Shorewallove cone za dve poti paketov OpenVPN
Ločite šifriran prenos OpenVPN od dešifriranega odjemalskega prometa, dajte tunelu svojo cono in dovolite samo tisto eno storitev, ki jo odjemalec potrebuje.
Dva toka paketov prečkata prehod Shorewall, ki zaključi OpenVPN, in samo eden od njiju je šifriran. Prvi je prenos odjemalca do poslušalca VPN na vmesniku, obrnjenem v internet. Drugi je dešifrirana zahteva, ki zapusti vmesnik tunela, proti pisarniškemu strežniku ali storitvi na prehodu. Preslikajte oba, preden uredite politiko, ker pravilo, ki zadovolji prvega, za drugega ne naredi nič.
Narišite oba toka, preden uredite politiko
Zapišite tokova kot vrstice z virom, ciljem, protokolom in vrati. Na zunanji poti je vir javni naslov odjemalca, cilj pa vrata poslušalca na prehodu; Shorewall to obravnava kot promet z interneta do požarnega zidu. Na notranji poti je vir obseg naslovov tunela, cilj pa odobrena storitev. Vrstici imata različne lastnike, tudi ko en skrbnik vzdržuje obe.
| Flow | Zone relationship | What to constrain |
|---|---|---|
| Encrypted OpenVPN transport | Internet to the firewall host | The listener's actual protocol and port |
| Decrypted request to a LAN service | VPN clients to the LAN zone | One approved server and service |
| Decrypted request to the gateway | VPN clients to the firewall host | Only the local services required |
| Request to another VPN client | VPN clients to VPN clients | Denied unless deliberately required |
Vrstico dodajte le, če se zahteva konča na samem prehodu, na primer dostop do razreševalnika ali upravljanja. Storitev na gostitelju sledi politiki vhoda gostitelja, ne posredovani poti. Prav mešanje obeh je razlog, da ozko pravilo tunela na koncu razkrije upravljalni vmesnik.
Dodelite cono tunela in obseg vmesnika
Cona popotnika je deklarirana v /etc/shorewall/zones, vmesnik tunela je pritrjen v /etc/shorewall/interfaces, zunanja povezava pa je opisana v /etc/shorewall/tunnels. Prilagodite se sintaksi nameščene izdaje, ker sta se vrstni red stolpcev in imena možnosti med glavnimi različicami spremenila. Primer vrat iz priročnika ni razlog za dovoljenje drugih vrat od tistih, na katerih demon dejansko posluša. TCP in UDP nista zamenljiva samo zato, ker se številke ujemajo.
Priročnik združuje vmesnike s tun+. Na gostitelju z več kot enim tunelom lahko ta nadomestni znak postavi drug VPN z drugačno ravnjo zaupanja v isto cono. Preglejte obseg glede na vmesnike, ki v resnici obstajajo, in imenovanje držite v življenjskem ciklu upravitelja povezav, namesto da bi imena vmesnikov urejali ročno.
Zgodovinski priročnik vsebuje veliko starejše primere konfiguracije OpenVPN in njegovih kriptografskih nasvetov ne smete kopirati v trenutno uvedbo. Izposodite si namesto tega model con in tokov. Kriptografsko osnovo vzemite iz vzdrževane politike OpenVPN na prehodu.
Dovolite samo pot, ki ste jo razvrstili
Široko sprejemanje s področja VPN v LAN je začetna skica, ne dokončana politika. Zapišite dovoljeni vir odjemalca, dejanski naslov storitve, protokol in vrata. Nato preberite pravila nad njim in privzeto vrednost cone, ker ozek dodatek ne razveljavi širokega dovoljenja, ki se že ujema. Promet do gostitelja prehoda je ločeno razmerje od prometa, posredovanega skozi njega.
Promet med odjemalci potrebuje svojo odločitev. client-to-client v OpenVPN in routeback v Shorewallu oba vplivata na to, ali se odjemalci lahko dosežejo, in nobenega ne bi smeli omogočiti le zato, da bi delovala ena aplikacija v LAN. Odločite, kje se izolacija uveljavlja, preden jo preizkusite.
Držite povratno pot v istem načrtu. Storitev ali njen usmerjevalnik mora vedeti, kako vrniti promet v obseg tunela, ali pa mora zasnova namerno prevesti vir in to v predvidenem obsegu.
Preverite in nato dokažite obe poti
Preverite konfiguracijo, preden kar koli znova zaženete, in pustite odprto neodvisno upravljalno sejo, če bi bila nova politika napačna.
shorewall checkPo čistem preverjanju uporabite konfiguracijo in preberite, kaj je Shorewall naložil. Ta branja opisujejo delujočo politiko, ne tega, kar naj bi datoteka govorila.
shorewall show zones
ip route get 192.168.10.20Preizkusite eno novo dovoljeno zahtevo in eno namerno zavrnjeno zahtevo istega odjemalca. Uspešen rokovanje OpenVPN dokaže le zunanjo izmenjavo; dovoljena storitev in zavrnjeni vir dokažeta notranjo politiko, ki ste jo nameravali. Nato znova povežite odjemalca in ponovite, ker se ime in naslov vmesnika tunela lahko spremenita med sejami. Če se rezultat razlikuje, popravite obseg cone, namesto da bi pravilo razširili.