Ku xaddid OpenVPN gateway hal LAN oo leh xeerarka UFW

Go'aanso oggolaanshaha ka hor intaadan furin faylka darbiga dabka: macaamiisha la xaqiijiyay waxay furi karaan xiriiro hal subnetwork gaar ah, gateway-na waa inuu diido waddo kasta oo kale oo gudbin ah xitaa marka macmiilku rakibo waddooyin dheeraad ah. Jumladaas waa naqshadda, iyo xeer kasta oo hoos ku qoran wuxuu u jiraa inuu dhaqangeliyo. Wax kasta oo ka ballaaran, sida dhammaan booska cinwaanka gaarka ah, ka bixista internet-ka tunnel-ka, ama tabarka asaagga, waa naqshad kale oo u baahan go'aan u gaar ah. Xeerarku sidoo kale si ula kac ah waa caajis, sababtoo ah darbiga dabka ee caqli leh waa mid aan qofna ku auditi karin hadhow.

Marka hore qor topolojiyada iyo oggolaanshaha

Tusaalu wuxuu isticmaalaa Community OpenVPN server leh qalab TUN oo booska isticmaalaha ah oo la yiraahdo tun0, barkada macaamiisha 10.77.0.0/24, iyo hal subnetwork ku xidhan 192.168.60.0/24 oo ku yaal lan0. Gudbinta IPv4 horey ayay u shaqaysaa LAN-na horey ayay u leedahay waddo ku noqota barkada, sidaas darteed wax halkan ku jira kuma tiirsana tarjumaadda u dhexeeya labadooda.

Darbiga dabka ee martigeliyahan waxaa iska leh UFW, mana jiro xeerar kontaynar ama shax nftables gaar ah oo dhiggi kara waddo aqbal hore. Dariiqa gaaban ee dejinta qulqulka oo dhaafi kara shaandhada wuxuu silsiladaha ilaalinta ka dhigi lahaa qurxin uun, sidaas darteed xaqiiji in aan midna firfircoonayn. Ka tag gudbinta client-to-client ee OpenVPN laftiisa oo damis, sababtoo ah tabarka asaagga ee aan waligiis gudbin shaandhada nidaamka hawlgalka laguma xaddidi karo. Dhegeystaha dibadda iyo xeerarka maamulka waxay ahaanayaan sidii ay ahaayeen, maadaama isbeddelkani uu maamulo tabarka tunnel-ka ee la furay ee aan beddelin darbiga dabka.

Dhig ilaaliyayaasha ka hor aqbalaadda hore ee UFW

Oggolaansho waddo oo ay raacdo diidmo kuma filna xad adag. Xeerarka before ee caadiga ah waxay aqbalaan tabarka la aasaasay iyo qaar ICMP ka hor inta aan la fiirin xeer macmiil kasta, sidaas darteed qulqul loo oggolaaday usbuuntii hore wuu ku sii jiri karaa bannaanka xaddidaadda cusub ee meesha loo socdo sababtoo ah wali wuxuu leeyahay xaalad. Samee kayd faylasha UFW oo hay konsol ka baxsan band-ka oo furan ka hor tafatirka.

Qaybta *filter ee faylka /etc/ufw/before.rules, ku dhawaaq laba silsilad oo ku xiga kuwa jira oo ka hor kasta oo xariiq xeer ah.

:vpn-src-guard - [0:0]
:vpn-reply-guard - [0:0]

Isla markiiba ka dib ku dhawaaqista, iyo ka hor oggolaanshaha gelitaanka iyo gudbinta, u bood dhexdooda oo qeex waxa ay u oggolaadaan.

-A ufw-before-input -i tun0 -j DROP
-A ufw-before-forward -i tun0 -j vpn-src-guard
-A ufw-before-forward -o tun0 -j vpn-reply-guard

-A vpn-src-guard -o lan0 -d 192.168.60.0/24 -s 10.77.0.0/24 -m conntrack --ctdir ORIGINAL -j RETURN
-A vpn-src-guard -j DROP

-A vpn-reply-guard -i lan0 -d 10.77.0.0/24 -s 192.168.60.0/24 -m conntrack --ctstate RELATED,ESTABLISHED --ctdir REPLY -j RETURN
-A vpn-reply-guard -j DROP

Haye qaybta inta ka hartay iyo xariiqdeeda COMMIT. Ku dhejinta shax shaandhayn labaad ama tirtirka xeerar aan la xidhiidhin waa dariiqa isbeddelka darbiga dabka uu u noqdo hakad, faylkuna waa hal dib u bilow ka fog inuu noqdo nuqulka kaliya ee muhiimka ah.

