Zonat Shorewall për dy rrugët e paketave të OpenVPN
Ndani transportin e kriptuar të OpenVPN nga trafiku i dekriptuar i klientit, jepini tunelit zonën e vet dhe lejoni vetëm shërbimin e vetëm që i duhet klientit.
Dy flukse paketash kalojnë nëpër një portë Shorewall që përfundon OpenVPN, dhe vetëm njëri prej tyre është i kriptuar. I pari është transporti i klientit drejt dëgjuesit të VPN-së në ndërfaqen që shikon nga interneti. I dyti është kërkesa e dekriptuar që lë ndërfaqen e tunelit drejt një serveri zyre ose një shërbimi në portë. Hartoni të dy para se të redaktoni politikën, sepse një rregull që plotëson të parin nuk bën asgjë për të dytin.
Vizatoni dy flukset para se të redaktoni politikën
Shkruajini flukset si rreshta me burim, destinacion, protokoll dhe portë. Në rrugën e jashtme, burimi është adresa publike e klientit dhe destinacioni është porta e dëgjimit e portës; Shorewall e trajton atë si trafik nga interneti drejt firewall-it. Në rrugën e brendshme, burimi është diapazoni i adresave të tunelit dhe destinacioni është shërbimi i miratuar. Dy rreshtat kanë pronarë të ndryshëm edhe kur një administrator i mirëmban të dy.
| Flow | Zone relationship | What to constrain |
|---|---|---|
| Encrypted OpenVPN transport | Internet to the firewall host | The listener's actual protocol and port |
| Decrypted request to a LAN service | VPN clients to the LAN zone | One approved server and service |
| Decrypted request to the gateway | VPN clients to the firewall host | Only the local services required |
| Request to another VPN client | VPN clients to VPN clients | Denied unless deliberately required |
Shtoni një rresht vetëm nëse kërkesa përfundon në vetë portën, si qasja te zgjidhësi ose te administrimi. Një shërbim në host ndjek politikën e hyrjes së hostit, jo rrugën e përcjellë. Pikërisht përzierja e të dyjave është arsyeja pse një rregull i ngushtë tuneli përfundon duke ekspozuar një ndërfaqe administrimi.
Caktoni zonën e tunelit dhe shtrirjen e ndërfaqes
Zona e udhëtarit deklarohet në /etc/shorewall/zones, ndërfaqja e tunelit lidhet në /etc/shorewall/interfaces, dhe lidhja e jashtme përshkruhet në /etc/shorewall/tunnels. Përshtatuni sintaksës së versionit të instaluar, sepse rendi i kolonave dhe emrat e opsioneve kanë ndryshuar midis versioneve kryesore. Porta e shembullit në udhëzues nuk është arsye për të lejuar një portë tjetër nga ajo ku daemoni dëgjon në të vërtetë. TCP dhe UDP nuk janë të këmbyeshëm vetëm sepse numrat përputhen.
Udhëzuesi i grupon ndërfaqet me tun+. Në një host me më shumë se një tunel, ai karakter i përgjithshëm mund të vendosë një VPN të dytë me nivel tjetër besimi në të njëjtën zonë. Rishikoni shtrirjen kundrejt ndërfaqeve që ekzistojnë vërtet, dhe mbajini emërtimet nën ciklin e jetës të menaxherit të lidhjeve në vend që të redaktoni emrat e ndërfaqeve me dorë.
Udhëzuesi historik përmban shembuj konfigurimi të OpenVPN shumë më të vjetër, dhe këshillat e tij kriptografike nuk duhet të kopjohen në një vendosje aktuale. Huazoni në vend të kësaj modelin e zonave dhe flukseve. Bazën kriptografike merreni nga politika e mirëmbajtur e OpenVPN në portë.
Lejoni vetëm rrugën që keni klasifikuar
Një pranim i gjerë nga zona VPN drejt LAN është skicë fillestare, jo politikë e përfunduar. Shkruani burimin e lejuar të klientit, adresën reale të shërbimit, protokollin dhe portën. Më pas lexoni rregullat sipër saj dhe vlerën e paracaktuar të zonës, sepse një shtesë e ngushtë nuk anulon një leje të gjerë që përputhet tashmë. Trafiku drejt hostit të portës është një marrëdhënie e veçantë nga trafiku i përcjellë përmes saj.
Trafiku mes klientëve kërkon vendimin e vet. client-to-client i OpenVPN dhe routeback i Shorewall ndikojnë të dy nëse klientët mund të arrijnë njëri-tjetrin, dhe asnjëri nuk duhet aktivizuar vetëm që një aplikacion LAN të funksionojë. Vendosni ku zbatohet izolimi para se ta provoni.
Mbajeni rrugën e përgjigjes në të njëjtin plan. Shërbimi ose ruteri i tij duhet të dijë si ta kthejë trafikun në diapazonin e tunelit, ose projektimi duhet ta përkthejë burimin me qëllim dhe brenda shtrirjes së synuar.
Vlerësoni, pastaj provoni të dyja rrugët
Vlerësoni konfigurimin para se të rinisni çdo gjë, dhe mbani hapur një sesion administrativ të pavarur në rast se politika e re është e gabuar.
shorewall checkPas një kontrolli të pastër, zbatoni konfigurimin dhe rilexoni atë që ngarkoi Shorewall. Këto lexime përshkruajnë politikën në punë dhe jo atë që duket se thotë një skedar.
shorewall show zones
ip route get 192.168.10.20Provoni një kërkesë të re të lejuar dhe një kërkesë të refuzuar me qëllim nga i njëjti klient. Një shtrëngim duarsh i OpenVPN me sukses provon vetëm shkëmbimin e jashtëm; shërbimi i lejuar dhe burimi i refuzuar provojnë politikën e brendshme që kishit ndërmend. Më pas rilidhni klientin dhe përsëritni, sepse emri dhe adresa e ndërfaqes së tunelit mund të ndryshojnë midis sesioneve. Nëse rezultati ndryshon, korrigjoni shtrirjen e zonës në vend që të zgjeroni rregullin.