firewalld శ్రోత నియమం మరియు ఫార్వర్డింగ్ విధానం: ప్రతి ఒక్కటి ఏమి చేస్తుంది

కనెక్ట్ అవుతుంది కానీ ఎక్కడికీ చేరని VPN సాధారణంగా ఫైర్‌వాల్ సమస్యగా వివరించబడుతుంది, మరియు ప్రజలు తీసుకునే పరిష్కారం టన్నెల్ ఇంటర్‌ఫేస్‌ను విశ్వసనీయ జోన్‌లో ఉంచడం. ఇది ట్రాఫిక్ ప్రవహించడం ప్రారంభమవుతుంది అనే అర్థంలో పనిచేస్తుంది, కానీ ఉద్దేశించిన సేవ కంటే చాలా ఎక్కువ అనుమతిస్తుంది. ఇక్కడ రెండు విధానాలు ఉన్నాయి మరియు అవి భిన్నమైనవి: ఒకటి బాహ్య రవాణాను వినిపిస్తున్న సాకెట్‌కు అనుమతిస్తుంది, మరొకటి డీక్రిప్ట్ చేసిన ట్రాఫిక్ నిర్దిష్ట వనరును చేరుకోవడానికి అధికారం ఇస్తుంది. ఈ రెండింటినీ ఒకే సెట్టింగ్‌గా పరిగణించడమే సన్నని అనుమతిని విశాలమైనదిగా మారుస్తుంది. రెండూ వేర్వేరు స్థలాల్లో నిర్ణయించబడతాయి, అందుకే ఈ పొరపాటు చేయడం చాలా సులభం.

రెండు విధానాలు, ఒక టన్నెల్

బాహ్య విధానం ఒక సరళమైన ప్రశ్నకు సమాధానం ఇస్తుంది: ఈ మూలం నుండి వచ్చే ప్యాకెట్ ఈ హోస్ట్‌లో UDP 1194 ను చేరుకోగలదా? అంతర్గత విధానం మరొకదానికి సమాధానం ఇస్తుంది: ఆ టన్నెల్ వెనుక ఉన్న ధృవీకరించిన క్లయింట్ ఈ గమ్యాన్ని, ఈ ప్రోటోకాల్‌తో, ఈ పోర్ట్‌లో చేరుకోగలదా? మొదటిది సాకెట్ గురించి, రెండవది మార్గం గురించి, మరియు firewalld వాటిని వేర్వేరు వస్తువులతో నమూనా చేస్తుంది ఎందుకంటే అవి వేర్వేరు బిందువుల్లో నిర్ణయించబడతాయి. ఒకటి ఈ హోస్ట్‌లోని సాకెట్ లక్షణం, మరొకటి దాని గుండా వెళ్లే మార్గం లక్షణం.

ఆచరణాత్మక పరిణామం ఏమిటంటే పనిచేసే టన్నెల్ రెండవ విధానం గురించి ఏమీ చెప్పదు, మరియు సరైన రెండవ విధానం మొదటిదాన్ని అనవసరం చేయదు.

వాస్తవ బాహ్య శ్రోతను అనుమతించండి

ఊహించడం బదులు ఇప్పటికే కేటాయించినదాన్ని పరిశీలించడంతో ప్రారంభించండి. సక్రియ జోన్‌లను చదవండి, నిజంగా ఇన్‌గ్రెస్‌ను మోసే జోన్‌ను జాబితా చేయండి మరియు ఇన్‌స్టాల్ చేసిన సేవా నిర్వచనాన్ని తనిఖీ చేయండి, ఎందుకంటే సేవ పేరు పోర్టుల సమూహాన్ని వివరిస్తుంది మరియు ఈ సర్వర్ శ్రోత దానితో సరిపోలుతుందా అనే దాని గురించి ఏమీ చెప్పదు.

firewall-cmd --get-active-zones
firewall-cmd --zone=public --list-all
firewall-cmd --info-service=openvpn

శ్రోత నిజంగా ఆ జోన్‌లో UDP 1194 అయితే, సరిగ్గా ఆ పోర్ట్ మరియు రవాణాను తెరవండి, తర్వాత పరీక్షించిన తర్వాత అదే నిర్దిష్ట నియమాన్ని శాశ్వతం చేయండి. మూల ఆధారిత కేటాయింపులను కూడా తనిఖీ చేయండి, ఎందుకంటే మూల పరిధికి బద్ధమైన జోన్ ఇంటర్‌ఫేస్ జోన్ చూసే ముందే ట్రాఫిక్‌ను పట్టుకోగలదు.

