Zona VPN e OpenWrt, përcjellja dhe maskimi: cila duhet?
Hyrja e zonës, përcjellja dhe maskimi u përgjigjen pyetjeve të ndryshme. Vendosni çfarë i nevojitet trafikut tuaj VPN përpara se të hapni zonën WAN.
Tre ndryshime përzihen sa herë që një VPN takon OpenWrt: hapja e një porte, lejimi i përcjelljes dhe aktivizimi i maskimit. Ato u përgjigjen pyetjeve të ndryshme, dhe zakonisht vetëm njëra prej tyre është kërkesa reale. Leximi i çdo kontrolli sipas rolit të trafikut që ai drejton e kthen një hamendje në vendim, dhe tregon gjithashtu çfarë simptome të presësh kur ndryshimi është i gabuar. Filloni duke emërtuar rolin që dështoi, jo kutinë e zgjedhjes që ju kujtohet.
Emërtoni rolin e trafikut përpara se të prekni një kontroll
Hyrja e zonës vendos çfarë mund të arrijë vetë ruterin. Dalja e zonës mbulon trafikun që ruteri krijon vetë, përcjellja e zonës është vlera e paracaktuar për trafikun që kalon nëpër një zonë, dhe maskimi vendos nëse adresa e burimit rishkruhet në dalje. Këto janë katër pyetje të ndryshme, dhe një politikë zone u përgjigjet të gjithave njëherësh me të njëjtën vlerë, prandaj një ndryshim në të gjithë zonën është mjet i trashë. Një rregull i emërtuar mund t'i përgjigjet njërës prej tyre pa prekur të tjerat.
Harta e dobishme është sipas rolit të trafikut, sepse kjo është ajo që mund të vëzhgoni kur diçka dështon. Çdo rol më poshtë ka një kontroll që e vendos dhe një simptomë që tregon drejt tij:
| Traffic role | Control that decides it | Where it lives in the config | Symptom when it is wrong |
|---|---|---|---|
| A client reaching a listener on the router | Input policy of the zone that carries the connection, or a rule for the port | option input in the zone stanza, or a named rule | The handshake never completes and the tunnel log says nothing |
| A tunnel client reaching the router itself | Input policy of the tunnel zone | option input in the VPN zone | A ping to the gateway fails |
| A tunnel client reaching another LAN host | Forwarding from the tunnel zone to the LAN zone | config forwarding plus the zone assignment | The gateway answers and the file share times out |
| The router's own traffic leaving the WAN | Output policy, and translation if the far side needs it | option output and option masq | The tunnel never establishes, or replies vanish |
Një dëgjues në ruter ka nevojë për një rregull të vetëm të ngushtë hyrjeje
Një server OpenVPN në ruter pranon trafik të adresuar drejt ruterit, kështu që lidhja e tij e jashtme varet nga politika e hyrjes e zonës që e mbart. Lejoni transportin dhe portën e konfiguruar dhe lërini të gjitha të tjerat në atë zonë të refuzuara. Një rregull i vetëm porte është një ndryshim shumë më i vogël se një leje në të gjithë zonën, dhe është ai që mund ta shpjegoni ende pas një viti.
Dy gjëra e bëjnë atë rregull të sigurt për t'u mbajtur: emërton portën që shërbimi përdor vërtet, dhe qëndron pranë përkufizimit të zonës që personi tjetër të shohë pse ekziston. Rreshtat më poshtë janë thjesht forma, dhe porta zë vendin e asaj që është konfiguruar në server. Ndryshoni atë portë në të dyja vendet kur shërbimi zhvendoset, sepse një rregull i mbetur në atë të vjetër është i padukshëm deri në një auditim.
config zone
option name 'wan'
option input 'REJECT'
option forward 'REJECT'
option output 'ACCEPT'
option masq '1'
config rule
option name 'allow-openvpn'
option src 'wan'
option proto 'udp'
option dest_port '1194'
option target 'ACCEPT'Validoni përpara se të ringarkoni, sepse një gabim sintaksor në një skedar firewall mund ta lërë ruterin pa një grup rregullash funksional. Në një version që përdor fw4 kontrolli është një komandë e veçantë, dhe dështon me zë të lartë në vend që të pranojë në heshtje një bllok të prishur. Ringarkoni vetëm pasi kontrolli kalon, dhe ruani skedarin e mëparshëm atje ku mund ta ktheni.
