Illimita r-regola SNAT ta’ OpenVPN qabel ma tkisser nginx

Żewġ fallimenti dejjem jiġu minn tip ta’ host wieħed. Fl-ewwel, il-klijenti jawtentikaw u mbagħad ma jaslu xejn lil hinn mit-tunnel. Fit-tieni, il-VPN titla’ u l-websajt tal-istess server tieqaf twieġeb, li hija l-aktar allarmanti għax tidher bħala ħsara kollaterali. Fuq VPS ibbażat fuq containers iż-żewġ dejjem jerġgħu lura għall-istess lista qasira ta’ kontrolli, u l-ordni hija importanti: l-apparat l-ewwel, it-traduzzjoni t-tieni, l-ambitu t-tielet.

Ikkonferma li l-container jista’ joħloq apparat tun

Xejn ieħor ma jgħodd jekk l-interface tat-tunnel ma tistax teżisti. Iċċekkja li /dev/net/tun huwa preżenti u li l-ħolqien ta’ apparat tat-test jirnexxi, għax ħafna fornituri jiddiżattivaw it-tun fil-containers b’mod awtomatiku. L-ebda xogħol ta’ firewall ma jikkumpensa apparat li qatt ma nħoloq.

Jekk l-apparat huwa nieqes, huma biss l-host jew il-fornitur li jistgħu jattivawh. Pjan ieħor spiss huwa orħos minn ħajta ta’ appoġġ miftuħa li ddum ġimgħa. Ikkonferma dan qabel ma taqra linja waħda tal-log ta’ OpenVPN. Inkella tqatta’ l-lejla tittuna regoli li qatt ma jaraw pakkett.

Iddeċiedi x’jagħmel MASQUERADE fuq dan l-interface

Fuq magna virtwali ordinarja r-regola tal-ħruġ tas-soltu hija POSTROUTING MASQUERADE mill-interface prinċipali. F’container OpenVZ l-apparat viżibbli spiss huwa venet0, interface virtwali mmexxi mill-host u mhux NIC irruttat, u MASQUERADE mhux dejjem iġib ruħu hemm kif jassumu t-tutorials.

Il-forma prattikabbli hija traduzzjoni espliċita għall-indirizz li l-klijenti diġà jilħqu, bil-passaġġ permess fiż-żewġ direzzjonijiet. Is-sostituzzjoni tal-pool mill-konfigurazzjoni tas-server hija importanti daqs is-sostituzzjoni tal-indirizz. Aqra kull linja qabel ma tpastejha.

iptables -t nat -A POSTROUTING -o venet0 -s 10.8.0.0/24 -j SNAT --to-source 203.0.113.10
iptables -A FORWARD -i tun0 -j ACCEPT
iptables -A FORWARD -o tun0 -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT

Mingħajr ir-regoli tal-passaġġ it-traduzzjoni xorta sseħħ u l-kernel xorta jirrifjuta li jgħaddi. Dan l-għaqda joħloq l-istat konfuż fejn il-miters fuq ir-regola NAT jiżdiedu waqt li l-klijent ma jirċievi xejn. Iż-żewġ linji FORWARD ukoll iridu jkunu qabel kwalunkwe regola drop wiesgħa fl-istess katina. L-ordni hija parti mill-konfigurazzjoni, mhux dettall tal-implimentazzjoni.

Illimita r-regola għal pool wieħed u interface wieħed

It-tieni sintomu għandu kawża oħra: regola POSTROUTING mingħajr restrizzjoni tas-sors u mingħajr restrizzjoni tal-ħruġ. Regola bħal din terġa’ tikteb kull pakkett li joħroġ mill-host.

Is-servizzi li jiddependu mis-sors oriġinali mbagħad iġibu ruħhom ħażin. Web server wara proxy lokali jista’ jieqaf iwieġeb, u l-istartjar mill-ġdid ma jbiddel xejn għax ir-regola għadha fil-passaġġ. Jiġi affettwat ukoll it-traffiku li l-host jibgħat lejn l-indirizz pubbliku tiegħu stess, u għalhekk il-falliment jista’ jidher bħala problema ta’ DNS jew ċertifikat u mhux ta’ firewall. Ir-regola kważi żgur ġiet miżjuda biex tissewwa l-ewwel sintomu.

Is-soluzzjoni hija li titnaqqas it-tqabbil għall-pool tat-tunnel u għall-interface tal-ħruġ, imbagħad tiżdied regola waħda għal kull pool minflok ma titwessa’ regola waħda biex tkopri diversi.

Agħmel ir-regoli permanenti u sib min ieħor jippossedihom

Ir-regoli miżjuda bl-idejn jisparixxu meta jerġa’ jibda, għalhekk salvahom b’iptables-save jew immaniġġjahom permezz ta’ netfilter-persistent fejn huwa installat. Ikkonferma li r-restawr jaħdem qabel ma jibda OpenVPN. Imbagħad erġa’ ibda darba apposta minflok ma tiskopri l-vojt waqt inċident.

Fuq host ta’ containers, ikkonferma wkoll li l-file tal-persistenza jinsab fi ħażna tal-container li tista’ tinkiteb u li l-fornitur ma jissostitwixxix il-filtrazzjoni waqt il-boot. Xi pjattaformi jmexxu l-politika barra mill-container, fejn ir-regoli lokali jew jiġu injorati jew jaħbtu ma’ dawk tal-host stess.

Ivverifika bil-miters u b’fluss wieħed maqbud

Minn klijent konness, iċċekkja l-indirizz pubbliku li jirrapporta servizz estern. Jekk jaqbel mal-indirizz tas-server, it-traduzzjoni taħdem; jekk le, il-pakkett joħroġ minn triq oħra jew ma joħroġ xejn. Imbagħad ipprova kemm servizz ospitat fuq is-server kif ukoll wieħed fuq l-internet pubbliku, għax it-tnejn jieħdu toroq differenti fl-istess sett ta’ regoli.

Fuq is-server, aqra l-miters tal-pakketti fuq ir-regoli NAT u FORWARD b’iptables -t nat -L -v -n u osserva fluss wieħed fi qbid. Jekk l-indirizz tal-klijent jidher fil-qbid u ma jiġi l-ebda tweġiba, il-vojt jinsab fit-triq tar-ritorn jew fil-filtrazzjoni tal-fornitur, mhux fil-profil tal-klijent. Qabbel is-sors maqbud mal-indirizz li r-regola tittraduċi għalih, għax nuqqas ta’ qbil ifisser li regola oħra qabblet l-ewwel. Fluss wieħed osservat issolvi aktar minn paġna qari ta’ konfigurazzjoni.

Żomm il-pool, l-indirizz tradott u l-isem tal-interface flimkien fir-rekord tal-bidliet. Regola korretta għal pool wieħed tittraduċi ħażin li jmiss.