Akhri waxa ilaaliye kastaa u oggolaado iyo waxa uu diido

Silsiladda ugu horreysa way sii waddaa habaynta kaliya marka isha ay ku jirto barkada, meesha loo socdo ay tahay isla subnetwork-kaas, interface-ka bixitaanku uu yahay LAN, iyo baakadku uu u socdo jihada asalka ah ee qulqulkiisa. Wax kasta oo kale oo ka yimaada tunnel-ka waa la tuuraa, oo ay ku jiraan isha ka baxsan barkada iyo meel kasta oo loo socdo oo ka shisheeya subnetwork-ka la oggolaaday.

Baakad asaag ah wuxuu galayaa tun0 oo ka soo baxaa, sidaas darteed wuu ku guuldareystaa imtixaanka interface-ka LAN ka hor inta aan la gaarin hubinta meesha loo socdo. Xiriirada cusub ee LAN ka yimaada oo u socda macaamiisha sidoo kale waxay ku guuldareystaan imtixaanka jihada jawaabta, taas oo si caadi ah u xirta waddada dib u wicitaanka.

Bartilmaameedka RETURN wuxuu sii hayaa siyaasadda caadiga ah ee UFW ciyaarta. Silsiladahani way shaandheeyaan, oggolaanshaha waddada ee aad ku darto ka dibna wali go'aamiyaa in baakadka badbaaday la aqbalo. Kala-soociddaas ayaa kuu ogolaanaysa inaad hadhow hal meel ku beddesho subnetwork-ka la oggolaaday. Haddii ilaaliyayaashu si toos ah u aqbalaan baakadaha, xeer kasta oo mustaqbalka ah waa in laba jeer lagu daro.

Oggolaado subnetwork-ka oo xir albaabbada dhinaca

Marka hore horay u eeg oggolaanshaha waddada, ka dibna ka saar calanka horay-u-eegista si aad u codsato: sudo ufw --dry-run route allow in on tun0 out on lan0 from 10.77.0.0/24 to 192.168.60.0/24. Ka dib dib u eeg nidaamka xeerarka macmiilka, sababtoo ah diidmo hore ayaa wali ka guuleysata oggolaansho dambe. Oggolaansho loo sameeyay subnetwork-ka oo dhan sidoo kale waa qaab khaldan marka kaliya dekedda HTTPS ee hal martigeliye ay tahay in la gaari karo.

Ogow waxa tuurista gelitaanku sameyso: macaamiisha tunnel-ku ma gaari karaan adeeg kasta oo ku yaal gateway-ka laftiisa, oo ay ku jiraan dhegeyste DNS oo ku xidhan cinwaankiisa LAN. Martigelinta DNS halkaas waxay u baahan tahay ka-bax si ula kac ah ka hor tuurista iyo heshiis oggolaansho dib loo eegay. Haddii UFW maamulo IPv6, ku dar tuurisyo u dhigma tun0 ee faylka before6.rules sidoo kale, sababtoo ah liiska meelaha loo socdo ee IPv4 wax kama sheegayo baakadaha IPv6.

Xaqiiji siyaasadda la raray, ma aha horay-u-eegista

Horay u eeg dib u rarista, ku codso shaqada dayactirka gudaheed, oo akhri xeerarka nool.

sudo ufw --dry-run reload
sudo ufw show raw

Xaqiiji in ilaaliyayaasha tunnel-ku ay u muuqdaan ka hor oggolaanshaha xaaladda caadiga ah iyo ICMP. ufw status caadi ah ma muujiyo xeerarka before ee gacanta lagu tafatiray, taas ayaa sababta hawlgayayaashu uga soo gabagabeeyaan in xeer maqan yahay halka dhab ahaan la raray. Akhri liiska ceeriin kor ilaa hoos halkii aad ka raadin lahayd qayb. Haddii ilaaliyayaashu ka muuqdaan ka dib oggolaansho xaaladeed, xadku ma sameynayo waxa faylku soo jeedinayo.

Ka dib tijaabi dabeecadda ma aha qoraalka. Fur xiriir cusub oo u socda martigeliyaha la oggolaaday oo fiiri jawaabta, u dir codsi aan waxyeello lahayn meel ka baxsan subnetwork-ka oo xaqiiji inuu dhinto, isku day xiriir asaag ah, isku day adeeg maxalli ah oo gateway-ka, iyo isku day xiriir LAN-ka-macmiilka ah oo aan la weydiisan. Ku dar hal qulqul oo ka baxsan baaxadda oo jiray ka hor isbeddelka, oo tirtir kaliya qulqulkaas halkii aad ka faaruqin lahayd shaxda raadraaca oo dhan ee mishiinka.

La diiwaangeli xadka xeerarka agtooda: tani waxay xaddidaa gudbinta oo wax kale ma aha. Ma ka horjoogsanayso macmiil inuu isticmaalo xiriirkiisa internet-ka, ma ka horjoogsanayso martigeliye LAN ah oo la oggolaaday inuu tabarka sii gudbiyo, mana beddelo xaqiijinta gudaha adeegyada la oggolaaday.