fw4 check
service firewall reloadKërkesa e klientit kalon nëpër përcjellje, jo nëpër hyrje
Pas vërtetimit, kërkesa e një klienti tuneli për një shërbim LAN prodhon një rrjedhë të përcjellë, kështu që kontrolli që e vendos është marrëdhënia e përcjelljes midis zonës së tunelit dhe zonës LAN. Caktoni ndërfaqen e tunelit në zonën e synuar, pastaj deklaroni drejtimin, burimet dhe shërbimin. Caktimi i zonës është ajo që i jep kuptim rregullit të përcjelljes, dhe të dyja kanë kuptim vetëm të lexuara bashkë. Një marrëdhënie përcjelljeje që emërton zonën e tunelit si burim dhe zonën LAN si destinacion lexohet si një vendim i qëllimshëm, ndërsa dy leje në të gjithë zonën lexohen si një aksident.
Arritja e vetë ruterit përdor ende rrugën e hyrjes, prandaj një ping drejt portës nuk thotë asgjë për ndarjen e skedarëve pas saj. Ato dy dështime jetojnë në blloqe të ndryshme dhe rregullohen me ndryshime të ndryshme. Shkruani të dyja rrugët veçmas përpara se të ndryshoni ndonjërën.
Maskimi është një vendim rrugëtimi, jo një leje
Maskimi rishkruan adresën e burimit të trafikut dalës të zgjedhur. Mund të shpëtojë një projekt daljeje ku pala e largët nuk ka rrugë kthimi, dhe gjithashtu fsheh adresat e klientëve individualë nga çdo shërbim që regjistron ose autorizon sipas adresës. Çaktivizimi i tij është një zgjedhje rrugëtimi për rrugën e kthimit, jo një çelës sigurie që mbyll një vrimë hyrëse. Një tunel që punon me përkthimin aktiv dhe dështon në momentin që ai çaktivizohet zakonisht i mungon një rrugë kthimi, jo një rregull firewall.
Alternativa e rrugëtuar kërkon një rrugë kthimi në palën e largët në vend të përkthimit. Asnjëra nga opsionet nuk ofron lejen e firewall ose llogarinë e aplikacionit, prandaj çaktivizimi i maskimit pothuajse kurrë nuk rregullon një klient tuneli që nuk arrin askund. Trajtoni veçmas edhe politikën IPv4 dhe IPv6, sepse një cilësim i vetëm përkthimi nuk i përshkruan të dyja familjet.
Provoni vendimin me një kërkesë të lejuar dhe një të refuzuar
Dërgoni një kërkesë që duhet të lejohet dhe një që duhet të refuzohet, pastaj identifikoni kontrollin që mori çdo vendim. Një faqe që ngarkohet rastësisht nuk është provë; prova është rregulli që përputhej, në zinxhirin ku përputhej. Refuzimi vlen sa suksesi, sepse tregon se politika po bën diçka në vend që gjithçka të jetë e lejuar.
Dy komanda ju japin atë provë në një version aktual. Numëruesi në rregullin përputhës lëviz kur kërkesa pranohet, dhe regjistri tregon hedhjen nëse keni aktivizuar regjistrimin për rregullin:
nft list chain inet fw4 forward_wan
logread -f | grep -i -E 'DROP|REJECT'Mbani një rrugë administrimi që ende mund ta përdorni përpara se të ndryshoni çdo politikë firewall, dhe ndiqni procesin e validimit dhe të kthimit të pronarit të konfigurimit. Një ndryshim që ju mbyll jashtë ruterit nuk është rezultat testi, është një incident i dytë. Shënoni zonën dhe rolin e trafikut pranë çdo vëzhgimi, që çifti i rezultateve të shpjegojë politikën në vend që të përshkruajë një ngarkim faqeje me fat.