Правило слушаоца у firewalld-у наспрам политике прослеђивања: шта ради које

VPN који се повеже али никуда не стигне обично се описује као проблем заштитног зида, а решење коме људи прибегавају је стављање интерфејса тунела у поуздану зону. То функционише у смислу да саобраћај почне да тече, али пропушта и много више од предвиђене услуге. Две укључене политике се разликују: једна пропушта спољни транспорт до утичнице која слуша, а друга овлашћује дешифровани саобраћај да стигне до одређеног ресурса. Управо третирање њих као једног подешавања претвара уску дозволу у широку. Обе се одлучују на различитим местима, зато је грешку тако лако направити.

Две политике, један тунел

Спољна политика одговара на једноставно питање: може ли пакет са овог извора да стигне до UDP 1194 на овом хосту? Унутрашња политика одговара на друго: може ли аутентификовани клијент иза тог тунела да стигне до овог одредишта, овим протоколом, на овом порту? Прва је о утичници, друга о путањи, а firewalld их моделује различитим објектима јер се одлучују у различитим тачкама. Једна је својство утичнице на овом хосту, друга својство путање кроз њега.

Практична последица је да тунел који ради не говори ништа о другој политици, а исправна друга политика не чини прву сувишном.

Пропустите стварног спољног слушаоца

Почните прегледом онога што је већ додељено, уместо претпоставке. Прочитајте активне зоне, излистајте зону која заиста носи долазни саобраћај и проверите инсталирану дефиницију услуге, јер назив услуге описује скуп портова и ништа не говори о томе да ли слушалац овог сервера одговара њему.

firewall-cmd --get-active-zones
firewall-cmd --zone=public --list-all
firewall-cmd --info-service=openvpn

Ако је слушалац заиста UDP 1194 у тој зони, отворите управо тај порт и транспорт, а затим након тестирања учините исто конкретно правило трајним. Проверите и доделе по извору, јер зона везана за опсег извора може да ухвати саобраћај пре него што га зона интерфејса уопште види.

Овластите дешифровано одредиште одвојено

Веза ка услузи која ради на самом VPN серверу је политика локалног улаза. Веза која се прослеђује другом хосту у LAN-у захтева политику прослеђивања, прослеђивање омогућено у језгру и повратну путању — то су три одвојена захтева која људи често спајају у један. Савремени објекти политика у firewalld-у описују усмерени саобраћај између улазне и излазне зоне, и то је право место да се изрази који VPN извори смеју да стигну до којих приватних услуга.

Експлицитно дефинишите дозвољене изворе и пустите све остало да падне у одбијање. Дозвола за спољну услугу није та политика, како год изгледао распоред зона.

Зашто је поверење у интерфејс погрешна пречица

Стављање интерфејса тунела у зону чији циљ прихвата све пропушта сав дешифровани саобраћај ка свакој услузи коју домаћин излаже, укључујући и оне које нисте прегледали. Преусмеравање поуздане зоне на ограничавајућу на машини која ради је горе, јер други интерфејси и опсези извора можда већ зависе од њеног значења и промениће понашање када је уредите. Ако вам треба уска политика, направите је; не преусмеравајте дељену зону.

Такође одржавајте доделу зоне тунела стабилном кроз коју год компоненту која поседује ту конфигурацију. Губитак доделе при поновном покретању ствара квар који изгледа као проблем правила заштитног зида, а заправо је проблем трајности.

Проверите три ствари, укључујући једно одбијање

Тестирајте спољну везу споља, тестирајте једну овлашћену унутрашњу услугу са повезаног клијента и тестирајте једну услугу која би требало да остане недоступна. Трећи тест је онај који разликује политику од нуспојаве, и управо га људи прескачу јер све изгледа да ради. Ако одбијена услуга одговори, пропустили сте зону, а не услугу.

Запишите зону, порт, транспорт и објекат политике у белешке сервера. Иначе ће следећа измена на овом хосту почети од исте претпоставке.