li żidt regola DROP għall-pool tagħhom. Ir-regola tinsab fil-katina FORWARD, it-traffiku qed jiċċirkola b'mod ċar, u l-kontatur ta' dik ir-regola jibqa' fuq iż-żero. Il-konklużjoni naturali hija li l-firewall hija miksura. Ħafna drabi l-pakkett qatt ma daħal fil-katina.

Hemm żewġ toroq li pakkett ta' peer jista' jieħu minn ġo server OpenVPN, u dawn jiġu deċiżi mill-konfigurazzjoni, mhux mill-firewall. Li tkun taf liema triq qed tintuża jgħidlek jekk regola tal-host hijiex saħansitra fil-post it-tajjeb.

Żewġ toroq li pakkett ta' peer jista' jieħu

Meta l-għażla tal-forwarding intern tkun mitfija, pakkett mill-klijent A jasal fuq l-interface tat-tunnel bid-destinazzjoni ġewwa l-indirizz assenjat lill-klijent B. It-tabella tar-routing tas-server tibgħat lura mill-istess interface tat-tunnel, għax is-server għandu r-rotta lejn l-indirizz ta' B. Dan huwa fluss ta' ġewwa u barra mill-host, u t-triq tal-forwarding IPv4 tivvalutah.

Meta l-għażla tal-forwarding intern tkun mixgħula, il-proċess tas-server iqabbel il-pakkett ma' klijent konness u jiktbu lura direttament lil dak il-klijent. Il-pakkett jiġi mmaniġġjat ġewwa d-daemon u qatt ma jerġa' jidħol fl-apparat tat-tunnel, għalhekk it-triq tal-forwarding tal-host tiġi skipped għal kollox. Il-manwal tal-OpenVPN 2.6 jiddeskrivi din l-għażla bħala forwarding intern minn klijent għal klijent, u dan huwa eżattament għaliex regola tal-firewall tal-host ma tistax taraha.

Teżisti tielet varjant f'deployments li jċaqalqu l-kanal tad-data lejn modulu tal-kernel. Id-deċiżjoni tal-forwarding u l-encryption joħorġu mill-ispazju tal-utent, u jekk netfilter josservax il-fluss jiddependi minn kif tinbena t-triq tal-offload. Qatt tassumi li sett ta' regoli qadim iġib ruħu fuq server offload bl-istess mod bħal fuq wieħed fl-ispazju tal-utent. Ikkonferma l-mod mill-konfigurazzjoni li qed taħdem, mhux mill-verżjoni tal-pakkett.

Meta l-kontatur qatt ma jiċċaqlaq

Kontatur ta' żero jfisser li l-pakkett ma qabilx ma' dik ir-regola f'dak il-punt, u r-raġunijiet huma diversi. L-ewwel hija l-bypass ta' fuq: it-traffiku qatt ma wasal sal-katina. It-tieni hija nuqqas ta' qbil fl-interface, fid-direzzjoni, fis-sors jew fid-destinazzjoni, li huwa komuni meta l-pool jerġa' jiġi nnumerat u r-regola għadha ssemmi l-prefiss qadim.

It-tielet hija l-pożizzjoni. Regola aktar kmieni fil-katina tista' taċċetta l-fluss qabel ma tiġi vvalutata d-DROP tiegħek, u regola aktar tard tista' tkun dik li fil-fatt tiddeċiedi r-riżultat. Aqra l-katina fl-ordni bil-kontaturi viżibbli, imbagħad iċċekkja liema regola tiżdied fl-għadd tagħha meta tirrepeti t-test.

Agħmel skambju wieħed ikkontrollat bejn żewġ klijenti li l-indirizzi reali tagħhom stabbilixxejt mill-istat tas-server stess, mhux minn lease li tiftakar. Jekk il-kontatur rilevanti għadu ma jiċċaqlaqx, issuspetta t-triq qabel ma terġa' tikteb it-tqabbil. Jekk jiċċaqlaq imma l-konnessjoni għadha tirnexxi, id-drop qed jiġi override aktar tard u l-problema hija l-ordni. Dik it-tweġiba tiddetermina jekk it-tiswija hijiex bidla fir-regola jew bidla fit-topoloġija, għalhekk iksibha qabel ma teditja xejn.

L-għażla ta' fruntiera li tista' tiffiltra

Jekk il-politika trid tgħix fil-firewall tal-host, poġġi t-traffiku fejn il-firewall tista' tarah. L-iżattivar tal-forwarding intern hija l-mod sostnut biex it-traffiku tal-peers jgħaddi mill-interface tat-tunnel u mit-triq tal-forwarding, bl-ispiża li kull pakkett tal-peer jgħaddi mill-istack tal-host.

Imbagħad qabbel il-fluss b'mod preċiż. It-traffiku jasal fuq l-interface tat-tunnel u joħroġ mill-interface tat-tunnel, fiż-żewġ direzzjonijiet, għalhekk regoli li jikkunsidraw biss l-interface fiżika mhux se jaqblu. Regoli bbażati fuq l-indirizzi jeħtieġu l-pool attwali, u jridu jqisu d-direzzjoni tar-ritorn kif ukoll dik 'il quddiem.

Ħafna deployments huma moqdija aħjar bil-filtrazzjoni fil-livell tal-klijent jew tal-grupp, fejn l-identità hija magħrufa u l-politika ssegwi l-utent minflok indirizz li jinbidel mar-rikonnessjoni. Dan huwa mekkaniżmu differenti minn katina tal-host, u t-tnejn m'għandhomx jiġu mħallta mingħajr raġuni ċara.

Tġorrx sett ta' regoli ta' topoloġija qadima permezz ta' migrazzjoni mingħajr bidla. Il-pools tal-indirizzi, l-ismijiet tal-interfaces u l-modi tal-forwarding kollha jaffettwaw jekk regola taqbilx, u regola kkopjata li qabel kienet taħdem hija l-iktar tip ta' evidenza qarrieqi. Ibda mill-fluss li trid tippermetti u ikteb ir-regola li taqbel miegħu.

L-ittestjar tal-iżolament minflok ma tafda regola

Ittestja l-każ projbit u l-każ permess fl-istess esekuzzjoni. Ibda konnessjoni ġdida minn klijent għall-ieħor u kkonferma li tfalli, imbagħad ikkonferma li konnessjoni li għandha tiġi permessa għadha taħdem. Jekk jiġi ttestjat biss l-ewwel wieħed, firewall li timblokka kollox tidher bħala suċċess.

Irrepeti wara li terġa' tgħabbi l-konfigurazzjoni tas-server u wara li klijent jerġa' jikkonnessja, għax il-forwarding intern u l-assenjazzjonijiet tal-pool huma stat tar-runtime. Iċċekkja l-kontaturi fiż-żewġ direzzjonijiet, għax regola li taqbel ma' direzzjoni waħda u mhux mat-tweġiba tipproduċi żolament parzjali li huwa diffiċli tinnotah f'test mgħaġġel.

L-iżolament huwa r-riżultat osservat fil-fruntiera li fil-fatt iġġorr il-fluss. Regola DROP f'xi mkien fil-host mhijiex evidenza; konnessjoni li tfalli flimkien ma' kontatur li ċċaqlaq fuq ir-regola li kkawżatha hija evidenza.