Żoni Shorewall għaż-żewġ mogħdijiet tal-pakketti OpenVPN
Aqsam it-trasport OpenVPN encryptat mit-traffiku tal-klijent decryptat, agħti lit-tunnel iż-żona tiegħu stess u ppermetti biss dak is-servizz wieħed li l-klijent jeħtieġ.
Żewġ flussi ta’ pakketti jaqsmu gateway Shorewall li jtemm OpenVPN, u wieħed biss minnhom huwa encryptat. L-ewwel huwa t-trasport tal-klijent lejn is-semmiegħa tal-VPN fuq l-interface li tħares lejn l-internet. It-tieni huwa t-talba decryptata li toħroġ mill-interface tat-tunnel lejn server tal-uffiċċju jew servizz fuq il-gateway. Iġbed it-tnejn qabel ma tibdel il-politika, għax regola li tissodisfa l-ewwel waħda ma tagħmel xejn għat-tieni.
Iġbed iż-żewġ flussi qabel ma tibdel il-politika
Ikteb il-flussi bħala ringieli b’sors, destinazzjoni, protokoll u port. Fuq il-mogħdija ta’ barra, is-sors huwa l-indirizz pubbliku tal-klijent u d-destinazzjoni hija l-port tas-semmiegħa tal-gateway; Shorewall jittrattah bħala traffiku mill-internet lejn il-firewall. Fuq il-mogħdija ta’ ġewwa, is-sors huwa l-firxa tal-indirizzi tat-tunnel u d-destinazzjoni hija s-servizz approvat. Iż-żewġ ringieli għandhom sidien differenti anke meta amministratur wieħed jieħu ħsieb it-tnejn.
| Flow | Zone relationship | What to constrain |
|---|---|---|
| Encrypted OpenVPN transport | Internet to the firewall host | The listener's actual protocol and port |
| Decrypted request to a LAN service | VPN clients to the LAN zone | One approved server and service |
| Decrypted request to the gateway | VPN clients to the firewall host | Only the local services required |
| Request to another VPN client | VPN clients to VPN clients | Denied unless deliberately required |
Żid ringiela biss jekk it-talba tintemm fuq il-gateway innifsu, bħall-aċċess għas-solver jew għall-amministrazzjoni. Servizz fuq il-host isegwi l-politika tal-input tal-host, mhux il-mogħdija mibgħuta. It-taħlit tat-tnejn huwa r-raġuni għaliex regola dejqa tat-tunnel fl-aħħar tesponi interface ta’ amministrazzjoni.
Assenja ż-żona tat-tunnel u l-ambitu tal-interface
Iż-żona tal-vjaġġatur tiġi ddikjarata f’/etc/shorewall/zones, l-interface tat-tunnel tiġi mwaħħla f’/etc/shorewall/interfaces, u l-konnessjoni ta’ barra tiġi deskritta f’/etc/shorewall/tunnels. Adatta għas-sintassi tal-verżjoni installata, għax l-ordni tal-kolonni u l-ismijiet tal-għażliet inbidlu bejn il-verżjonijiet ewlenin. Il-port tal-eżempju fil-gwida mhuwiex raġuni biex tippermetti port differenti minn dak li d-daemon fil-fatt jisma’ fih. TCP u UDP mhumiex skambjabbli biss għax in-numri jaqblu.
Il-gwida tiggruppa l-interfaces b’tun+. Fuq host b’aktar minn tunnel wieħed, dak il-karta jista’ jqiegħed it-tieni VPN ta’ livell ta’ fiduċja differenti fl-istess żona. Erġa’ eżamina l-ambitu mqabbel mal-interfaces li fil-fatt jeżistu, u żomm l-ismijiet taħt iċ-ċiklu tal-ħajja tal-maniġer tal-konnessjonijiet minflok ma tibdel l-ismijiet tal-interfaces bl-idejn.
Il-gwida storika fiha eżempji ta’ konfigurazzjoni OpenVPN ħafna eqdem, u l-pariri kriptografiċi tagħha m’għandhomx jiġu kkupjati f’deployment attwali. Islief minflok il-mudell taż-żoni u l-flussi. Ħu l-bażi kriptografika mill-politika OpenVPN magħmula tal-gateway.
Ppermetti biss il-mogħdija li kklassifikajt
Aċċettazzjoni wiesgħa miż-żona VPN għal-LAN hija skeċċ tal-bidu, mhux politika lesta. Ikteb is-sors tal-klijent permess, l-indirizz reali tas-servizz, il-protokoll u l-port. Imbagħad aqra r-regoli fuqha u l-default taż-żona, għax żieda dejqa ma tħassarx permess wiesa’ li diġà jaqbel. It-traffiku lejn il-host tal-gateway huwa relazzjoni separata mit-traffiku mibgħut minnha.
It-traffiku bejn il-klijenti jeħtieġ deċiżjoni tiegħu stess. client-to-client ta’ OpenVPN u routeback ta’ Shorewall it-tnejn jaffettwaw jekk il-klijenti jistgħux jaslu għal xulxin, u ebda wieħed m’għandu jiġi attivat biss biex taħdem applikazzjoni waħda tal-LAN. Iddeċiedi fejn tiġi infurzata l-iżolament qabel ma tittestjah.
Żomm il-mogħdija tar-risposta fl-istess pjan. Is-servizz jew ir-router tiegħu jrid ikun jaf kif jgħaddi t-traffiku lura lejn il-firxa tat-tunnel, jew id-disinn irid jittraduċi s-sors b’mod intenzjonat u fl-ambitu maħsub.
Ivvalida, imbagħad ipprova ż-żewġ mogħdijiet
Ivvalida l-konfigurazzjoni qabel ma terġa’ tibda xi ħaġa, u żomm sessjoni amministrattiva indipendenti miftuħa f’każ li l-politika l-ġdida tkun ħażina.
shorewall checkWara verifika nadifa, applika l-konfigurazzjoni u aqra lura dak li tgħabba Shorewall. Dawn il-qari jiddeskrivu l-politika li qed taħdem u mhux dak li jidher li qed tgħid fajl.
shorewall show zones
ip route get 192.168.10.20Ittestja talba permessa ġdida u talba miċħuda apposta mill-istess klijent. Handshake ta’ OpenVPN li jirnexxi jipprova biss l-iskambju ta’ barra; is-servizz permess u r-riżors miċħud jipprovaw il-politika interna li kellek f’moħħok. Imbagħad erġa’ qabbad il-klijent u erġa’ agħmel, għax l-isem u l-indirizz tal-interface tat-tunnel jistgħu jinbidlu bejn is-sessjonijiet. Jekk ir-riżultat ivarja, sewwi l-ambitu taż-żona minflok twessa’ r-regola.