Eneo la VPN la OpenWrt, upelekaji na ufichaji: lipi linahitajika?

Mabadiliko matatu huchanganyika kila VPN inapokutana na OpenWrt: kufungua lango, kuruhusu upelekaji na kuwasha ufichaji. Hujibu maswali tofauti, na kwa kawaida ni moja tu kati yao ndiyo hitaji halisi. Kusoma kila kiamilifu kulingana na jukumu la trafiki linalolisimamia hugeuza dhana kuwa uamuzi, na pia hueleza ni dalili gani itarajiwe mabadiliko yanapokuwa si sahihi. Anza kwa kutaja jukumu lililoshindwa, si kisanduku cha kuteua unachokumbuka.

Taja jukumu la trafiki kabla ya kugusa kiamilifu

Ingizo la eneo huamua nini kinaweza kufika kwenye kipanga njia yenyewe. Utokaji wa eneo hushughulikia trafiki inayoundwa na kipanga njia, upelekaji wa eneo ndiyo thamani chaguo-msingi kwa trafiki inayopita katika eneo, na ufichaji huamua kama anwani ya chanzo inaandikwa upya inapotoka. Haya ni maswali manne tofauti, na sera ya eneo hujibu yote kwa wakati mmoja kwa thamani moja, ndiyo sababu mabadiliko ya eneo zima ni chombo kikubwa. Sheria iliyotajwa inaweza kujibu mojawapo bila kugusa mengine.

Ramani yenye manufaa ni kwa jukumu la trafiki, kwa sababu hiyo ndiyo unaweza kuiona kitu kinaposhindwa. Kila jukumu hapa chini lina kiamilifu kimoja kinachoamua na dalili moja inayolielekeza:

Msikilizaji kwenye kipanga njia anahitaji sheria moja nyembamba ya ingizo

Seva ya OpenVPN kwenye kipanga njia hupokea trafiki inayoelekezwa kwenye kipanga njia, kwa hiyo muunganisho wake wa nje hutegemea sera ya ingizo ya eneo linaloibeba. Ruhusu usafirishaji na lango lililowekwa na uache kila kitu kingine katika eneo hilo likikataliwa. Sheria moja ya lango ni mabadiliko madogo zaidi kuliko idhini ya eneo zima, na ndiyo unayoweza kuieleza hata baada ya mwaka.

Mambo mawili hufanya sheria hiyo kuwa salama kuihifadhi: inataja lango ambalo huduma inatumia kweli, na inasimama kando ya ufafanuzi wa eneo ili mtu anayefuata aone kwa nini ipo. Mistari hapa chini ni umbo tu, lango linawakilisha kile kilichowekwa kwenye seva. Badilisha lango hilo katika sehemu zote mbili huduma inapohama, kwa sababu sheria iliyobaki kwenye la zamani haionekani hadi ukaguzi.

config zone
    option name 'wan'
    option input 'REJECT'
    option forward 'REJECT'
    option output 'ACCEPT'
    option masq '1'

config rule
    option name 'allow-openvpn'
    option src 'wan'
    option proto 'udp'
    option dest_port '1194'
    option target 'ACCEPT'

Thibitisha kabla ya kupakia upya, kwa sababu hitilafu ya sintaksia katika faili ya firewall inaweza kuacha kipanga njia bila seti ya sheria inayofanya kazi. Katika toleo linalotumia fw4 ukaguzi ni amri tofauti, na hushindwa kwa sauti badala ya kukubali kizuizi kilichovunjika kwa kimya. Pakia upya tu baada ya ukaguzi kupita, na hifadhi faili ya awali mahali unapoweza kuirejesha.

fw4 check
service firewall reload

Ombi la mteja hupitia upelekaji, si ingizo

Baada ya uthibitishaji, ombi la mteja wa handaki kwa huduma ya LAN huzalisha mtiririko uliopelekwa, kwa hiyo kiamilifu kinachoamua ni uhusiano wa upelekaji kati ya eneo la handaki na eneo la LAN. Kabidhi kiolesura cha handaki kwenye eneo linalokusudiwa, kisha tangaza mwelekeo, vyanzo na huduma. Ugawaji wa eneo ndio unaoipa sheria ya upelekaji maana, na vyote viwili vinaeleweka tu vikisomwa pamoja. Uhusiano wa upelekaji unaotaja eneo la handaki kama chanzo na eneo la LAN kama lengwa husomwa kama uamuzi mmoja wa makusudi, wakati idhini mbili za eneo zima husomwa kama ajali.

Kufikia kipanga njia yenyewe bado kunatumia njia ya ingizo, ndiyo sababu ping kwa lango hakuambii chochote kuhusu kushiriki faili nyuma yake. Hitilafu hizo mbili zinaishi katika vizuizi tofauti na hurekebishwa kwa mabadiliko tofauti. Andika njia zote mbili kwa mbalimbali kabla ya kubadilisha yoyote.

Ufichaji ni uamuzi wa uelekezaji, si idhini

Ufichaji huandika upya anwani ya chanzo ya trafiki teule inayotoka. Unaweza kuokoa muundo wa kutoka ambapo upande wa mbali hauna njia ya kurudi, na pia huficha anwani za wateja binafsi kutoka kwa huduma yoyote inayorekodi au kuidhinisha kwa anwani. Kuuzima ni chaguo la uelekezaji kuhusu njia ya kurudi, si swichi ya usalama inayofunga tundu la kuingia. Handaki linalofanya kazi wakati tafsiri imewashwa na kushindwa mara moja inapozimwa kwa kawaida hukosa njia ya kurudi, si sheria ya firewall.

Mbadala ulioelekezwa unahitaji njia ya kurudi upande wa mbali badala ya tafsiri. Hakuna chaguo lolote linalotoa idhini ya firewall au akaunti ya programu, ndiyo sababu kuzima ufichaji karibu kamwe hakurekebishi mteja wa handaki asiyeweza kufikia popote. Shughulikia sera za IPv4 na IPv6 tofauti pia, kwa sababu mpangilio mmoja wa tafsiri hauelezii familia zote mbili.

Thibitisha uamuzi kwa ombi lililoruhusiwa na lililokataliwa

Tuma ombi moja linalopaswa kuruhusiwa na moja linalopaswa kukataliwa, kisha tambua kiamilifu kilichofanya kila uamuzi. Ukurasa unaopakia kwa bahati si ushahidi; ushahidi ni sheria iliyolingana, katika mnyororo ambapo ililingana. Kukataliwa kuna umuhimu sawa na mafanikio, kwa sababu kunaonyesha sera inafanya kitu badala ya kila kitu kuruhusiwa.

Amri mbili hukupa ushahidi huo kwenye toleo la sasa. Kihesabu kwenye sheria inayolingana husogea ombi linapokubaliwa, na kumbukumbu huonyesha kutupwa ikiwa umewasha uandishi kumbukumbu kwa sheria hiyo:

nft list chain inet fw4 forward_wan
logread -f | grep -i -E 'DROP|REJECT'

Hifadhi njia ya utawala ambayo bado unaweza kuitumia kabla ya kubadilisha sera yoyote ya firewall, na fuata mchakato wa uthibitishaji na urejeshaji wa mmiliki wa usanidi. Mabadiliko yanayokufungia nje ya kipanga njia si matokeo ya jaribio, ni tukio la pili. Andika eneo na jukumu la trafiki kando ya kila uchunguzi, ili jozi la matokeo lieleze sera badala ya kuelezea upakiaji wa ukurasa wa bahati.