Nega OpenVPN mijozini bloklash qoidasi FORWARD ga hech qachon yetib bormaydi

Bitta OpenVPN serveridagi ikki mijoz o'z pullari uchun DROP qoidasi qo'shilgandan keyin ham bir-biriga yeta oladi. Qoida FORWARD zanjirida turadi, trafik aniq oqmoqda, lekin o'sha qoidaning hisoblagichi nolda qoladi. Tabiiy xulosa - xavfsizlik devori buzilgan. Ko'pincha paket zanjirga umuman kirmagan.

OpenVPN serveridan o'tadigan tengdosh paketi ikki yo'ldan borishi mumkin va ularni xavfsizlik devori emas, konfiguratsiya belgilaydi. Qaysi yo'l ishlatilayotganini bilish xost qoidasi to'g'ri joyda ekanini aytadi.

Tengdosh paketi borishi mumkin bo'lgan ikki yo'l

Ichki uzatish opsiyasi o'chirilganda, A mijozidan kelgan paket tunnel interfeysiga B mijoziga berilgan manzil ichida manzil bilan keladi. Serverning marshrutlash jadvali uni o'sha tunnel interfeysidan qaytarib yuboradi, chunki B manziliga marshrut serverga tegishli. Bu xost orqali kirib-chiquvchi oqim va uni IPv4 uzatish yo'li baholaydi.

Ichki uzatish opsiyasi yoqilganda, server jarayoni paketni ulangan mijoz bilan moslashtiradi va uni to'g'ridan-to'g'ri o'sha mijozga qayta yozadi. Paket demon ichida ishlanadi va tunnel qurilmasiga boshqa hech qachon kirmaydi, shuning uchun xostning uzatish yo'li butunlay chetlab o'tiladi. OpenVPN 2.6 qo'llanmasi bu opsiyani ichki mijozdan mijozga uzatish deb ta'riflaydi va xost xavfsizlik devori qoidasi uni ko'ra olmasligining sababi aynan shu.

Ma'lumot kanalini yadro moduliga o'tkazadigan joylashtirishlarda uchinchi variant mavjud. Uzatish qarori va shifrlash foydalanuvchi maydonidan chiqadi, netfilter oqimni ko'radimi yoki yo'qmi esa o'tkazish yo'li qanday qurilganiga bog'liq. Eski qoidalar to'plami o'tkazilgan serverda foydalanuvchi maydonidagidek ishlaydi deb hech qachon o'ylamang. Rejimni paket versiyasidan emas, ishlab turgan konfiguratsiyadan tasdiqlang.

Hisoblagich hech qachon qimirlamaganda

Nol hisoblagich paket o'sha nuqtada bu qoidaga mos kelmaganini bildiradi va sabablari bir nechta. Birinchisi - yuqoridagi chetlab o'tish: trafik zanjirga yetib bormagan. Ikkinchisi - interfeys, yo'nalish, manba yoki manzilda nomuvofiqlik, bu esa pull qayta raqamlangan va qoida hali eski prefiksni aytganda odatiy hol.

Uchinchisi - joylashuv. Zanjirdagi oldingi qoida sizning DROP baholanmasidan oldin oqimni qabul qilishi mumkin, keyingi qoida esa natijani haqiqatda hal qiladigan qoida bo'lishi mumkin. Hisoblagichlar ko'rinib turgan holda zanjirni tartib bilan o'qing, so'ng sinovni takrorlaganda qaysi qoidaning soni oshishini tekshiring.

Haqiqiy manzillari eslab qolgan ijara emas, serverning o'z holatidan tasdiqlangan ikki mijoz o'rtasida bitta nazorat ostidagi almashinuv o'tkazing. Tegishli hisoblagich hali ham qimirlamasa, moslikni qayta yozishdan oldin yo'ldan shubhalaning. U qimirlasa ham ulanish muvaffaqiyatli bo'lsa, drop keyinroq bekor qilinmoqda va muammo tartibda. Bu javob tuzatish qoida o'zgarishi yoki topologiya o'zgarishi ekanini hal qiladi, shuning uchun biror narsani tahrirlashdan oldin uni oling.

Filtrlashga qodir chegara tanlash

Agar siyosat xost xavfsizlik devorida yashashi shart bo'lsa, trafikni xavfsizlik devori ko'ra oladigan joyga qo'ying. Ichki uzatishni o'chirish tengdosh trafigini tunnel interfeysi va uzatish yo'lidan o'tkazishning qo'llab-quvvatlanadigan usuli, ammo uning narxi har bir tengdosh paketi xost stekidan o'tadi.

So'ng oqimni aniq moslashtiring. Trafik ikki yo'nalishda ham tunnel interfeysiga keladi va tunnel interfeysidan chiqadi, shuning uchun faqat jismoniy interfeysni hisobga oladigan qoidalar mos kelmaydi. Manzilga asoslangan qoidalarga joriy pull kerak va ular qaytish yo'nalishini oldinga yo'nalish kabi hisobga olishi lozim.

Ko'p joylashtirishlar uchun mijoz yoki guruh darajasida filtrlash yaxshiroq xizmat qiladi, u yerda shaxs ma'lum va siyosat qayta ulanishda o'zgaradigan manzil emas, foydalanuvchini kuzatadi. Bu xost zanjiridan boshqa mexanizm va ikkalasini aniq sababsiz aralashtirmaslik kerak.

Eski topologiyaning qoidalar to'plamini ko'chirish paytida o'zgartirishsiz olib o'tmang. Manzil pullari, interfeys nomlari va uzatish rejimlari qoidaning mos kelishiga ta'sir qiladi, avval ishlagan nusxalangan qoida esa eng chalg'ituvchi dalil turidir. Ruxsat bermoqchi bo'lgan oqimdan boshlang va unga mos qoidani yozing.

Qoidaga ishonish o'rniga izolyatsiyani sinash

Taqiqlangan holatni va ruxsat etilgan holatni bitta ishga tushirishda sinang. Bir mijozdan ikkinchisiga yangi ulanish boshlang va u muvaffaqiyatsiz bo'lishini tasdiqlang, so'ng ruxsat berilishi kerak bo'lgan ulanish hali ham ishlashini tasdiqlang. Faqat birinchisi sinalse, hamma narsani to'sadigan xavfsizlik devori muvaffaqiyatdek ko'rinadi.

Server konfiguratsiyasini qayta yuklagandan keyin va mijoz qayta ulangandan keyin takrorlang, chunki ichki uzatish va pullarni taqsimlash ishlash vaqti holatidir. Hisoblagichlarni ikki yo'nalishda ham tekshiring, chunki bir yo'nalishga mos kelib javobga mos kelmaydigan qoida tez sinovda sezish qiyin bo'lgan qisman izolyatsiya yaratadi.

Izolyatsiya - oqimni haqiqatda olib o'tadigan chegarada kuzatiladigan natija. Xostning biror joyidagi DROP qoidasi dalil emas; muvaffaqiyatsiz ulanish va unga sabab bo'lgan qoidaning qimirlagan hisoblagichi dalildir.