firewalld செவியேற்பவர் விதி மற்றும் ஃபார்வேர்டிங் கொள்கை: ஒவ்வொன்றும் என்ன செய்கிறது

இணைக்கிறது ஆனால் எங்கும் சென்றடையாத VPN பொதுவாக ஃபயர்வால் சிக்கல் என்று விவரிக்கப்படுகிறது, மேலும் மக்கள் எடுக்கும் தீர்வு டன்னல் இடைமுகத்தை நம்பகமான மண்டலத்தில் வைப்பதாகும். இது போக்குவரத்து பாயத் தொடங்குகிறது என்ற அர்த்தத்தில் வேலை செய்கிறது, ஆனால் நோக்கமான சேவையை விட மிக அதிகமாக அனுமதிக்கிறது. இங்கே ஈடுபட்டுள்ள இரண்டு கொள்கைகள் வேறுபடுகின்றன: ஒன்று வெளிப்புற போக்குவரத்தைக் கேட்கும் சாக்கெட்டுக்கு அனுமதிக்கிறது, மற்றொன்று மறைகுறியாக்கப்பட்ட போக்குவரத்தை குறிப்பிட்ட வளத்தை அடைய அனுமதிக்கிறது. இரண்டையும் ஒரே அமைப்பாகக் கருதுவதே குறுகிய அனுமதியை பரந்ததாக மாற்றுகிறது. இரண்டும் வெவ்வேறு இடங்களில் தீர்மானிக்கப்படுகின்றன, அதனால்தான் இந்த தவறைச் செய்வது எளிது.

இரண்டு கொள்கைகள், ஒரு டன்னல்

வெளிப்புற கொள்கை ஒரு எளிய கேள்விக்கு பதிலளிக்கிறது: இந்த மூலத்திலிருந்து வரும் பாக்கெட் இந்த ஹோஸ்ட்டில் UDP 1194 ஐ அடைய முடியுமா? உள் கொள்கை மற்றொன்றுக்கு பதிலளிக்கிறது: அந்த டன்னலுக்குப் பின்னால் உள்ள அங்கீகரிக்கப்பட்ட கிளையண்ட் இந்த இலக்கை, இந்த நெறிமுறையுடன், இந்த போர்ட்டில் அடைய முடியுமா? முதலாவது சாக்கெட் பற்றியது, இரண்டாவது பாதை பற்றியது, மேலும் firewalld அவற்றை வெவ்வேறு பொருட்களால் மாதிரியாக்குகிறது, ஏனெனில் அவை வெவ்வேறு புள்ளிகளில் தீர்மானிக்கப்படுகின்றன. ஒன்று இந்த ஹோஸ்ட்டின் சாக்கெட்டின் பண்பு, மற்றொன்று அதன் வழியாகச் செல்லும் பாதையின் பண்பு.

நடைமுறை விளைவு என்னவென்றால், வேலை செய்யும் டன்னல் இரண்டாவது கொள்கை பற்றி எதுவும் கூறாது, சரியான இரண்டாவது கொள்கை முதல் ஒன்றைத் தேவையற்றதாக்காது.

உண்மையான வெளிப்புற செவியேற்பவரை அனுமதிக்கவும்

அனுமானிப்பதற்குப் பதிலாக ஏற்கனவே ஒதுக்கப்பட்டிருப்பதை ஆய்வு செய்வதில் தொடங்குங்கள். செயலில் உள்ள மண்டலங்களைப் படியுங்கள், உண்மையில் உள்வரும் போக்குவரத்தைச் சுமக்கும் மண்டலத்தைப் பட்டியலிடுங்கள், நிறுவப்பட்ட சேவை வரையறையைச் சரிபார்க்கவும், ஏனெனில் சேவையின் பெயர் போர்ட்டுகளின் தொகுப்பை விவரிக்கிறது, இந்த சேவையகத்தின் செவியேற்பவர் அதனுடன் பொருந்துகிறதா என்பதைப் பற்றி எதுவும் கூறவில்லை.

firewall-cmd --get-active-zones
firewall-cmd --zone=public --list-all
firewall-cmd --info-service=openvpn

செவியேற்பவர் உண்மையில் அந்த மண்டலத்தில் UDP 1194 ஆக இருந்தால், அந்த போர்ட்டையும் போக்குவரத்தையும் குறிப்பாகத் திறந்து, பரிசோதித்த பிறகு அதே குறிப்பிட்ட விதியை நிரந்தரமாக்குங்கள். மூல அடிப்படையிலான ஒதுக்கீடுகளையும் சரிபார்க்கவும், ஏனெனில் மூல வரம்புடன் பிணைக்கப்பட்ட மண்டலம், இடைமுக மண்டலம் அதைப் பார்ப்பதற்கு முன்பே போக்குவரத்தைப் பிடிக்கலாம்.

