UFW விதிகளால் OpenVPN நுழைவாயிலை ஒரு LAN-க்கு வரம்பிடுங்கள்

தீச்சுவர் கோப்பைத் திறப்பதற்கு முன் அனுமதியை முடிவு செய்யுங்கள்: அங்கீகரிக்கப்பட்ட வாடிக்கையாளர்கள் ஒரு குறிப்பிட்ட துணை வலையமைப்புக்கு இணைப்புகளைத் திறக்கலாம், மேலும் வாடிக்கையாளர் கூடுதல் வழிகளை நிறுவினாலும் நுழைவாயில் மற்ற ஒவ்வொரு கடப்புப் பாதையையும் மறுக்க வேண்டும். அந்த வாக்கியமே வடிவமைப்பு, கீழேயுள்ள ஒவ்வொரு விதியும் அதை நடைமுறைப்படுத்தவே உள்ளது. இதைவிட பரந்த ஏதாவது, உதாரணமாக முழு தனிப்பட்ட முகவரி இடம், சுரங்கப்பாதை வழியாக இணையத்துக்குச் செல்வது அல்லது சமநிலை ஆரங்களுக்கிடையேயான போக்குவரத்து, தனக்கே உரிய முடிவைத் தேவைப்படுத்தும் வேறு வடிவமைப்பு. விதிகள் வேண்டுமென்றே சலிப்பானவையும் கூட, ஏனெனில் புத்திசாலித் தீச்சுவர் என்பது பின்னர் யாரும் தணிக்கை செய்ய முடியாத ஒன்று.

முதலில் இடவியலையும் அனுமதியையும் எழுதுங்கள்

எடுத்துக்காட்டு பயன்படுத்துவது பயனர் இடத்தின் TUN சாதனத்தை என்று அழைக்கப்படும் Community OpenVPNtun0 சேவையகம், வாடிக்கையாளர் தொகுப்பு 10.77.0.0/24, மற்றும் ஒரு இணைக்கப்பட்ட துணை வலையமைப்பு 192.168.60.0/24 lan0 இல். IPv4 அனுப்புதல் ஏற்கனவே வேலை செய்கிறது, LAN-க்கு தொகுப்புக்குத் திரும்பும் வழியும் ஏற்கனவே உள்ளது, எனவே இங்கு எதுவும் அவற்றுக்கிடையேயான மொழிபெயர்ப்பைச் சார்ந்திருக்கவில்லை.

இந்த ஓம்புநரின் தீச்சுவர் UFW-இன் உடைமை, மற்றும் எந்தக் கொள்கலன் விதித்தொகுப்பும் தனி nftables அட்டவணையும் முந்தைய ஏற்புப் பாதையை நிறுவக்கூடாது. வடிகட்டியைத் தவிர்க்கும் ஓட்ட இறக்கக் குறுக்குவழி காவல் சங்கிலிகளை அலங்காரமாக மட்டுமே ஆக்கும், எனவே எதுவும் செயலில் இல்லை என்பதை உறுதிசெய்யுங்கள். OpenVPN-இன் சொந்த client-to-client அனுப்புதலை அணைந்த நிலையில் விடுங்கள், ஏனெனில் இயக்க முறைமையின் வடிகட்டியை ஒருபோதும் கடக்காத சமநிலை ஆரங்களுக்கிடையேயான போக்குவரத்தை அதனால் வரம்பிட முடியாது. வெளிப்புறக் கேட்பான் மற்றும் நிர்வாக விதிகள் இருப்பது போலவே இருக்கும், ஏனெனில் இந்த மாற்றம் தீச்சுவரை மாற்றீடு செய்வதற்குப் பதிலாக மறைகுறியாக்கப்பட்ட சுரங்கப்பாதைப் போக்குவரத்தை நிர்வகிக்கிறது.

காவலர்களை UFW-இன் ஆரம்ப ஏற்புகளுக்கு முன் வையுங்கள்

வழி அனுமதியும் அதைத் தொடர்ந்து மறுப்பும் கடுமையான எல்லைக்குப் போதாது. இயல்புநிலை before விதிகள் எந்தப் பயனர் விதியையும் பார்ப்பதற்கு முன்பே நிலைபெற்ற போக்குவரத்தையும் சில ICMP-ஐயும் ஏற்கின்றன, எனவே கடந்த வாரம் அனுமதிக்கப்பட்ட ஓட்டம் இன்னும் நிலை உள்ளதால் மட்டுமே புதிய இலக்குக் கட்டுப்பாட்டுக்கு வெளியே தங்கலாம். UFW கோப்புகளைக் காப்புநகல் செய்து, திருத்துவதற்கு முன் வரிசைக்கு வெளியேயுள்ள பணியகத்தைத் திறந்து வைத்திருங்கள்.

