Żona VPN OpenWrt, trażmissjoni u masker: liema waħda teħtieġ?

Tliet bidliet jitħalltu flimkien kull darba li VPN jiltaqa’ ma’ OpenWrt: ftuħ ta’ port, permess għat-trażmissjoni u t-tħaddim tal-masker. Dawn iwieġbu mistoqsijiet differenti, u normalment waħda biss minnhom hija l-ħtieġa reali. Li taqra kull kontroll skont ir-rwol tat-traffiku li jirregola jbiddel stima f’deċiżjoni, u jgħidlek ukoll liema sintomu tistenna meta l-bidla tkun ħażina. Ibda billi ssemmi r-rwol li falla, mhux il-kaxxa tal-ikklerkar li tiftakar.

Semmi r-rwol tat-traffiku qabel ma tmiss kontroll

Id-dħul taż-żona jiddeċiedi x’jista’ jasal sal-router innifsu. Il-ħruġ taż-żona jkopri traffiku li r-router innifsu joħloq, it-trażmissjoni taż-żona hija l-valur awtomatiku għat-traffiku li jgħaddi minn żona, u l-masker jiddeċiedi jekk l-indirizz tas-sors jinkitibx mill-ġdid waqt il-ħruġ. Dawn huma erba’ mistoqsijiet differenti, u politika taż-żona twieġeb għalihom kollha f’daqqa bl-istess valur, għalhekk bidla fiż-żona kollha hija għodda ħoxna. Regola msemmija tista’ twieġeb waħda minnhom mingħajr ma tmiss il-bqija.

Il-mappa utli hija skont ir-rwol tat-traffiku, għax dak huwa dak li tista’ tosserva meta xi ħaġa tfalli. Kull rwol hawn taħt għandu kontroll wieħed li jiddeċidih u sintomu wieħed li jindika lejh:

Min jisma’ fuq ir-router jeħtieġ regola waħda dejqa tad-dħul

Server OpenVPN fuq ir-router jirċievi traffiku indirizzat lir-router, għalhekk il-konnessjoni ta’ barra tiegħu tiddependi mill-politika tad-dħul taż-żona li ġġorru. Ippermetti t-trasport u l-port konfigurati u ħalli kollox ieħor f’dik iż-żona miċħud. Regola waħda tal-port hija bidla ferm iżgħar minn permess fiż-żona kollha, u hija dik li xorta tista’ tispjega sena wara.

Żewġ affarijiet jagħmlu dik ir-regola sigura li tinżamm: issemmi l-port li s-servizz verament juża, u tinsab ħdejn id-definizzjoni taż-żona sabiex il-persuna li jmiss tara għaliex teżisti. Il-linji hawn taħt huma biss il-forma, bil-port jirrappreżenta dak li huwa konfigurat fuq is-server. Ibdel dak il-port fiż-żewġ postijiet meta s-servizz jiċċaqlaq, għax regola li tibqa’ fuq dak antik hija inviżibbli sa awditjar.

config zone
    option name 'wan'
    option input 'REJECT'
    option forward 'REJECT'
    option output 'ACCEPT'
    option masq '1'

config rule
    option name 'allow-openvpn'
    option src 'wan'
    option proto 'udp'
    option dest_port '1194'
    option target 'ACCEPT'

Ivvalida qabel terġa’ tgħabbi, għax żball sintattiku f’fajl tal-firewall jista’ jħalli r-router mingħajr sett ta’ regoli li jaħdem. F’rilaxx li juża fw4 il-verifika hija kmand separat, u tfalli b’ħoss qawwi minflok taċċetta blok miksi bil-kwiet. Erġa’ għabbi biss wara li l-verifika tgħaddi, u żomm il-fajl preċedenti fejn tista’ terġa’ tpoġġih.

