Weka kikomo kwa lango la OpenVPN kwenye LAN moja kwa sheria za UFW

Amua ruhusa kabla ya kufungua faili ya ngome ya moto: wateja waliothibitishwa wanaweza kufungua miunganisho kwenye subnetwork moja maalum, na lango lazima likatae kila njia nyingine ya kupitisha hata wakati mteja anaweka njia za ziada. Sentensi hiyo ni muundo, na kila sheria iliyo chini ipo ili kuutekeleza. Kitu chochote kilichopana zaidi, kama nafasi yote ya anwani za faragha, kutoka kwa intaneti kupitia handaki au trafiki kati ya wenza, ni muundo tofauti unaohitaji uamuzi wake mwenyewe. Sheria pia kwa makusudi ni za kuchosha, kwa sababu ngome ya moto yenye akili ni ile ambayo hakuna anayeweza kuikagua baadaye.

Kwanza andika topolojia na ruhusa

Mfano unatumia seva ya Community OpenVPN yenye kifaa cha TUN cha nafasi ya mtumiaji kinachoitwa tun0, bwawa la wateja 10.77.0.0/24, na subnetwork moja iliyounganishwa 192.168.60.0/24 kwenye lan0. Uelekezaji wa IPv4 tayari unafanya kazi na LAN tayari ina njia ya kurudi kwenye bwawa, kwa hiyo hakuna kitu hapa kinategemea tafsiri kati yao.

Ngome ya moto kwenye mwenyeji huyu inamilikiwa na UFW, na hakuna seti ya sheria za kontena au jedwali tofauti la nftables linaloweza kuweka njia ya mapema ya kukubali. Njia ya mkato ya upakuaji wa mtiririko inayoruka kichujio ingefanya mifululizo ya ulinzi kuwa mapambo tu, kwa hiyo thibitisha kuwa hakuna inayofanya kazi. Acha uelekezaji client-to-client wa OpenVPN wenyewe umezimwa, kwa sababu trafiki kati ya wenza ambayo kamwe haivuki kichujio cha mfumo wa uendeshaji haiwezi kuzuiwa nayo. Msikilizaji wa nje na sheria za utawala zinabaki kama zilivyo, kwa kuwa mabadiliko haya yanasimamia trafiki ya handaki iliyofumbuliwa badala ya kubadilisha ngome ya moto.

Weka walinzi kabla ya makubaliano ya mapema ya UFW

Ruhusa ya njia ikifuatiwa na kukataa haitoshi kwa mpaka mkali. Sheria za before za kawaida hukubali trafiki iliyoanzishwa na ICMP fulani kabla ya sheria yoyote ya mtumiaji kuzingatiwa, kwa hiyo mtiririko ulioruhusiwa wiki iliyopita unaweza kubaki nje ya kizuizi kipya cha marudio kwa sababu tu bado una hali. Fanya nakala rudufu ya faili za UFW na uweke konsoli ya nje ya bendi wazi kabla ya kuhariri.

Katika sehemu ya *filter ya faili /etc/ufw/before.rules, tangaza mifululizo miwili kando ya matangazo yaliyopo na kabla ya mstari wowote wa sheria.

:vpn-src-guard - [0:0]
:vpn-reply-guard - [0:0]

Mara moja baada ya matangazo, na kabla ya ruhusa za kuingia na uelekezaji, ruka ndani yao na ufafanue wanachoruhusu.

-A ufw-before-input -i tun0 -j DROP
-A ufw-before-forward -i tun0 -j vpn-src-guard
-A ufw-before-forward -o tun0 -j vpn-reply-guard

-A vpn-src-guard -o lan0 -d 192.168.60.0/24 -s 10.77.0.0/24 -m conntrack --ctdir ORIGINAL -j RETURN
-A vpn-src-guard -j DROP

-A vpn-reply-guard -i lan0 -d 10.77.0.0/24 -s 192.168.60.0/24 -m conntrack --ctstate RELATED,ESTABLISHED --ctdir REPLY -j RETURN
-A vpn-reply-guard -j DROP

Hifadhi sehemu iliyobaki na mstari wake wa COMMIT. Kubandika jedwali la pili la kichujio au kufuta sheria zisizohusiana ni njia ambayo mabadiliko ya ngome ya moto yanakuwa usumbufu, na faili iko mbali na kuwasha upya mara moja kuwa nakala pekee inayojaliwa.