డీక్రిప్ట్ చేసిన గమ్యాన్ని విడిగా అధికారం ఇవ్వండి

VPN సర్వర్‌పైనే నడుస్తున్న సేవకు కనెక్షన్ స్థానిక-ఇన్‌పుట్ విధానం. LAN లోని మరొక హోస్ట్‌కు ఫార్వర్డ్ చేయబడే కనెక్షన్‌కు ఫార్వర్డింగ్ విధానం అవసరం, కర్నెల్‌లో ప్రారంభించిన ఫార్వర్డింగ్ మరియు ఒక ప్రతిస్పందన మార్గం — ఇవి మూడు వేర్వేరు అవసరాలు, ప్రజలు తరచుగా వాటిని ఒకటిగా కలుపుతారు. ఆధునిక firewalld విధాన వస్తువులు ఇన్‌గ్రెస్ జోన్ మరియు ఎగ్రెస్ జోన్ మధ్య దిశాత్మక ట్రాఫిక్‌ను వివరిస్తాయి, ఏ VPN మూలాలు ఏ ప్రైవేట్ సేవలను చేరుకోగలవో వ్యక్తపరచడానికి సరైన స్థలం అదే.

అనుమతించిన మూలాలను స్పష్టంగా నిర్వచించండి మరియు మిగతా అన్నీ తిరస్కరణలో పడనివ్వండి. బాహ్య సేవకు ఇచ్చిన అనుమతి ఆ విధానం కాదు, జోన్ అమరిక ఎలా కనిపించినా.

ఇంటర్‌ఫేస్‌పై నమ్మకం ఎందుకు తప్పు చిన్న మార్గం

లక్ష్యం అన్నింటినీ అంగీకరించే జోన్‌లో టన్నెల్ ఇంటర్‌ఫేస్‌ను ఉంచడం హోస్ట్ బహిర్గతం చేసే ప్రతి సేవకు మొత్తం డీక్రిప్ట్ చేసిన ట్రాఫిక్‌ను అనుమతిస్తుంది, మీరు సమీక్షించని సేవలతో సహా. నడుస్తున్న మెషీన్‌లో విశ్వసనీయ జోన్‌ను పరిమితం చేసేలా మళ్లీ లక్ష్యీకరించడం మరింత దారుణం, ఎందుకంటే ఇతర ఇంటర్‌ఫేస్‌లు మరియు మూల పరిధులు ఇప్పటికే దాని అర్థంపై ఆధారపడి ఉండవచ్చు మరియు మీరు సవరించినప్పుడు ప్రవర్తన మారుతుంది. సన్నని విధానం అవసరమైతే ఒకటి సృష్టించండి; పంచుకున్న జోన్‌ను తిరిగి ఉపయోగించకండి.

టన్నెల్ జోన్ కేటాయింపును ఆ కాన్ఫిగరేషన్ కలిగి ఉన్న ఏ భాగం ద్వారా అయినా స్థిరంగా ఉంచండి. పునఃప్రారంభంలో కేటాయింపు పోవడం ఫైర్‌వాల్ నియమ సమస్యలా కనిపించే కానీ వాస్తవానికి స్థిరత్వ సమస్య అయిన వైఫల్యాన్ని కలిగిస్తుంది.

మూడు విషయాలను ధృవీకరించండి, వాటిలో ఒక తిరస్కరణ కూడా

బాహ్య కనెక్షన్‌ను బయటి నుండి పరీక్షించండి, కనెక్ట్ అయిన క్లయింట్ నుండి ఒక అధికారిక అంతర్గత సేవను పరీక్షించండి, మరియు చేరుకోలేనిదిగా ఉండవలసిన ఒక సేవను పరీక్షించండి. మూడవ పరీక్షయే విధానాన్ని పక్క ప్రభావం నుండి వేరు చేస్తుంది, మరియు అన్నీ పనిచేస్తున్నట్లు కనిపించడం వల్ల ప్రజలు దాన్నే దాటవేస్తారు. తిరస్కరించిన సేవ ప్రతిస్పందిస్తే, మీరు సేవను కాదు, జోన్‌ను అనుమతించారు.

సర్వర్ నోట్స్‌లో జోన్, పోర్ట్, రవాణా మరియు విధాన వస్తువును నమోదు చేయండి. లేకపోతే ఈ హోస్ట్‌పై తదుపరి మార్పు అదే ఊహ నుండి ప్రారంభమవుతుంది.