Kanuni ya msikilizaji wa firewalld na sera ya upelekaji: kila moja hufanya nini

VPN inayounganisha lakini haifikii chochote kwa kawaida huelezwa kama tatizo la ukuta wa moto, na suluhisho ambalo watu huchukua ni kuweka kiolesura cha handaki kwenye eneo linaloaminika. Hilo hufanya kazi kwa maana kwamba trafiki huanza kutiririka, lakini pia huruhusu mengi zaidi kuliko huduma iliyokusudiwa. Sera mbili zinazohusika ni tofauti: moja huruhusu usafirishaji wa nje kufikia soketi inayosikiliza, na nyingine huidhinisha trafiki iliyofumbuliwa kufikia rasilimali maalum. Kuzichukulia kama mpangilio mmoja ndiko kunakobadilisha ruhusa nyembamba kuwa pana. Zote mbili huamuliwa mahali tofauti, ndiyo sababu kosa hili ni rahisi.

Sera mbili, handaki moja

Sera ya nje hujibu swali rahisi: je, pakiti kutoka chanzo hiki inaweza kufikia UDP 1194 kwenye mwenyeji huyu? Sera ya ndani hujibu lingine: je, mteja aliyethibitishwa nyuma ya handaki hilo anaweza kufikia lengo hili, kwa itifaki hii, kwenye bandari hii? Ya kwanza inahusu soketi, ya pili inahusu njia, na firewalld huzimodeli kwa vitu tofauti kwa sababu huamuliwa katika sehemu tofauti. Moja ni sifa ya soketi kwenye mwenyeji huyu, nyingine ni sifa ya njia inayopita ndani yake.

Matokeo ya kivitendo ni kwamba handaki linalofanya kazi halisemi chochote kuhusu sera ya pili, na sera ya pili sahihi haifanyi ya kwanza kukosa umuhimu.

Ruhusu msikilizaji halisi wa nje

Anza kwa kuchunguza kile ambacho tayari kimegawiwa badala ya kudhani. Soma maeneo hai, orodhesha eneo ambalo kwa kweli hubeba trafiki ya kuingia, na angalia ufafanuzi wa huduma uliosakinishwa, kwa sababu jina la huduma hufafanua seti ya bandari na halisemi chochote kuhusu kama msikilizaji wa seva hii unalingana nayo.

firewall-cmd --get-active-zones
firewall-cmd --zone=public --list-all
firewall-cmd --info-service=openvpn

Ikiwa msikilizaji kwa kweli ni UDP 1194 kwenye eneo hilo, fungua bandari na usafirishaji huo mahususi, kisha fanya kanuni hiyo mahususi kudumu baada ya kuijaribu. Angalia pia mgawo unaotegemea chanzo, kwa sababu eneo lililofungwa kwa masafa ya chanzo linaweza kunasa trafiki kabla eneo la kiolesura halijaiona.

Idhinisha lengo lililofumbuliwa kwa tofauti

Muunganisho kwa huduma inayofanya kazi kwenye seva ya VPN yenyewe ni sera ya pembejeo ya ndani. Muunganisho unaopelekwa kwa mwenyeji mwingine kwenye LAN unahitaji sera ya upelekaji, upelekaji uliowezeshwa kwenye kerneli na njia ya majibu — haya ni mahitaji matatu tofauti ambayo watu mara nyingi huyachanganya kuwa moja. Vitu vya sera vya kisasa vya firewalld hufafanua trafiki iliyoelekezwa kati ya eneo la kuingia na eneo la kutoka, na hapo ndipo mahali sahihi pa kueleza vyanzo vipi vya VPN vinaweza kufikia huduma zipi za kibinafsi.

Fafanua vyanzo vinavyoruhusiwa kwa uwazi na uache kila kitu kingine kiendelee kwenye kukataliwa. Ruhusa kwa huduma ya nje si sera hiyo, hata mpangilio wa maeneo uonekane vipi.

Kwa nini kuamini kiolesura ni njia fupi isiyo sahihi

Kuweka kiolesura cha handaki kwenye eneo ambalo lengo lake hukubali kila kitu huruhusu trafiki yote iliyofumbuliwa kufikia kila huduma ambayo mwenyeji huwasilisha, ikiwa ni pamoja na zile ambazo hukuzipitia. Kuelekeza upya eneo linaloaminika liwe la kuzuia kwenye mashine inayofanya kazi ni mbaya zaidi, kwa sababu violesura na masafa ya chanzo vingine huenda tayari yanategemea maana yake na yatabadilika tabia unapohariri. Ikiwa unahitaji sera nyembamba, tengeneza moja; usitumie tena eneo la pamoja.

Pia weka mgawo wa eneo la handaki ukiwa thabiti kupitia sehemu yoyote inayomiliki usanidi huo. Kupoteza mgawo wakati wa kuwasha upya huzalisha hitilafu inayofanana na tatizo la kanuni ya ukuta wa moto lakini kwa kweli ni tatizo la uendelevu.

Thibitisha mambo matatu, ikiwa ni pamoja na kukataliwa kumoja

Jaribu muunganisho wa nje kutoka nje, jaribu huduma moja ya ndani iliyoidhinishwa kutoka kwa mteja aliyeunganishwa, na jaribu huduma moja ambayo inapaswa kubaki isifikike. Jaribio la tatu ndilo linalotofautisha sera na athari ya kando, na ndilo ambalo watu huliruka kwa sababu kila kitu kinaonekana kufanya kazi. Ikiwa huduma iliyokataliwa inajibu, umeruhusu eneo na si huduma.

Rekodi eneo, bandari, usafirishaji na kitu cha sera kwenye maelezo ya seva. Vinginevyo mabadiliko yajayo kwenye mwenyeji huyu yataanza kutoka kwenye dhana hiyo hiyo.