மறைகுறியாக்கப்பட்ட இலக்கைத் தனித்தனியாக அங்கீகரிக்கவும்

VPN சேவையகத்திலேயே இயங்கும் சேவைக்கான இணைப்பு உள்ளக-உள்ளீட்டு கொள்கை. LAN இல் உள்ள மற்றொரு ஹோஸ்ட்டுக்கு ஃபார்வேர்ட் செய்யப்படும் இணைப்புக்கு ஃபார்வேர்டிங் கொள்கை தேவை, கர்னலில் இயக்கப்பட்ட ஃபார்வேர்டிங் மற்றும் ஒரு பதில் பாதை — இவை மூன்று தனித்தனி தேவைகள், மக்கள் பெரும்பாலும் இவற்றை ஒன்றாக இணைக்கிறார்கள். நவீன firewalld கொள்கை பொருட்கள் உள்வரும் மண்டலத்திற்கும் வெளியேறும் மண்டலத்திற்கும் இடையிலான திசை போக்குவரத்தை விவரிக்கின்றன, எந்த VPN மூலங்கள் எந்த தனிப்பட்ட சேவைகளை அடையலாம் என்பதை வெளிப்படுத்த சரியான இடம் அதுவே.

அனுமதிக்கப்பட்ட மூலங்களை வெளிப்படையாக வரையறுத்து மற்ற அனைத்தையும் மறுப்பில் விழவிடுங்கள். வெளிப்புற சேவைக்கான அனுமதி அந்தக் கொள்கை அல்ல, மண்டல ஏற்பாடு எப்படித் தோன்றினாலும்.

இடைமுகத்தை நம்புவது ஏன் தவறான குறுக்குவழி

இலக்கு அனைத்தையும் ஏற்கும் மண்டலத்தில் டன்னல் இடைமுகத்தை வைப்பது, ஹோஸ்ட் வெளிப்படுத்தும் ஒவ்வொரு சேவைக்கும் அனைத்து மறைகுறியாக்கப்பட்ட போக்குவரத்தையும் அனுமதிக்கிறது, நீங்கள் மதிப்பாய்வு செய்யாத சேவைகள் உட்பட. இயங்கும் இயந்திரத்தில் நம்பகமான மண்டலத்தை கட்டுப்படுத்தும் வகையில் மீண்டும் இலக்குவது மிக மோசம், ஏனெனில் மற்ற இடைமுகங்களும் மூல வரம்புகளும் ஏற்கனவே அதன் பொருளைச் சார்ந்திருக்கலாம், நீங்கள் திருத்தும்போது நடத்தை மாறும். குறுகிய கொள்கை தேவைப்பட்டால் ஒன்றை உருவாக்குங்கள்; பகிரப்பட்ட மண்டலத்தை மீண்டும் பயன்படுத்த வேண்டாம்.

டன்னலின் மண்டல ஒதுக்கீட்டை அந்த கட்டமைப்பைக் கொண்ட எந்த கூறு வழியாகவும் நிலையாக வைத்திருங்கள். மறுதொடக்கத்தில் ஒதுக்கீடு இழப்பது ஃபயர்வால் விதிச் சிக்கல் போலத் தோன்றும் ஆனால் உண்மையில் நிலைத்தன்மைச் சிக்கலான தோல்வியை உருவாக்குகிறது.

மூன்று விஷயங்களைச் சரிபார்க்கவும், அவற்றில் ஒரு மறுப்பும் அடங்கும்

வெளிப்புற இணைப்பை வெளியிலிருந்து பரிசோதிக்கவும், இணைக்கப்பட்ட கிளையண்டிலிருந்து ஒரு அங்கீகரிக்கப்பட்ட உள் சேவையைப் பரிசோதிக்கவும், அணுக முடியாததாக இருக்க வேண்டிய ஒரு சேவையைப் பரிசோதிக்கவும். மூன்றாவது பரிசோதனையே கொள்கையை பக்க விளைவிலிருந்து வேறுபடுத்துகிறது, எல்லாம் வேலை செய்வது போலத் தோன்றுவதால் மக்கள் அதைத் தவிர்க்கிறார்கள். மறுக்கப்பட்ட சேவை பதிலளித்தால், நீங்கள் சேவையை அல்ல, மண்டலத்தை அனுமதித்துள்ளீர்கள்.

சேவையகத்தின் குறிப்புகளில் மண்டலம், போர்ட், போக்குவரத்து மற்றும் கொள்கை பொருளைப் பதிவு செய்யுங்கள். இல்லையெனில் இந்த ஹோஸ்ட்டில் அடுத்த மாற்றம் அதே அனுமானத்திலிருந்து தொடங்கும்.