Kanda za Shorewall kwa njia mbili za pakiti za OpenVPN
Tenganisha usafirishaji wa OpenVPN uliosimbwa na trafiki ya mteja iliyofunguliwa, ipe handaki kanda yake mwenyewe, na ruhusu huduma moja tu ambayo mteja anaihitaji.
Mitiririko miwili ya pakiti inavuka lango la Shorewall linalomaliza OpenVPN, na mmoja tu wao umesimbwa. Wa kwanza ni usafirishaji wa mteja kwa msikilizaji wa VPN kwenye kiolesura kinachoelekea mtandao. Wa pili ni ombi lililofunguliwa linalotoka kwenye kiolesura cha handaki kuelekea seva ya ofisi au huduma kwenye lango. Panga zote mbili kabla ya kuhariri sera, kwa sababu kanuni inayotosheleza ya kwanza haifanyi chochote kwa ya pili.
Chora mitiririko miwili kabla ya kuhariri sera
Andika mitiririko kama safu zilizo na chanzo, lengwa, itifaki na bandari. Kwenye njia ya nje, chanzo ni anwani ya umma ya mteja na lengwa ni bandari ya kusikiliza ya lango; Shorewall huichukulia kama trafiki kutoka mtandao kuelekea ukuta wa moto. Kwenye njia ya ndani, chanzo ni safu ya anwani za handaki na lengwa ni huduma iliyoidhinishwa. Safu mbili zina wamiliki tofauti hata mmoja msimamizi anaposhughulikia zote mbili.
| Flow | Zone relationship | What to constrain |
|---|---|---|
| Encrypted OpenVPN transport | Internet to the firewall host | The listener's actual protocol and port |
| Decrypted request to a LAN service | VPN clients to the LAN zone | One approved server and service |
| Decrypted request to the gateway | VPN clients to the firewall host | Only the local services required |
| Request to another VPN client | VPN clients to VPN clients | Denied unless deliberately required |
Ongeza safu tu ikiwa ombi linaishia kwenye lango lenyewe, kama vile ufikiaji wa kitatuzi au usimamizi. Huduma kwenye mwenyeji hufuata sera ya pembejeo ya mwenyeji, si njia iliyopelekwa. Kuchanganya hizi mbili ndiko kunakofanya kanuni nyembamba ya handaki hatimaye kufichua kiolesura cha usimamizi.
Teua kanda ya handaki na wigo wa kiolesura
Kanda ya msafiri hutangazwa katika /etc/shorewall/zones, kiolesura cha handaki huunganishwa katika /etc/shorewall/interfaces, na muunganisho wa nje hufafanuliwa katika /etc/shorewall/tunnels. Linganisha na sintaksia ya toleo lililosakinishwa, kwa sababu mpangilio wa safu wima na majina ya chaguo umebadilika kati ya matoleo makuu. Bandari ya mfano kwenye mwongozo si sababu ya kuruhusu bandari tofauti na ile ambayo daemon husikiliza kweli. TCP na UDP hazibadilishani kwa sababu tu namba zinafanana.
Mwongozo huweka violezo vya kiolesura katika vikundi kwa tun+. Kwenye mwenyeji aliye na handaki zaidi ya moja, alama hiyo ya jokeri inaweza kuweka VPN ya pili yenye kiwango tofauti cha uaminifu katika kanda hiyo hiyo. Kagua wigo ukilinganisha na violezo vilivyopo kweli, na weka majina chini ya mzunguko wa maisha wa msimamizi wa miunganisho badala ya kuhariri majina ya violezo kwa mkono.
Mwongozo wa kihistoria una mifano ya usanidi wa OpenVPN ya zamani zaidi, na ushauri wake wa usimbaji fiche haupaswi kunakiliwa kwenye usambazaji wa sasa. Kopa mfano wa kanda na mitiririko badala yake. Chukua msingi wa usimbaji fiche kutoka sera ya OpenVPN ya lango inayohudumiwa.
Ruhusu njia uliyoainisha tu
Kukubali kwa upana kutoka kanda ya VPN hadi LAN ni mchoro wa kuanzia, si sera iliyokamilika. Andika chanzo cha mteja kilichoruhusiwa, anwani halisi ya huduma, itifaki na bandari. Kisha soma kanuni zilizo juu yake na chaguo-msingi la kanda, kwa sababu nyongeza nyembamba haifutii idhini pana inayolingana tayari. Trafiki kuelekea mwenyeji wa lango ni uhusiano tofauti na trafiki inayopelekwa kupitia lango hilo.
Trafiki kati ya wateja inahitaji uamuzi wake wenyewe. client-to-client ya OpenVPN na routeback ya Shorewall zote zinaathiri kama wateja wanaweza kufikiana, na hakuna inayopaswa kuwezeshwa ili tu programu moja ya LAN ifanye kazi. Amua wapi utengaji unatekelezwa kabla ya kuujaribu.
Weka njia ya majibu katika mpango huo huo. Huduma au kipanga-njia chake lazima kijue jinsi ya kurudisha trafiki kwenye safu ya handaki, au muundo lazima ubadilishe chanzo kwa makusudi na ndani ya wigo uliokusudiwa.
Thibitisha, kisha thibitisha njia zote mbili
Thibitisha usanidi kabla ya kuanzisha tena kitu chochote, na weka kikao huru cha usimamizi wazi ikiwa sera mpya ni mbaya.
shorewall checkBaada ya ukaguzi safi, tumia usanidi na usome tena kile Shorewall ilichopakia. Usomaji huu unaelezea sera inayoendesha na si kile ambacho faili inaonekana kusema.
shorewall show zones
ip route get 192.168.10.20Jaribu ombi moja jipya lililoruhusiwa na ombi moja lililokataliwa kwa makusudi kutoka kwa mteja huyo huyo. Ushirikiano wa mkono wa OpenVPN uliofanikiwa unathibitisha mabadilishano ya nje tu; huduma iliyoruhusiwa na rasilimali iliyokataliwa zinaithibitisha sera ya ndani uliyokusudia. Kisha unganisha tena mteja na urudie, kwa sababu jina na anwani ya kiolesura cha handaki vinaweza kubadilika kati ya vipindi. Ikiwa matokeo ni tofauti, rekebisha wigo wa kanda badala ya kupanua kanuni.