د UFW قواعدو سره OpenVPN ګېټوې یوې LAN ته محدود کړئ

تونل مراجعین یوازې یوې فرعي شبکې ته ورسېږي او بلې ته نه. د UFW له لومړنیو منلو مخکې د ساتنې زنځیرونه، د لارې اجازه، او هغه ازموینې چې پوله ثابتوي.

د اور دیوال فایل خلاصولو مخکې اجازه وټاکئ: تصدیق شوي مراجعین کولی شي یوازې یوې ټاکلې فرعي شبکې ته اړیکې پرانېزي، او ګېټوې باید هر بل تګ راتګ لاره رد کړي، حتی کله چې مراجع اضافي لارې نصب کړي. هغه جمله طرحه ده، او لاندې هر قاعده د هغې د پلي کولو لپاره ده. هر څه پراختر، لکه ټول شخصي پته ځای، د تونل له لارې انټرنیټ ته وتل یا د سیالانو ترمنځ ټرافیک، بېله طرحه ده چې خپله پریکړه غواړي. قواعد په قصد هم ستړي کوونکي دي، ځکه هوښیار اور دیوال هغه دی چې وروسته یې هیڅوک پلټنه نه شي کولی.

لومړی ټوپولوژي او اجازه ولیکئ

بېلګه د کارونکي تشې TUN وسیله چې نومیږي، هغه Community OpenVPNtun0 سرور، د مراجعینو حوض 10.77.0.0/24, او یوه نښلول شوې فرعي شبکه 192.168.60.0/24 lan0 کې کاروي. IPv4 لیږد لا دمخه کار کوي او LAN لا دمخه حوض ته د بیرته ستنیدو لاره لري، نو دلته هیڅ شی د دوی ترمنځ ژباړې ته تړلی نه دی.

په دې کوربه اور دیوال د UFW ملکیت دی، او نه کوم کانټینر قواعد ټولګه او نه جلا nftables جدول کولی شي د مخکې منلو لاره ځای پرځای کړي. هغه لنډه لاره چې فلټر پرېږدي د ساتنې زنځیرونه یوازې ښکلا کوي، نو ډاډ ترلاسه کړئ چې هیڅ یو فعال نه دی. د OpenVPN خپله client-to-client لیږد بند پرېږدئ، ځکه هغه د سیالانو ترمنځ ټرافیک چې هیڅکله د عملیاتي سیسټم فلټر نه تېریږي د هغې سره نشي محدودېدلی. بهرنی اورېدونکی او اداري قواعد لکه څنګه چې دي پاتې کېږي، ځکه دا بدلون د اور دیوال بدلولو پرځای د کوډ پرانیستل شوي تونل ټرافیک تنظیموي.

ساتونکي د UFW له لومړنیو منلو مخکې ځای پرځای کړئ

د لارې اجازه او بیا ردول د کلکې پولې لپاره بس نه دي. معیاري before قواعد د هر کارونکي قاعدې له کتلو مخکې جوړ شوی ټرافیک او ځینې ICMP مني، نو تېره اونۍ اجازه شوی بهیر کولی شي یوازې ځکه چې لا یې حالت لري د نوي منزل محدودیت څخه بهر پاتې شي. د UFW فایلونه بیک اپ کړئ او د سمون مخکې یو بهر-بینډ کنسول خلاص وساتئ.

په فایل کې د *filter په برخه کې /etc/ufw/before.rules, له موجوده اعلانونو سره څنګ ته او د هرې قاعدې کرښې مخکې دوه زنځیرونه اعلان کړئ.

:vpn-src-guard - [0:0]
:vpn-reply-guard - [0:0]

د اعلانونو سمدلاسه وروسته، او د ننوتلو او لیږد اجازو مخکې، دوی ته ورغړئ او تعریف کړئ چې څه تېروي.

-A ufw-before-input -i tun0 -j DROP
-A ufw-before-forward -i tun0 -j vpn-src-guard
-A ufw-before-forward -o tun0 -j vpn-reply-guard

-A vpn-src-guard -o lan0 -d 192.168.60.0/24 -s 10.77.0.0/24 -m conntrack --ctdir ORIGINAL -j RETURN
-A vpn-src-guard -j DROP

-A vpn-reply-guard -i lan0 -d 10.77.0.0/24 -s 192.168.60.0/24 -m conntrack --ctstate RELATED,ESTABLISHED --ctdir REPLY -j RETURN
-A vpn-reply-guard -j DROP

د برخې پاتې برخه او د هغې COMMIT کرښه وساتئ. دوهم فلټر جدول لګول یا نااړوند قواعد ړنګول هغه لاره ده چې د اور دیوال بدلون د بندښت په بدلېدو، او فایل له یو بیا پیل څخه یوازینی مهم نقل کېدل څخه لږ واټن لري.

