రెండు OpenVPN ప్యాకెట్ మార్గాల కోసం Shorewall జోన్లు
ఎన్‌క్రిప్ట్ చేసిన OpenVPN రవాణాను డీక్రిప్ట్ చేసిన క్లయింట్ ట్రాఫిక్ నుండి వేరు చేయండి, టన్నెల్‌కు దాని సొంత జోన్ ఇవ్వండి మరియు క్లయింట్‌కు అవసరమైన ఒకే సేవను మాత్రమే అనుమతించండి.
రెండు ప్యాకెట్ ప్రవాహాలు OpenVPN ను ముగించే Shorewall గేట్‌వే గుండా వెళ్తాయి, వాటిలో ఒకటి మాత్రమే ఎన్‌క్రిప్ట్ చేయబడింది. మొదటిది ఇంటర్నెట్ వైపు ఉన్న ఇంటర్‌ఫేస్‌లోని VPN శ్రోతకు క్లయింట్ రవాణా. రెండవది టన్నెల్ ఇంటర్‌ఫేస్ నుండి బయటకు వచ్చే డీక్రిప్ట్ చేసిన అభ్యర్థన, ఇది కార్యాలయ సర్వర్ లేదా గేట్‌వేలోని సేవ వైపు వెళ్తుంది. విధానాన్ని సవరించే ముందు రెండింటినీ గీయండి, ఎందుకంటే మొదటిదాన్ని తృప్తిపరిచే నియమం రెండవదానికి ఏమీ చేయదు.
విధానాన్ని సవరించే ముందు రెండు ప్రవాహాలను గీయండి
ప్రవాహాలను మూలం, గమ్యం, ప్రోటోకాల్ మరియు పోర్ట్‌తో వరుసలుగా రాయండి. బయటి మార్గంలో మూలం క్లయింట్ యొక్క పబ్లిక్ చిరునామా మరియు గమ్యం గేట్‌వే యొక్క శ్రవణ పోర్ట్; Shorewall దీన్ని ఇంటర్నెట్ నుండి ఫైర్‌వాల్ వైపు ట్రాఫిక్‌గా పరిగణిస్తుంది. లోపలి మార్గంలో మూలం టన్నెల్ చిరునామా పరిధి మరియు గమ్యం ఆమోదించిన సేవ. ఒకే నిర్వాహకుడు రెండింటినీ నిర్వహించినా రెండు వరుసల యజమానులు వేరు.
| Flow | Zone relationship | What to constrain |
|---|---|---|
| Encrypted OpenVPN transport | Internet to the firewall host | The listener's actual protocol and port |
| Decrypted request to a LAN service | VPN clients to the LAN zone | One approved server and service |
| Decrypted request to the gateway | VPN clients to the firewall host | Only the local services required |
| Request to another VPN client | VPN clients to VPN clients | Denied unless deliberately required |
అభ్యర్థన గేట్‌వేపైనే ముగిసినప్పుడు మాత్రమే వరుసను జోడించండి, ఉదాహరణకు రిజాల్వర్ లేదా నిర్వహణ ప్రాప్యత. హోస్ట్‌పై ఉన్న సేవ ఫార్వర్డ్ చేసిన మార్గాన్ని కాదు, హోస్ట్-ఇన్‌పుట్ విధానాన్ని అనుసరిస్తుంది. ఈ రెండింటినీ కలపడం వల్లనే సన్నని టన్నెల్ నియమం చివరికి నిర్వహణ ఇంటర్‌ఫేస్‌ను బహిర్గతం చేస్తుంది.
టన్నెల్ జోన్ మరియు ఇంటర్‌ఫేస్ పరిధిని కేటాయించండి
ప్రయాణికుడి జోన్ /etc/shorewall/zones ఫైల్‌లో ప్రకటించబడుతుంది, టన్నెల్ ఇంటర్‌ఫేస్ /etc/shorewall/interfaces ఫైల్‌లో జోడించబడుతుంది, మరియు బయటి కనెక్షన్ /etc/shorewall/tunnels ఫైల్‌లో వివరించబడుతుంది. ఇన్‌స్టాల్ చేసిన విడుదల సింటాక్స్‌కు సరిపోయండి, ఎందుకంటే నిలువు వరుసల క్రమం మరియు ఎంపిక పేర్లు ప్రధాన సంస్కరణల మధ్య మారాయి. గైడ్‌లోని ఉదాహరణ పోర్ట్, డీమన్ నిజంగా వినే పోర్ట్ కంటే భిన్నమైన పోర్ట్‌ను అనుమతించడానికి కారణం కాదు. సంఖ్యలు సరిపోలడం వల్ల మాత్రమే TCP మరియు UDP పరస్పరం మార్చుకోగలిగేవి కావు.
