firewalld tinglovchi qoidasi va yo'naltirish siyosati: har biri nima qiladi

Ulanadigan, lekin hech qayerga yetib bormaydigan VPN odatda xavfsizlik devori muammosi deb ta'riflanadi va odamlar murojaat qiladigan yechim tunnel interfeysini ishonchli zonaga joylashtirishdir. Bu trafik oqa boshlashi ma'nosida ishlaydi, ammo mo'ljallangan xizmatdan ancha ko'proq narsaga ruxsat beradi. Bu yerda ikki siyosat ishtirok etadi va ular turlicha: biri tashqi transportni tinglayotgan soketga o'tkazadi, ikkinchisi shifri ochilgan trafikning muayyan resursga yetishiga ruxsat beradi. Ularni bitta sozlama deb qarash tor ruxsatni keng ruxsatga aylantiradi. Ikkalasi turli joylarda hal qilinadi, shuning uchun bu xatoni qilish juda oson.

Ikki siyosat, bitta tunnel

Tashqi siyosat oddiy savolga javob beradi: bu manbadan kelgan paket bu hostdagi UDP 1194 ga yeta oladimi? Ichki siyosat boshqa savolga javob beradi: o'sha tunnel orqasidagi autentifikatsiya qilingan mijoz bu manzilga, bu protokolda, bu portda yeta oladimi? Birinchisi soket haqida, ikkinchisi yo'l haqida, va firewalld ularni turli obyektlar bilan modellashtiradi, chunki ular turli nuqtalarda hal qilinadi. Biri bu hostdagi soketning xususiyati, ikkinchisi u orqali o'tuvchi yo'lning xususiyati.

Amaliy natija shuki, ishlayotgan tunnel ikkinchi siyosat haqida hech narsa demaydi, va to'g'ri ikkinchi siyosat birinchisini ortiqcha qilmaydi.

Haqiqiy tashqi tinglovchini ruxsatlang

Taxmin qilish o'rniga allaqachon tayinlangan narsani tekshirishdan boshlang. Faol zonalarni o'qing, kirishni haqiqatda olib yuradigan zonani sanab chiqing va o'rnatilgan xizmat ta'rifini tekshiring, chunki xizmat nomi portlar to'plamini tavsiflaydi va bu serverning tinglovchisi unga mos keladimi-yo'qmi, bu haqda hech narsa demaydi.

firewall-cmd --get-active-zones
firewall-cmd --zone=public --list-all
firewall-cmd --info-service=openvpn

Agar tinglovchi haqiqatan o'sha zonada UDP 1194 bo'lsa, aynan o'sha port va transportni oching, so'ngra sinovdan o'tkazgandan keyin o'sha aniq qoidani doimiy qiling. Manbaga asoslangan tayinlashlarni ham tekshiring, chunki manba oralig'iga bog'langan zona trafikni interfeys zonasi ko'rishidan oldin ushlab qolishi mumkin.

Shifri ochilgan manzilni alohida ruxsatlang

VPN serverining o'zida ishlaydigan xizmatga ulanish mahalliy kirish siyosatidir. LAN dagi boshqa hostga yo'naltiriladigan ulanish yo'naltirish siyosatini talab qiladi, yadroda yoqilgan yo'naltirish va qaytish yo'li — bu odamlar ko'pincha bittaga birlashtiradigan uchta alohida talab. Zamonaviy firewalld siyosat obyektlari kirish va chiqish zonalari o'rtasidagi yo'naltirilgan trafikni tavsiflaydi va qaysi VPN manbalari qaysi shaxsiy xizmatlarga yeta olishini ifodalash uchun to'g'ri joy shu yerda.

Ruxsat etilgan manbalarni aniq belgilang va qolgan hamma narsa rad etishga tushsin. Tashqi xizmat uchun ruxsat bu siyosat emas, zonalar joylashuvi qanday ko'rinmasin.

Nega interfeysga ishonish noto'g'ri qisqa yo'l

Tunnel interfeysini maqsadi hamma narsani qabul qiladigan zonaga qo'yish host taqdim etadigan har bir xizmatga butun shifri ochilgan trafikni o'tkazadi, siz ko'rib chiqmagan xizmatlar ham. Ishlab turgan mashinada ishonchli zonani cheklovchi qilib qayta yo'naltirish undan ham yomon, chunki boshqa interfeyslar va manba oraliqlari allaqachon uning ma'nosiga bog'liq bo'lishi mumkin va siz uni tahrirlaganingizda xatti-harakat o'zgaradi. Tor siyosat kerak bo'lsa, uni yarating; umumiy zonani qayta ishlatmang.

Tunnelning zona tayinlanishini ham shu konfiguratsiyaga ega bo'lgan har qanday komponent orqali barqaror saqlang. Qayta ishga tushirishda tayinlanish yo'qolishi xavfsizlik devori qoidasi muammosiga o'xshab ko'rinadigan, aslida esa barqarorlik muammosi bo'lgan nosozlikni keltirib chiqaradi.

Uchta narsani tekshiring, shu jumladan bitta rad etishni

Tashqi ulanishni tashqaridan sinang, ulangan mijozdan bitta ruxsat etilgan ichki xizmatni sinang va yetib bo'lmaydigan bo'lib qolishi kerak bo'lgan bitta xizmatni sinang. Uchinchi sinov siyosatni yon ta'sirdan ajratadigan sinovdir va odamlar aynan shuni o'tkazib yuboradilar, chunki hamma narsa ishlayotgandek ko'rinadi. Agar rad etilgan xizmat javob bersa, siz xizmatni emas, zonani ruxsatlangansiz.

Server yozuvlarida zona, port, transport va siyosat obyektini qayd eting. Aks holda bu hostdagi keyingi o'zgarish o'sha taxmindan boshlanadi.