Panuntunan ng listener ng firewalld laban sa patakaran ng pagpapasa: ano ang ginagawa ng bawat isa

Ang VPN na kumokonekta ngunit walang naaabot ay karaniwang inilalarawan bilang problema sa firewall, at ang solusyong hinahawakan ng mga tao ay ilagay ang interface ng tunnel sa isang pinagkakatiwalaang zone. Gumagana ito sa diwa na nagsisimulang dumaloy ang trapiko, ngunit pinapayagan din nito ang higit pa sa inilaan na serbisyo. Ang dalawang patakarang kasangkot ay magkaiba: pinapayagan ng isa ang panlabas na transport papunta sa isang socket na nakikinig, at pinapahintulutan ng isa pa ang na-decrypt na trapiko na maabot ang isang partikular na mapagkukunan. Ang pagtrato sa dalawa bilang isang setting ang nagpapalit ng makitid na pahintulot tungo sa malawak. Ang dalawa ay pinagpapasyahan sa magkaibang lugar, kaya napakadaling gawin ang pagkakamaling ito.

Dalawang patakaran, isang tunnel

Sinasagot ng panlabas na patakaran ang simpleng tanong: maaari bang maabot ng packet mula sa pinagmulang ito ang UDP 1194 sa host na ito? Sinasagot ng panloob na patakaran ang iba: maaari bang maabot ng authenticated na kliyente sa likod ng tunnel na iyon ang destinasyong ito, sa protocol na ito, sa port na ito? Ang una ay tungkol sa socket, ang pangalawa ay tungkol sa landas, at ginomodelo ng firewalld ang mga ito sa magkaibang object dahil pinagpapasyahan sila sa magkaibang punto. Ang isa ay katangian ng socket sa host na ito, ang isa pa ay katangian ng landas na dumadaan dito.

Ang praktikal na bunga ay ang gumaganang tunnel ay walang sinasabi tungkol sa ikalawang patakaran, at ang tamang ikalawang patakaran ay hindi ginagawang hindi kailangan ang una.

Payagan ang tunay na panlabas na listener

Magsimula sa pagsusuri kung ano ang nakatalaga na sa halip na magpalagay. Basahin ang mga aktibong zone, ilista ang zone na tunay na nagdadala ng ingress, at suriin ang naka-install na depinisyon ng serbisyo, dahil inilalarawan ng pangalan ng serbisyo ang isang set ng port at walang sinasabi kung tumutugma rito ang listener ng server na ito.

firewall-cmd --get-active-zones
firewall-cmd --zone=public --list-all
firewall-cmd --info-service=openvpn

Kung ang listener ay talagang UDP 1194 sa zone na iyon, buksan ang partikular na port at transport na iyon, pagkatapos ay gawing permanente ang parehong partikular na panuntunan pagkatapos mong subukan. Suriin din ang mga pagtatalaga na nakabatay sa pinagmulan, dahil ang zone na nakatali sa isang saklaw ng pinagmulan ay maaaring makahuli ng trapiko bago pa man ito makita ng zone ng interface.

Pahintulutan ang na-decrypt na destinasyon nang hiwalay

Ang koneksyon sa serbisyong tumatakbo sa mismong VPN server ay patakaran ng lokal na input. Ang koneksyong ipinapasa sa ibang host sa LAN ay nangangailangan ng patakaran ng pagpapasa, pagpapasang pinagana sa kernel at ruta ng pagtugon — tatlong magkahiwalay na pangangailangan na kadalasang pinagsasama ng mga tao sa isa. Inilalarawan ng mga modernong object ng patakaran ng firewalld ang direksyonal na trapiko sa pagitan ng ingress zone at egress zone, at iyon ang tamang lugar para ipahayag kung aling mga pinagmulan ng VPN ang maaaring umabot sa aling pribadong serbisyo.

Tahasang tukuyin ang mga pinapayagang pinagmulan at hayaang mahulog sa pagtanggi ang lahat ng iba pa. Ang pahintulot para sa panlabas na serbisyo ay hindi ang patakarang iyon, gaano man kamukha ang layout ng zone.

Bakit ang pagtitiwala sa interface ang maling shortcut

Ang paglalagay ng interface ng tunnel sa isang zone na tinatanggap ng target ang lahat ay nagpapahintulot sa lahat ng na-decrypt na trapiko patungo sa bawat serbisyong inilalantad ng host, kabilang ang mga hindi mo pa nasuri. Ang muling pagtutok sa pinagkakatiwalaang zone upang maging mapigil sa isang gumaganang makina ay mas masama, dahil ang ibang interface at saklaw ng pinagmulan ay maaaring umaasa na sa kahulugan nito at magbabago ang pag-uugali kapag iyong inedit. Kung kailangan mo ng makitid na patakaran, gumawa ng isa; huwag muling gamitin ang pinagsasaluhang zone.

Panatilihin ding matatag ang pagtatalaga ng zone ng tunnel sa pamamagitan ng alinmang component na nagmamay-ari ng configuration na iyon. Ang pagkawala ng pagtatalaga sa restart ay lumilikha ng pagkabigo na mukhang problema sa panuntunan ng firewall ngunit sa totoo ay problema sa pagtitiyaga.

I-verify ang tatlong bagay, kasama ang isang pagtanggi

Subukan ang panlabas na koneksyon mula sa labas, subukan ang isang awtorisadong panloob na serbisyo mula sa konektadong kliyente, at subukan ang isang serbisyong dapat manatiling hindi maabot. Ang ikatlong pagsubok ang nagtatangi ng patakaran sa isang side effect, at iyon ang nilalaktawan ng mga tao dahil mukhang gumagana ang lahat. Kung tumugon ang tinanggihang serbisyo, pinayagan mo ang isang zone at hindi isang serbisyo.

Itala ang zone, port, transport at object ng patakaran sa mga tala ng server. Kung hindi, ang susunod na pagbabago sa host na ito ay magsisimula sa parehong palagay.