ولولئ چې هر ساتونکی څه تېروي او څه ردوي

لومړی زنځیر پروسس ته دوام ورکوي یوازې کله چې سرچینه په حوض کې وي، منزل همغه یوه فرعي شبکه وي، د وتلو انټرفېس LAN وي او پاکټ د خپل بهیر په اصلي لوري ځي. د تونل څخه راغلی نور هر څه غورځول کېږي، په شمول د حوض بهر سرچینه او د اجازه شوې فرعي شبکې هاخوا هر منزل.

د سیالانو ترمنځ پاکټ tun0 ته ننوځي او ترې وځي، نو د منزل له کتنې مخکې د LAN انټرفېس ازموینه نه شي کولی. له LAN څخه مراجعینو ته نوي اړیکې هم د ځواب لوري ازموینه نه شي کولی، چې په ډیفالټ ډول د معکوس غږ لاره بندوي.

RETURN هدف عادي UFW تګلاره په لاره کې ساتي. دا زنځیرونه فلټروي، او هغه د لارې اجازه چې وروسته یې اضافه کوئ لا هم پرېکړه کوي چې ژوندی پاتې پاکټ ومنل شي که نه. همدا جلاوالی تاسو ته اجازه درکوي چې وروسته په یوه ځای کې اجازه شوې فرعي شبکه بدله کړئ. که ساتونکي پاکټونه مستقیم ومنل، نو هر راتلونکی قاعده به دوه ځله اضافه کېدله.

فرعي شبکه اجازه کړئ او څنګ دریوګې بندې کړئ

لومړی د لارې اجازې مخکتنه وکړئ، بیا د پلي کولو لپاره د مخکتنې بیرغ لرې کړئ: sudo ufw --dry-run route allow in on tun0 out on lan0 from 10.77.0.0/24 to 192.168.60.0/24. له هغې وروسته د کارونکي قواعدو ترتیب وګورئ، ځکه مخکینی ردول لا هم پر وروستي اجازه بریالي کېږي. د ټولې فرعي شبکې اجازه هم ناسم شکل دی کله چې یوازې د یو کوربه HTTPS پورټ د لاسرسي وړ وي.

وګورئ چې د ننوتلو غورځول څه کوي: تونل مراجعین نشي کولی په خود ګېټوې کې هیڅ خدمت ته ورسېږي، په شمول هغه DNS اورېدونکی چې د هغې LAN پتې ته تړلی دی. هلته DNS کوربه کول له غورځولو مخکې قصد شوی استثنا او بیا کتل شوی اجازه تړون غواړي. که UFW IPv6 اداره کوي، نو د tun0 لپاره before6.rules فایل کې هم سمون لرونکي غورځول اضافه کړئ، ځکه د IPv4 منزلونو لیست د IPv6 پاکټونو په اړه هیڅ نه وایي.

په بار شوې تګلاره کتنه وکړئ، نه په مخکتنه

د بیا بارولو مخکتنه وکړئ، په ساتنې کړکۍ کې یې پلي کړئ، او ژوندی قواعد ټولګه ولولئ.

sudo ufw --dry-run reload
sudo ufw show raw

ډاډ ترلاسه کړئ چې تونل ساتونکي د ډیفالټ حالت او ICMP اجازو مخکې ښکاري. ساده ufw status لاسي سمون شوي before قواعد نه ښیي، نو آپریټران دې نتیجې ته رسېږي چې قاعده ورکه ده، په داسې حال کې چې هغه واقعاً بار شوې ده. د ټوټې لټولو پرځای خام لیست له پاسه تر لاندې ولولئ. که ساتونکي د حالت اجازې وروسته ښکاره شي، پوله هغه نه کوي چې فایل یې وړاندیز کوي.

بیا چلند وآزمویئ نه متن. اجازه شوي کوربه ته نوې اړیکه پرانیزئ او ځواب وګورئ، بې زیانه غوښتنه د فرعي شبکې بهر منزل ته ولېږئ او ډاډ ترلاسه کړئ چې مري، د سیالانو ترمنځ اړیکه وآزمویئ، په ګېټوې کې سیمه ییز خدمت وآزمویئ، او نه غوښتل شوې LAN-له-مراجع اړیکه وآزمویئ. له بدلون مخکې موجود یو د ساحې بهر بهیر شامل کړئ، او د ماشین ټول تعقیب جدول خالي کولو پرځای یوازې هغه بهیر پاک کړئ.

محدودیتونه د قواعدو ترڅنګ ولیکئ: دا تګ راتګ محدودوي او نور هیڅ نه. دا مراجع له خپل انټرنیټ اړیکې کارولو نه نه منع کوي، اجازه شوی LAN کوربه له ټرافیک لیږدولو نه نه منع کوي، او د اجازه شوو خدمتونو دننه تصدیق نه بدلوي.

اړوندې مقالې