İki OpenVPN paket yolu için Shorewall bölgeleri

İki paket akışı OpenVPN sonlandıran bir Shorewall ağ geçidinden geçer ve bunlardan yalnızca biri şifrelenmiştir. Birincisi istemcinin internete bakan arayüzdeki VPN dinleyicisine taşımasıdır. İkincisi tünel arayüzünden çıkan şifresi çözülmüş istektir; bir ofis sunucusuna ya da ağ geçidindeki bir hizmete gider. Politikayı düzenlemeden önce ikisini de çizin, çünkü birincisini karşılayan bir kural ikincisi için hiçbir şey yapmaz.

Politikayı düzenlemeden önce iki akışı çizin

Akışları kaynak, hedef, protokol ve bağlantı noktası içeren satırlar olarak yazın. Dış yolda kaynak istemcinin genel adresi, hedef ise ağ geçidinin dinleme bağlantı noktasıdır; Shorewall bunu internetten güvenlik duvarına giden trafik olarak ele alır. İç yolda kaynak tünel adres aralığı, hedef ise onaylanmış hizmettir. Tek bir yönetici ikisini de sürdürse bile iki satırın sahipleri farklıdır.

Yalnızca istek ağ geçidinin kendisinde sonlanıyorsa satır ekleyin; örneğin çözümleyiciye veya yönetime erişim. Ana makinedeki bir hizmet iletilen yolu değil, ana makine giriş politikasını izler. Bu ikisini karıştırmak, dar bir tünel kuralının sonunda bir yönetim arayüzünü açığa çıkarmasının nedenidir.

Tünel bölgesini ve arayüz kapsamını atayın

Gezgin bölgesi /etc/shorewall/zones içinde bildirilir, tünel arayüzü /etc/shorewall/interfaces içinde bağlanır ve dış bağlantı /etc/shorewall/tunnels içinde tanımlanır. Kurulu sürümün sözdizimine uyum sağlayın, çünkü sütun sırası ve seçenek adları ana sürümler arasında değişmiştir. Kılavuzdaki örnek bağlantı noktası, daemonun gerçekte dinlediği bağlantı noktasından farklı bir bağlantı noktasına izin vermek için gerekçe değildir. TCP ve UDP yalnızca sayılar eşleştiği için birbirinin yerine kullanılamaz.

Kılavuz arayüzleri tun+ ile gruplar. Birden fazla tüneli olan bir ana makinede bu joker karakter, farklı güven düzeyindeki ikinci bir VPN’i aynı bölgeye yerleştirebilir. Kapsamı gerçekten var olan arayüzlere göre gözden geçirin ve arayüz adlarını elle düzenlemek yerine adlandırmayı bağlantı yöneticisinin yaşam döngüsü altında tutun.

Tarihsel kılavuz çok daha eski OpenVPN yapılandırma örnekleri içerir ve şifreleme önerileri güncel bir kuruluma kopyalanmamalıdır. Bunun yerine bölge ve akış modelini ödünç alın. Şifreleme temelini ağ geçidinin bakımlı OpenVPN politikasından alın.

Yalnızca sınıflandırdığınız yola izin verin

VPN bölgesinden LAN’a geniş bir kabul başlangıç çizimidir, tamamlanmış bir politika değildir. İzin verilen istemci kaynağını, hizmetin gerçek adresini, protokolü ve bağlantı noktasını yazın. Ardından üstündeki kuralları ve bölgenin varsayılanını okuyun, çünkü dar bir ekleme zaten eşleşen geniş bir izni iptal etmez. Ağ geçidi ana makinesine giden trafik, onun üzerinden iletilen trafikten ayrı bir ilişkidir.

İstemciler arası trafik kendi kararını gerektirir. OpenVPN’in client-to-client ve Shorewall’ın routeback seçenekleri, istemcilerin birbirine ulaşıp ulaşamayacağını birlikte etkiler ve hiçbiri yalnızca bir LAN uygulaması çalışsın diye etkinleştirilmemelidir. Yalıtımın nerede uygulandığına test etmeden önce karar verin.

Yanıt yolunu aynı planda tutun. Hizmet veya yönlendiricisi trafiği tünel aralığına nasıl geri göndereceğini bilmelidir, ya da tasarım kaynağı bilinçli olarak ve amaçlanan kapsam içinde çevirmelidir.

Doğrulayın, ardından iki yolu da kanıtlayın

Herhangi bir şeyi yeniden başlatmadan önce yapılandırmayı doğrulayın ve yeni politika yanlışsa diye bağımsız bir yönetim oturumunu açık tutun.

shorewall check

Temiz bir kontrolden sonra yapılandırmayı uygulayın ve Shorewall’ın ne yüklediğini geri okuyun. Bu okumalar, bir dosyanın söylediği gibi görüneni değil, çalışan politikayı tanımlar.

shorewall show zones
ip route get 192.168.10.20

Aynı istemciden yeni izin verilen bir isteği ve bilinçli olarak reddedilen bir isteği test edin. Başarılı bir OpenVPN el sıkışması yalnızca dış alışverişi kanıtlar; izin verilen hizmet ve reddedilen kaynak, amaçladığınız iç politikayı kanıtlar. Ardından istemciyi yeniden bağlayın ve yineleyin, çünkü tünel arayüzünün adı ve adresi oturumlar arasında değişebilir. Sonuç farklıysa kuralı genişletmek yerine bölge kapsamını düzeltin.