firewalld dinleyici kuralı ile yönlendirme ilkesi: her biri ne yapar

Bağlanan ama hiçbir yere ulaşmayan bir VPN genellikle güvenlik duvarı sorunu olarak tanımlanır ve insanların başvurduğu çözüm tünel arayüzünü güvenilir bir bölgeye koymaktır. Bu, trafiğin akmaya başlaması anlamında işe yarar, ancak amaçlanan hizmetten çok daha fazlasına izin verir. İlgili iki ilke farklıdır: biri dış taşımayı dinleyen bir sokete geçirir, diğeri şifresi çözülmüş trafiğin belirli bir kaynağa ulaşmasını yetkilendirir. İkisini tek bir ayar olarak ele almak, dar bir izni geniş bir izne dönüştüren şeydir. İkisi farklı yerlerde kararlaştırılır, bu yüzden hata yapmak bu kadar kolaydır.

İki ilke, bir tünel

Dış ilke basit bir soruya yanıt verir: bu kaynaktan gelen bir paket bu ana bilgisayarda UDP 1194'e ulaşabilir mi? İç ilke başka bir soruya yanıt verir: o tünelin arkasındaki kimliği doğrulanmış istemci bu hedefe, bu protokolle, bu bağlantı noktasında ulaşabilir mi? Birincisi soketle, ikincisi yolla ilgilidir ve firewalld bunları farklı nesnelerle modeller çünkü farklı noktalarda kararlaştırılırlar. Biri bu ana bilgisayardaki bir soketin özelliğidir, diğeri ondan geçen bir yolun.

Pratik sonuç, çalışan bir tünelin ikinci ilke hakkında hiçbir şey söylemediği ve doğru bir ikinci ilkenin birincisini gereksiz kılmadığıdır.

Gerçek dış dinleyiciye izin verin

Varsaymak yerine hâlihazırda atanmış olanı inceleyerek başlayın. Etkin bölgeleri okuyun, gelen trafiği gerçekten taşıyan bölgeyi listeleyin ve kurulu hizmet tanımını denetleyin, çünkü bir hizmet adı bir bağlantı noktası kümesini tanımlar ve bu sunucunun dinleyicisinin ona uyup uymadığı hakkında hiçbir şey söylemez.

firewall-cmd --get-active-zones
firewall-cmd --zone=public --list-all
firewall-cmd --info-service=openvpn

Dinleyici gerçekten o bölgede UDP 1194 ise, tam olarak o bağlantı noktasını ve taşımayı açın, ardından test ettikten sonra aynı belirli kuralı kalıcı hale getirin. Kaynağa dayalı atamaları da denetleyin, çünkü bir kaynak aralığına bağlı bölge, arayüz bölgesi onu görmeden önce trafiği yakalayabilir.

Şifresi çözülmüş hedefi ayrı ayrı yetkilendirin

VPN sunucusunun kendi üzerinde çalışan bir hizmete bağlantı yerel giriş ilkesidir. LAN'daki başka bir ana bilgisayara yönlendirilen bağlantı yönlendirme ilkesi gerektirir, çekirdekte etkinleştirilmiş yönlendirme ve bir yanıt yolu — insanların sıklıkla tek bir taneye indirdiği üç ayrı gereksinim. Modern firewalld ilke nesneleri, giriş bölgesi ile çıkış bölgesi arasındaki yönlendirilmiş trafiği tanımlar ve hangi VPN kaynaklarının hangi özel hizmetlere ulaşabileceğini ifade etmek için doğru yer orasıdır.

İzin verilen kaynakları açıkça tanımlayın ve geri kalan her şeyin reddedilmeye düşmesine izin verin. Dış hizmet için verilen izin o ilke değildir, bölge düzeni nasıl görünürse görünsün.

Arayüze güvenmenin neden yanlış kısa yol olduğu

Tünel arayüzünü hedefi her şeyi kabul eden bir bölgeye koymak, ana bilgisayarın sunduğu her hizmete tüm şifresi çözülmüş trafiği geçirir, incelemediğiniz hizmetler dahil. Güvenilir bölgeyi çalışan bir makinede kısıtlayıcı olacak şekilde yeniden hedeflemek daha kötüdür, çünkü diğer arayüzler ve kaynak aralıkları onun anlamına zaten bağlı olabilir ve siz düzenlediğinizde davranışları değişir. Dar bir ilkeye ihtiyacınız varsa yeni bir tane oluşturun; paylaşılan bir bölgeyi yeniden kullanmayın.

Tünelin bölge atamasını da o yapılandırmaya sahip hangi bileşen olursa olsun kararlı tutun. Yeniden başlatmada atamanın kaybolması, güvenlik duvarı kuralı sorunu gibi görünen ama aslında kalıcılık sorunu olan bir arıza üretir.

Üç şeyi doğrulayın, biri reddetme dahil

Dış bağlantıyı dışarıdan test edin, bağlı bir istemciden yetkili bir iç hizmeti test edin ve ulaşılamaz kalması gereken bir hizmeti test edin. Üçüncü test, bir ilkeyi yan etkiden ayıran testtir ve insanlar tam da onu atlar çünkü her şey çalışıyor gibi görünür. Reddedilen hizmet yanıt veriyorsa, hizmete değil bir bölgeye izin vermişsinizdir.

Bölgeyi, bağlantı noktasını, taşımayı ve ilke nesnesini sunucunun notlarına kaydedin. Aksi halde bu ana bilgisayardaki sonraki değişiklik aynı varsayımla başlar.