د OpenVPN د دوو بستې لارو لپاره Shorewall زونونه
کوډ شوی OpenVPN لېږد له کوډ پرانيستل شوي کلاينټ ټرافیک څخه بېل کړئ، ټنل ته خپل زون ورکړئ او يوازې هغه يوه خدمت ته اجازه ورکړئ چې کلاينټ ته يې اړتيا ده.
دوه د بستې بهيرونه د Shorewall دروازې نه تېرېږي چې OpenVPN پای ته رسوي، او يوازې يو یې کوډ شوی دی۔ لومړی د کلاينټ لېږد انټرنيټ ته مخامخ انټرفېس کې VPN اورېدونکي ته دی۔ دويم کوډ پرانيستل شوې غوښتنه چې د ټنل انټرفېس نه وځي او دفتر سرور يا دروازې کې خدمت ته ځي۔ د پاليسې له سمون مخکې دواړه رسم کړئ، ځکه چې لومړی پوره کوونکی قاعده دويم لپاره هېڅ نه کوي۔
د پاليسې له سمون مخکې دواړه بهيرونه رسم کړئ
بهيرونه د سرچينې، منزل، پروتوکول او پورټ سره کرښې ولیکئ۔ په باندې لار کې سرچينه د کلاينټ عمومي پته ده او منزل د دروازې اورېدونکی پورټ دی؛ Shorewall دا د انټرنيټ نه اور وژونکي ته تګ راتګ ګڼي۔ په دننه لار کې سرچينه د ټنل پتې حد ده او منزل منل شوی خدمت دی۔ دواړه کرښې بېل بېل مالکان لري، که څه هم يو مدير دواړه ساتي۔
| Flow | Zone relationship | What to constrain |
|---|---|---|
| Encrypted OpenVPN transport | Internet to the firewall host | The listener's actual protocol and port |
| Decrypted request to a LAN service | VPN clients to the LAN zone | One approved server and service |
| Decrypted request to the gateway | VPN clients to the firewall host | Only the local services required |
| Request to another VPN client | VPN clients to VPN clients | Denied unless deliberately required |
کرښه يوازې هغه وخت ورزياته کړئ چې غوښتنه په خپله دروازه کې پای ته رسېږي، لکه حل کوونکي يا مديريت ته لاسرسی۔ په هوسټ کې خدمت د هوسټ د ننوتلو پاليسې پيروي کوي، نه د لېږل شوې لارې۔ همدا دواړه ګډول دي چې تنګه ټنل قاعده په پای کې مديريتي انټرفېس بربنډوي۔
د ټنل زون او د انټرفېس حد وټاکئ
د مسافر زون په /etc/shorewall/zones کې اعلانېږي، د ټنل انټرفېس په /etc/shorewall/interfaces کې نښلول کېږي، او باندې اړيکه په /etc/shorewall/tunnels کې بيانېږي۔ د نصب شوي خپرونې سينټکس سره سمون کړئ، ځکه چې د ستنو ترتيب او د انتخابونو نومونه د لویو نسخو ترمنځ بدل شوي دي۔ د لارښود بېلګې پورټ د دې لپاره دليل نه دی چې د هغه پورټ نه بېل پورټ ته اجازه ورکړئ چې ډيمون پرې واقعاً اورېدل کوي۔ TCP او UDP يوازې ځکه چې عددونه سره سمون لري د بدلېدو وړ نه دي۔
لارښود انټرفېسونه د tun+ سره ډله کوي۔ په هغه هوسټ کې چې له يو ډېر ټنل ولري، دا ځانګړی نښه کولای شي بېل باور کچه دويم VPN په هماغه زون کې کېږدي۔ حدود د واقعاً شته انټرفېسونو پر وړاندې وګورئ، او نومونه د اړيکو مدير د ژوند دورې لاندې وساتئ، نه دا چې د انټرفېس نومونه په لاس سم کړئ۔
تاريخي لارښود ډېر پخواني د OpenVPN د ترتيب بېلګې لري، او د هغې کوډنګ سلايدې بايد اوسني ځای پر ځای کې نقل نشي۔ پرځای يې د زون او بهير ماډل پور واخلئ۔ کوډپوهنيز بنسټ د دروازې د ساتل شوې OpenVPN پاليسې نه واخلئ۔
يوازې هغه لار ته اجازه ورکړئ چې تاسو ډلبندي کړې
له VPN زون نه LAN ته پراخه مننه پيلېدونکې نقشه ده، بشپړه پاليسه نه۔ د اجازه ورکړل شوې کلاينټ سرچينه، د خدمت ريښتينې پته، پروتوکول او پورټ ولیکئ۔ بيا د هغې پورتنۍ قاعدې او د زون تلوالې واخلئ، ځکه چې تنګه زياتونه لا دمخه سمون خورې پراخه اجازه نه باطلوي۔ دروازې هوسټ ته ټرافیک د هغې له لارې لېږل شوي ټرافیک نه جلا اړيکه ده۔
د کلاينټونو ترمنځ ټرافیک خپله پريکړه غواړي۔ OpenVPN client-to-client او Shorewall routeback دواړه اغېزه کوي چې کلاينټونه يو بل ته رسېدلای شي که نه، او هيڅ يو يې هم بايد يوازې د يو LAN غوښتنليک د کار کولو لپاره فعال نشي۔ له ازموينې مخکې پريکړه وکړئ چې جلا کول چېرته پلي کېږي۔
د ځواب لاره په هماغه پلان کې وساتئ۔ خدمت يا د هغې router بايد پوه شي چې ټرافیک ټنل حد ته څنګه بېرته ولېږي، يا ډيزاين بايد سرچينه په قصد او په ټاکلي حد کې وژباړي۔
تاييد کړئ، بيا دواړه لارې ثابتې کړئ
له هر څه بيا پيل مخکې ترتيب تاييد کړئ، او که نوې پاليسه غلطه وي د هغې لپاره خپلواکه مديريتي ناسته پرانيستې وساتئ۔
shorewall checkله پاکې کتنې وروسته ترتيب پلي کړئ او ولولئ چې Shorewall څه بار کړل۔ دا لوستنې د روانې پاليسې بيان کوي، نه هغه څه چې دوتنه يې ويل ښکاري۔
shorewall show zones
ip route get 192.168.10.20له هماغه کلاينټ نه يو نوی اجازه شوی غوښتنه او يو په قصد رد شوی غوښتنه وازموياست۔ بريالی OpenVPN لاس اخيستل يوازې باندې تبادله ثابتوي؛ اجازه شوی خدمت او رد شوی سرچينه هغه دننۍ پاليسه ثابتوي چې تاسو يې غوښتنه درلوده۔ بيا کلاينټ بېرته ونښلوئ او تکرار کړئ، ځکه چې د ټنل انټرفېس نوم او پته د ناستو ترمنځ بدلېدلای شي۔ که پايله بېله وي، د قاعدې پراخولو پرځای د زون حد سم کړئ۔