Soma kile kila mlinzi anaruhusu na anakataa

Mfululizo wa kwanza unaendelea na usindikaji tu wakati chanzo kiko kwenye bwawa, marudio ni subnetwork hiyo moja, kiolesura cha kutoka ni LAN na pakiti inasafiri katika mwelekeo wa asili wa mtiririko wake. Kila kitu kingine kinachokuja kutoka handaki hutupwa, ikiwa ni pamoja na chanzo nje ya bwawa na marudio yoyote zaidi ya subnetwork iliyoruhusiwa.

Pakiti ya wenza inaingia na kutoka tun0, kwa hiyo inashindwa jaribio la kiolesura cha LAN kabla hata ukaguzi wa marudio kufikiwa. Miunganisho mipya kutoka LAN kuelekea wateja pia inashindwa jaribio la mwelekeo wa jibu, jambo ambalo kwa chaguo-msingi hufunga njia ya mwito wa nyuma.

Lengo RETURN huweka sera ya kawaida ya UFW uwanjani. Mifululizo hii huchuja, na ruhusa ya njia unayoongeza baadaye bado huamua kama pakiti iliyobaki itakubaliwa. Utengano huo ndio unaokuwezesha kubadilisha subnetwork iliyoruhusiwa mahali pamoja baadaye. Kama walinzi wangekubali pakiti moja kwa moja, kila sheria ya baadaye ingelazimika kuongezwa mara mbili.

Idhinisha subnetwork na funga milango ya kando

Kwanza hakiki ruhusa ya njia, kisha ondoa bendera ya hakiki ili kuitumia: sudo ufw --dry-run route allow in on tun0 out on lan0 from 10.77.0.0/24 to 192.168.60.0/24. Baada ya hapo pitia mpangilio wa sheria za mtumiaji, kwa sababu kukataa kwa awali bado kunashinda ruhusa ya baadaye. Ruhusa ya subnetwork yote pia ni umbo lisilofaa wakati bandari ya HTTPS ya mwenyeji mmoja inapaswa kufikiwa.

Angalia kile kutupa kwa kuingia hufanya: wateja wa handaki hawawezi kufikia huduma yoyote kwenye lango lenyewe, ikiwa ni pamoja na msikilizaji wa DNS aliyeunganishwa na anwani yake ya LAN. Kuweka DNS hapo kunahitaji msamaha wa makusudi kabla ya kutupa na mkataba wa ruhusa uliorekebishwa. Kama UFW inasimamia IPv6, ongeza kutupa kunakolingana kwa tun0 kwenye faili ya before6.rules pia, kwa sababu orodha ya marudio ya IPv4 haisemi kitu kuhusu pakiti za IPv6.

Thibitisha sera iliyopakiwa, sio hakiki

Hakiki upakiaji upya, uitekeleze katika dirisha la matengenezo, na usome seti ya sheria hai.

sudo ufw --dry-run reload
sudo ufw show raw

Thibitisha kuwa walinzi wa handaki wanaonekana kabla ya ruhusa za hali ya chaguo-msingi na ICMP. ufw status ya kawaida haionyeshi sheria za before zilizohaririwa kwa mkono, ndiyo sababu waendeshaji huhitimisha kuwa sheria haipo wakati kwa kweli imepakiwa. Soma orodha mbichi kutoka juu hadi chini badala ya kutafuta kipande. Kama walinzi wanaonekana baada ya ruhusa ya hali, mpaka haufanyi kile faili inapendekeza.

Kisha jaribu tabia badala ya maandishi. Fungua muunganisho mpya kwa mwenyeji aliyeruhusiwa na uangalie jibu, elekeza ombi lisilo na madhara kwenye marudio nje ya subnetwork na uthibitishe kuwa linakufa, jaribu muunganisho wa wenza, jaribu huduma ya ndani kwenye lango, na jaribu muunganisho wa LAN-kwa-mteja usioombwa. Jumuisha mtiririko mmoja nje ya wigo uliokuwepo kabla ya mabadiliko, na futa mtiririko huo pekee badala ya kumwaga jedwali lote la ufuatiliaji la mashine.

Rekodi mipaka kando ya sheria: hii inaweka kikomo cha upitishaji na kitu kingine chochote. Haizuii mteja kutumia muunganisho wake wa intaneti, haizuii mwenyeji wa LAN aliyeruhusiwa kupeleka trafiki mbele, na haichukui nafasi ya uthibitishaji ndani ya huduma zilizoruhusiwa.