OpenVPN හි පැකට් මාර්ග දෙක සඳහා Shorewall කලාප
සංකේතනය කළ OpenVPN ප්‍රවාහනය විසංකේතනය කළ සේවාදායක රථවාහනයෙන් වෙන් කරන්න, ටනලයට එහිම කලාපයක් දෙන්න, සහ සේවාදායකයාට අවශ්‍ය එකම සේවාවට පමණක් අවසර දෙන්න.
පැකට් ප්‍රවාහ දෙකක් OpenVPN අවසන් කරන Shorewall ද්වාරය හරහා ගමන් කරන අතර, ඉන් එකක් පමණක් සංකේතනය කර ඇත. පළමුවැන්න අන්තර්ජාලයට මුහුණලා ඇති අතුරුමුහුණතේ VPN ශ්‍රාවකය වෙත සේවාදායකයාගේ ප්‍රවාහනයයි. දෙවැන්න ටනල අතුරුමුහුණතින් පිටවන විසංකේතනය කළ ඉල්ලීම වන අතර එය කාර්යාල සේවාදායකයක් හෝ ද්වාරයේ සේවාවක් වෙත යයි. ප්‍රතිපත්තිය සංස්කරණය කිරීමට පෙර දෙකම සිතියම් කරන්න, මන්ද පළමුවැන්න සපුරාලන නියමය දෙවැන්න සඳහා කිසිවක් නොකරයි.
ප්‍රතිපත්තිය සංස්කරණය කිරීමට පෙර ප්‍රවාහ දෙක අඳින්න
ප්‍රවාහ මූලාශ්‍රය, ගමනාන්තය, ප්‍රොටෝකෝලය සහ තොටුපළ සමඟ පේළි ලෙස ලියන්න. පිටත මාර්ගයේ මූලාශ්‍රය සේවාදායකයාගේ පොදු ලිපිනය වන අතර ගමනාන්තය ද්වාරයේ ශ්‍රවණ තොටුපළයි; Shorewall එය අන්තර්ජාලයේ සිට ගිනිපවුර වෙත රථවාහන ලෙස සලකයි. ඇතුළත මාර්ගයේ මූලාශ්‍රය ටනල ලිපින පරාසය වන අතර ගමනාන්තය අනුමත සේවාවයි. එක් පරිපාලකයෙක් දෙකම නඩත්තු කළත් පේළි දෙකේ හිමිකරුවන් වෙනස්ය.
| Flow | Zone relationship | What to constrain |
|---|---|---|
| Encrypted OpenVPN transport | Internet to the firewall host | The listener's actual protocol and port |
| Decrypted request to a LAN service | VPN clients to the LAN zone | One approved server and service |
| Decrypted request to the gateway | VPN clients to the firewall host | Only the local services required |
| Request to another VPN client | VPN clients to VPN clients | Denied unless deliberately required |
ඉල්ලීම ද්වාරයේම අවසන් වන්නේ නම් පමණක් පේළියක් එක් කරන්න, උදාහරණයක් ලෙස විසඳන්නා හෝ පරිපාලන ප්‍රවේශය. සත්කාරකයේ සේවාව යොමු කළ මාර්ගය නොව සත්කාරක ආදාන ප්‍රතිපත්තිය අනුගමනය කරයි. මේ දෙක මිශ්‍ර කිරීම නිසාම පටු ටනල නියමයක් පරිපාලන අතුරුමුහුණතක් නිරාවරණය කරයි.
ටනල කලාපය සහ අතුරුමුහුණතේ විෂය පථය පවරන්න
සංචාරක කලාපය /etc/shorewall/zones තුළ ප්‍රකාශ කරන අතර, ටනල අතුරුමුහුණත /etc/shorewall/interfaces තුළ සම්බන්ධ කරන අතර, පිටත සම්බන්ධතාවය /etc/shorewall/tunnels තුළ විස්තර කෙරේ. ස්ථාපිත නිකුතුවේ වාක්‍ය වින්‍යාසයට ගැලපෙන්න, මන්ද තීරු අනුපිළිවෙල සහ විකල්ප නම් ප්‍රධාන අනුවාද අතර වෙනස් වී ඇත. මාර්ගෝපදේශයේ උදාහරණ තොටුපළ, ඩීමන් ඇත්තටම ශ්‍රවණය කරන තොටුපළට වඩා වෙනස් තොටුපළකට අවසර දීමට හේතුවක් නොවේ. සංඛ්‍යා ගැලපෙන නිසා පමණක් TCP සහ UDP එකිනෙකට හුවමාරු කළ නොහැක.