கோப்பின் *filter பிரிவில் /etc/ufw/before.rules, ஏற்கனவே உள்ள அறிவிப்புகளுக்கு அடுத்ததாகவும் எந்த விதி வரிக்கும் முன்பாகவும் இரண்டு சங்கிலிகளை அறிவியுங்கள்.

:vpn-src-guard - [0:0]
:vpn-reply-guard - [0:0]

அறிவிப்புகளுக்கு உடனே பின், மற்றும் உள்ளீட்டு மற்றும் அனுப்புதல் அனுமதிகளுக்கு முன், அவற்றுக்குள் குதித்து அவை எதை அனுமதிக்கின்றன என்பதை வரையறையுங்கள்.

-A ufw-before-input -i tun0 -j DROP
-A ufw-before-forward -i tun0 -j vpn-src-guard
-A ufw-before-forward -o tun0 -j vpn-reply-guard

-A vpn-src-guard -o lan0 -d 192.168.60.0/24 -s 10.77.0.0/24 -m conntrack --ctdir ORIGINAL -j RETURN
-A vpn-src-guard -j DROP

-A vpn-reply-guard -i lan0 -d 10.77.0.0/24 -s 192.168.60.0/24 -m conntrack --ctstate RELATED,ESTABLISHED --ctdir REPLY -j RETURN
-A vpn-reply-guard -j DROP

பிரிவின் மீதமுள்ள பகுதியையும் அதன் COMMIT வரியையும் வைத்திருங்கள். இரண்டாவது வடிகட்டி அட்டவணையை ஒட்டுவதோ தொடர்பில்லாத விதிகளை நீக்குவதோ தீச்சுவர் மாற்றம் சேவை நிறுத்தமாகும் வழி, மற்றும் கோப்பு முக்கியமான ஒரே நகலாக இருப்பதற்கு ஒரு மறுதொடக்கம் மட்டுமே தூரம்.

ஒவ்வொரு காவலும் எதை அனுமதிக்கிறது, எதை மறுக்கிறது என்பதைப் படியுங்கள்

முதல் சங்கிலி செயலாக்கத்தைத் தொடர்கிறது மூலம் தொகுப்பில் இருக்கும்போது, இலக்கு அந்த ஒரு துணை வலையமைப்பாக இருக்கும்போது, வெளியேறும் இடைமுகம் LAN-ஆக இருக்கும்போது, மற்றும் பொதி அதன் ஓட்டத்தின் மூலத் திசையில் செல்லும்போது மட்டுமே. சுரங்கப்பாதையிலிருந்து வரும் மற்ற அனைத்தும் நீக்கப்படும், தொகுப்புக்கு வெளியேயுள்ள மூலமும் அனுமதிக்கப்பட்ட துணை வலையமைப்புக்கு அப்பாற்பட்ட எந்த இலக்கும் உட்பட.

சமநிலை ஆரங்களுக்கிடையேயான பொதி tun0 உள்ளே நுழைந்து அதிலிருந்து வெளியேறுகிறது, எனவே இலக்குச் சரிபார்ப்பு எட்டப்படுவதற்கு முன்பே அது LAN இடைமுகச் சோதனையில் தோல்வியடைகிறது. LAN-இலிருந்து வாடிக்கையாளர்களை நோக்கிய புதிய இணைப்புகளும் பதில் திசைச் சோதனையில் தோல்வியடைகின்றன, இது இயல்பாகவே தலைகீழ் அழைப்புப் பாதையை மூடுகிறது.

RETURN இலக்கு சாதாரண UFW கொள்கையைச் செயலில் வைத்திருக்கிறது. இந்தச் சங்கிலிகள் வடிகட்டுகின்றன, அடுத்து நீங்கள் சேர்க்கும் வழி அனுமதி தப்பிப்பிழைத்த பொதி ஏற்கப்படுமா என்பதை இன்னும் தீர்மானிக்கிறது. அந்தப் பிரிவுதான் பின்னர் அனுமதிக்கப்பட்ட துணை வலையமைப்பை ஒரே இடத்தில் மாற்ற அனுமதிக்கிறது. காவலர்கள் பொதிகளை நேரடியாக ஏற்றுக்கொண்டிருந்தால், ஒவ்வொரு எதிர்கால விதியும் இருமுறை சேர்க்கப்பட வேண்டியிருக்கும்.