గైడ్ ఇంటర్‌ఫేస్‌లను tun+ తో సమూహపరుస్తుంది. ఒకటి కంటే ఎక్కువ టన్నెళ్లు ఉన్న హోస్ట్‌పై ఆ వైల్డ్‌కార్డ్ వేరే విశ్వాస స్థాయి ఉన్న రెండవ VPNను అదే జోన్‌లో ఉంచగలదు. పరిధిని నిజంగా ఉన్న ఇంటర్‌ఫేస్‌లతో పోల్చి సమీక్షించండి, మరియు ఇంటర్‌ఫేస్ పేర్లను చేతితో సవరించడానికి బదులుగా నామకరణాన్ని కనెక్షన్ మేనేజర్ జీవిత చక్రం కింద ఉంచండి.
చారిత్రక గైడ్‌లో చాలా పాత OpenVPN కాన్ఫిగరేషన్ నమూనాలు ఉన్నాయి, దాని క్రిప్టో సలహా ప్రస్తుత అమలులో కాపీ చేయకూడదు. దానికి బదులుగా జోన్ మరియు ప్రవాహ నమూనాను అప్పు తీసుకోండి. క్రిప్టోగ్రాఫిక్ ఆధారాన్ని గేట్‌వే యొక్క నిర్వహించబడే OpenVPN విధానం నుండి తీసుకోండి.
మీరు వర్గీకరించిన మార్గాన్ని మాత్రమే అనుమతించండి
VPN జోన్ నుండి LANకి విస్తృత అంగీకారం ప్రారంభ స్కెచ్, పూర్తి విధానం కాదు. అనుమతించిన క్లయింట్ మూలం, సేవ యొక్క వాస్తవ చిరునామా, ప్రోటోకాల్ మరియు పోర్ట్ రాయండి. ఆ తర్వాత దాని పైన ఉన్న నియమాలను మరియు జోన్ డిఫాల్ట్‌ను చదవండి, ఎందుకంటే సన్నని జోడింపు ఇప్పటికే సరిపోలే విస్తృత అనుమతిని రద్దు చేయదు. గేట్‌వే హోస్ట్ వైపు ట్రాఫిక్ దాని ద్వారా ఫార్వర్డ్ అయ్యే ట్రాఫిక్ నుండి వేరే సంబంధం.
క్లయింట్-నుండి-క్లయింట్ ట్రాఫిక్‌కు దాని సొంత నిర్ణయం కావాలి. OpenVPN యొక్క client-to-client మరియు Shorewall యొక్క routeback రెండూ క్లయింట్లు ఒకరినొకరు చేరుకోగలరా అనేదాన్ని ప్రభావితం చేస్తాయి, మరియు ఒక LAN అప్లికేషన్ పనిచేయడానికి మాత్రమే ఏదీ ప్రారంభించకూడదు. పరీక్షించే ముందు ఐసోలేషన్ ఎక్కడ అమలవుతుందో నిర్ణయించండి.
ప్రతిస్పందన మార్గాన్ని అదే ప్రణాళికలో ఉంచండి. సేవ లేదా దాని రౌటర్ ట్రాఫిక్‌ను టన్నెల్ పరిధికి ఎలా తిరిగి పంపాలో తెలిసి ఉండాలి, లేదా రూపకల్పన మూలాన్ని ఉద్దేశపూర్వకంగా మరియు ఉద్దేశించిన పరిధిలో అనువదించాలి.
ధృవీకరించండి, ఆ తర్వాత రెండు మార్గాలను నిరూపించండి
ఏదైనా పునఃప్రారంభించే ముందు కాన్ఫిగరేషన్‌ను ధృవీకరించండి, మరియు కొత్త విధానం తప్పు అయితే కోసం స్వతంత్ర నిర్వహణ సెషన్‌ను తెరిచి ఉంచండి.
shorewall checkశుభ్రమైన తనిఖీ తర్వాత కాన్ఫిగరేషన్‌ను వర్తించి Shorewall ఏమి లోడ్ చేసిందో తిరిగి చదవండి. ఈ పఠనాలు ఫైల్ చెబుతున్నట్టు కనిపించేది కాదు, నడుస్తున్న విధానాన్ని వివరిస్తాయి.
shorewall show zones
ip route get 192.168.10.20అదే క్లయింట్ నుండి కొత్తగా అనుమతించిన ఒక అభ్యర్థనను మరియు ఉద్దేశపూర్వకంగా తిరస్కరించిన ఒక అభ్యర్థనను పరీక్షించండి. విజయవంతమైన OpenVPN హ్యాండ్‌షేక్ బాహ్య మార్పిడిని మాత్రమే నిరూపిస్తుంది; అనుమతించిన సేవ మరియు తిరస్కరించిన వనరు మీరు ఉద్దేశించిన అంతర్గత విధానాన్ని నిరూపిస్తాయి. ఆ తర్వాత క్లయింట్‌ను తిరిగి కనెక్ట్ చేసి పునరావృతం చేయండి, ఎందుకంటే టన్నెల్ ఇంటర్‌ఫేస్ పేరు మరియు చిరునామా సెషన్ల మధ్య మారవచ్చు. ఫలితం భిన్నంగా ఉంటే నియమాన్ని విస్తరించడానికి బదులుగా జోన్ పరిధిని సరిచేయండి.