මාර්ගෝපදේශය අතුරුමුහුණත් tun+ සමඟ කාණ්ඩගත කරයි. ටනල එකකට වඩා ඇති සත්කාරකයක, එම වල්පත තවත් විශ්වාස මට්ටමක VPN එකක් එම කලාපයේම තැබිය හැක. විෂය පථය ඇත්තටම පවතින අතුරුමුහුණත් සමඟ සමාලෝචනය කරන්න, සහ අතුරුමුහුණත් නම් අතින් සංස්කරණය කරනවාට වඩා නාමකරණය සම්බන්ධතා කළමනාකරුගේ ජීවන චක්‍රය යටතේ තබන්න.
ඓතිහාසික මාර්ගෝපදේශයේ වඩාත් පැරණි OpenVPN වින්‍යාස උදාහරණ අඩංගු වන අතර, එහි සංකේතන උපදෙස් වර්තමාන යෙදවීමකට පිටපත් නොකළ යුතුය. ඒ වෙනුවට කලාප සහ ප්‍රවාහ ආකෘතිය ණයට ගන්න. සංකේතන පදනම ද්වාරයේ නඩත්තු කරන OpenVPN ප්‍රතිපත්තියෙන් ගන්න.
ඔබ වර්ගීකරණය කළ මාර්ගයට පමණක් අවසර දෙන්න
VPN කලාපයේ සිට LAN දක්වා පුළුල් පිළිගැනීමක් ආරම්භක සටහනක් මිස අවසන් ප්‍රතිපත්තියක් නොවේ. අවසර දුන් සේවාදායක මූලාශ්‍රය, සේවාවේ සැබෑ ලිපිනය, ප්‍රොටෝකෝලය සහ තොටුපළ ලියන්න. පසුව ඊට ඉහළින් ඇති නියම සහ කලාපයේ පෙරනිමිය කියවන්න, මන්ද පටු එකතු කිරීමක් දැනටමත් ගැලපෙන පුළුල් අවසරයක් අවලංගු නොකරයි. ද්වාර සත්කාරකය වෙත රථවාහනය එය හරහා යොමු කරන රථවාහනයෙන් වෙන් සම්බන්ධතාවයකි.
සේවාදායකයන් අතර රථවාහනයට එහිම තීරණයක් අවශ්‍යයි. OpenVPN හි client-to-client සහ Shorewall හි routeback දෙකම සේවාදායකයන් එකිනෙකාට ළඟා විය හැකිද යන්නට බලපාන අතර, එක් LAN යෙදුමක් ක්‍රියා කිරීම සඳහා පමණක් කිසිවක් සක්‍රීය නොකළ යුතුය. පරීක්ෂා කිරීමට පෙර හුදකලා කිරීම කොහේ බලාත්මක වේද යන්න තීරණය කරන්න.
පිළිතුරු මාර්ගය එම සැලසුමේම තබන්න. සේවාව හෝ එහි රවුටරය රථවාහනය ටනල පරාසයට ආපසු යවන ආකාරය දැනගත යුතුය, නැතහොත් සැලසුම මූලාශ්‍රය හිතාමතාම සහ අපේක්ෂිත විෂය පථය තුළ පරිවර්තනය කළ යුතුය.
වලංගු කරන්න, පසුව මාර්ග දෙකම ඔප්පු කරන්න
කිසිවක් නැවත ආරම්භ කිරීමට පෙර වින්‍යාසය වලංගු කරන්න, සහ නව ප්‍රතිපත්තිය වැරදි නම් යැයි ස්වාධීන පරිපාලන සැසියක් විවෘතව තබන්න.
shorewall checkපිරිසිදු පරීක්ෂාවකින් පසු වින්‍යාසය යොදන්න සහ Shorewall පූරණය කළ දේ නැවත කියවන්න. මෙම කියවීම් ගොනුවක් කියන බව පෙනෙන දේ නොව ධාවනය වන ප්‍රතිපත්තිය විස්තර කරයි.
shorewall show zones
ip route get 192.168.10.20එකම සේවාදායකයාගෙන් අලුතින් අවසර දුන් ඉල්ලීමක් සහ හිතාමතාම ප්‍රතික්ෂේප කළ ඉල්ලීමක් පරීක්ෂා කරන්න. සාර්ථක OpenVPN අතට ගැනීම ඔප්පු කරන්නේ පිටත හුවමාරුව පමණි; අවසර දුන් සේවාව සහ ප්‍රතික්ෂේප කළ සම්පත ඔබ අදහස් කළ ඇතුළත ප්‍රතිපත්තිය ඔප්පු කරයි. පසුව සේවාදායකයා නැවත සම්බන්ධ කර නැවත කරන්න, මන්ද ටනල අතුරුමුහුණතේ නම සහ ලිපිනය සැසි අතර වෙනස් විය හැක. ප්‍රතිඵලය වෙනස් නම් නියමය පුළුල් කරනවාට වඩා කලාපයේ විෂය පථය නිවැරදි කරන්න.