துணை வலையமைப்பை அதிகாரப்படுத்தி பக்கக் கதவுகளை மூடுங்கள்

முதலில் வழி அனுமதியை முன்னோட்டமிடுங்கள், பின்னர் அதைப் பயன்படுத்த முன்னோட்டக் கொடியை அகற்றுங்கள்: sudo ufw --dry-run route allow in on tun0 out on lan0 from 10.77.0.0/24 to 192.168.60.0/24. அதன் பிறகு பயனர் விதிகளின் வரிசையை மீளாய்வு செய்யுங்கள், ஏனெனில் முந்தைய மறுப்பு பிந்தைய அனுமதியை இன்னும் வெல்கிறது. முழுத் துணை வலையமைப்புக்கான அனுமதியும் தவறான வடிவம், ஒரு ஓம்புநரின் HTTPS துறைமுகம் மட்டும் அணுகக்கூடியதாக இருக்க வேண்டும் என்றால்.

உள்ளீட்டு நீக்கம் என்ன செய்கிறது என்பதைக் கவனியுங்கள்: சுரங்கப்பாதை வாடிக்கையாளர்கள் நுழைவாயிலிலேயே எந்தச் சேவையையும் அடைய முடியாது, அதன் LAN முகவரியில் பிணைக்கப்பட்ட DNS கேட்பானும் உட்பட. அங்கு DNS ஓம்புவதற்கு நீக்கத்துக்கு முன் வேண்டுமென்றே செய்யப்பட்ட விலக்கும் திருத்தப்பட்ட அனுமதி ஒப்பந்தமும் தேவை. UFW IPv6-ஐ நிர்வகித்தால், tun0 க்கான பொருந்தும் நீக்கங்களை before6.rules கோப்பிலும் சேர்க்கவும், ஏனெனில் IPv4 இலக்குப் பட்டியல் IPv6 பொதிகளைப் பற்றி எதுவும் கூறவில்லை.

முன்னோட்டத்தை அல்ல, ஏற்றப்பட்ட கொள்கையைச் சரிபாருங்கள்

மறுஏற்றத்தை முன்னோட்டமிடுங்கள், பராமரிப்பு சாளரத்தில் அதைப் பயன்படுத்துங்கள், மற்றும் நேரடி விதித்தொகுப்பைப் படியுங்கள்.

sudo ufw --dry-run reload
sudo ufw show raw

சுரங்கப்பாதைக் காவலர்கள் இயல்புநிலை நிலை மற்றும் ICMP அனுமதிகளுக்கு முன் தோன்றுவதை உறுதிசெய்யுங்கள். சாதாரண ufw status கைமுறையாகத் திருத்தப்பட்ட before விதிகளைக் காட்டாது, அதனால்தான் இயக்குபவர்கள் ஒரு விதி இல்லை என்று முடிவெடுக்கிறார்கள், உண்மையில் அது ஏற்றப்பட்டிருந்தாலும். துண்டைத் தேடுவதற்குப் பதிலாக மூலப் பட்டியலை மேலிருந்து கீழாகப் படியுங்கள். காவலர்கள் நிலை அனுமதிக்குப் பின் தோன்றினால், எல்லை கோப்பு கூறுவதைச் செய்யவில்லை.

பின்னர் உரையை அல்ல, நடத்தையைச் சோதியுங்கள். அனுமதிக்கப்பட்ட ஓம்புநருக்கு புதிய இணைப்பைத் திறந்து பதிலைப் பாருங்கள், துணை வலையமைப்புக்கு வெளியேயுள்ள இலக்குக்கு பாதிப்பில்லாத கோரிக்கையை அனுப்பி அது இறப்பதை உறுதிசெய்யுங்கள், சமநிலை ஆரங்களுக்கிடையேயான இணைப்பை முயற்சியுங்கள், நுழைவாயிலில் உள்ளூர் சேவையை முயற்சியுங்கள், மற்றும் கேட்கப்படாத LAN-இலிருந்து-வாடிக்கையாளர் இணைப்பை முயற்சியுங்கள். மாற்றத்துக்கு முன் இருந்த ஒரு வரம்புக்கு வெளியேயுள்ள ஓட்டத்தைச் சேர்க்கவும், இயந்திரத்தின் முழுத் தடமறிதல் அட்டவணையையும் காலியாக்குவதற்குப் பதிலாக அந்த ஓட்டத்தை மட்டும் அழிக்கவும்.

விதிகளுக்கு அருகில் வரம்புகளைப் பதிவு செய்யுங்கள்: இது கடப்பை வரம்பிடுகிறது, வேறு எதையும் அல்ல. இது வாடிக்கையாளரைத் தன் சொந்த இணைய இணைப்பைப் பயன்படுத்துவதிலிருந்து தடுக்காது, அனுமதிக்கப்பட்ட LAN ஓம்புநரைப் போக்குவரத்தை மேலும் அனுப்புவதிலிருந்து தடுக்காது, மற்றும் அனுமதிக்கப்பட்ட சேவைகளுக்குள் உள்ள அங்கீகாரத்தை மாற்றீடு செய்யாது.