fw4 check
service firewall reload

It-talba tal-klijent tgħaddi mit-trażmissjoni, mhux mid-dħul

Wara l-awtentikazzjoni, it-talba ta’ klijent tat-tunnel għal servizz LAN tipproduċi fluss trażmess, għalhekk il-kontroll li jiddeċidiha hija r-relazzjoni tat-trażmissjoni bejn iż-żona tat-tunnel u ż-żona LAN. Assenja l-interface tat-tunnel liż-żona maħsuba, imbagħad iddikjara d-direzzjoni, is-sorsi u s-servizz. L-assenjazzjoni taż-żona hija dik li tagħti tifsira lir-regola tat-trażmissjoni, u t-tnejn jagħmlu sens biss meta jinqraw flimkien. Relazzjoni tat-trażmissjoni li ssemmi ż-żona tat-tunnel bħala sors u ż-żona LAN bħala destinazzjoni tinqara bħala deċiżjoni waħda maħsuba, filwaqt li żewġ permessi fiż-żona kollha jinqraw bħala inċident.

Il-ġbid lejn ir-router innifsu għadu juża l-passaġġ tad-dħul, għalhekk ping lejn il-gateway ma jgħid xejn dwar il-qsim tal-fajls warajh. Dawk iż-żewġ fallimenti jgħixu fi blokki differenti u jiġu msewwija b’bidliet differenti. Ikteb iż-żewġ passaġġi separatament qabel ma tbiddel wieħed minnhom.

Il-masker huwa deċiżjoni ta’ routing, mhux permess

Il-masker jikteb mill-ġdid l-indirizz tas-sors tat-traffiku ħiereġ magħżul. Jista’ jsalva disinn tal-ħruġ fejn in-naħa mbiegħda m’għandhiex rotta lura, u jista’ wkoll jaħbi l-indirizzi tal-klijenti individwali minn kull servizz li jirreġistra jew jawtorizza bl-indirizz. Li titfi hija għażla ta’ routing dwar il-passaġġ lura, mhux swiċċ tas-sigurtà li jagħlaq toqba tad-dħul. Tunnel li jaħdem bit-traduzzjoni mixgħula u jfalli fil-mument li titfi x’aktarx ikollu rotta lura nieqsa, mhux regola tal-firewall nieqsa.

L-alternattiva bir-routing teħtieġ rotta lura fuq in-naħa mbiegħda minflok traduzzjoni. L-ebda waħda miż-żewġ għażliet ma tipprovdi l-permess tal-firewall jew il-kont tal-applikazzjoni, għalhekk li titfi l-masker kważi qatt ma ssewwi klijent tat-tunnel li ma jasal imkien. Ittratta l-politika IPv4 u IPv6 b’mod separat ukoll, għax issettjar wieħed ta’ traduzzjoni ma jiddeskrivix iż-żewġ familji.

Ipprova d-deċiżjoni b’talba permessa u waħda miċħuda

Ibgħat talba waħda li għandha tiġi permessa u waħda li għandha tiġi miċħuda, imbagħad identifika l-kontroll li ħa kull deċiżjoni. Paġna li tgħabbi b’kumbinazzjoni mhijiex prova; il-prova hija r-regola li qabdet, fil-katina fejn qabdet. Iċ-ċaħda timporta daqs is-suċċess, għax turi li l-politika qed tagħmel xi ħaġa minflok kollox permess.

Żewġ kmandi jagħtuk dik il-prova fuq rilaxx attwali. Il-kontatur fuq ir-regola li taqbel jiċċaqlaq meta t-talba tiġi aċċettata, u l-log juri t-twaqqigħ jekk attivajt ir-reġistrazzjoni għar-regola:

nft list chain inet fw4 forward_wan
logread -f | grep -i -E 'DROP|REJECT'

Żomm passaġġ ta’ amministrazzjoni li għadek tista’ tuża qabel ma tbiddel xi politika tal-firewall, u segwi l-proċess ta’ validazzjoni u rkupru tas-sid tal-konfigurazzjoni. Bidla li tissakkek barra mir-router mhijiex riżultat ta’ test, hija it-tieni inċident. Innota ż-żona u r-rwol tat-traffiku ħdejn kull osservazzjoni, sabiex il-par riżultati jispjega l-politika minflok ma jiddeskrivi tagħbija ta’ paġna xortik tajba.