OpenWrt VPN zonasi, yo'naltirish va manzilni yashirish: qaysi biri kerak?
Zona kirishi, yo'naltirish va manzilni yashirish turli savollarga javob beradi. WAN zonasini ochishdan oldin VPN trafikingizga nima kerakligini hal qiling.
VPN OpenWrt bilan uchrashganda uchta o'zgarish aralashib ketadi: port ochish, yo'naltirishga ruxsat berish va manzilni yashirishni yoqish. Ular turli savollarga javob beradi va odatda ulardan faqat bittasi haqiqiy talab bo'ladi. Har bir boshqaruvni u boshqaradigan trafik roli bo'yicha o'qish taxminni qarorga aylantiradi, shuningdek o'zgarish noto'g'ri bo'lganda qanday alomatni kutish kerakligini aytadi. Esda qolgan katakchani emas, muvaffaqiyatsiz bo'lgan rolni nomlash bilan boshlang.
Boshqaruvga tegishdan oldin trafik rolini nomlang
Zona kirishi routerning o'ziga nima yetib borishini hal qiladi. Zona chiqishi router o'zi yaratadigan trafikni qamrab oladi, zona yo'naltirishi zonadan o'tadigan trafik uchun standart qiymat, manzilni yashirish esa chiqishda manba manzili qayta yozilishini hal qiladi. Bu to'rt xil savol va zona siyosati to'rttasiga bir vaqtda bir xil qiymat bilan javob beradi, shuning uchun butun zona bo'ylab o'zgarish qo'pol vosita. Nomlangan qoida qolganlariga tegmasdan ulardan biriga javob bera oladi.
Foydali xarita trafik roli bo'yicha tuziladi, chunki biror narsa muvaffaqiyatsiz bo'lganda kuzatishingiz mumkin bo'lgan narsa shu. Quyidagi har bir rolning uni hal qiladigan bitta boshqaruvi va unga ishora qiladigan bitta alomati bor:
| Traffic role | Control that decides it | Where it lives in the config | Symptom when it is wrong |
|---|---|---|---|
| A client reaching a listener on the router | Input policy of the zone that carries the connection, or a rule for the port | option input in the zone stanza, or a named rule | The handshake never completes and the tunnel log says nothing |
| A tunnel client reaching the router itself | Input policy of the tunnel zone | option input in the VPN zone | A ping to the gateway fails |
| A tunnel client reaching another LAN host | Forwarding from the tunnel zone to the LAN zone | config forwarding plus the zone assignment | The gateway answers and the file share times out |
| The router's own traffic leaving the WAN | Output policy, and translation if the far side needs it | option output and option masq | The tunnel never establishes, or replies vanish |
Routerdagi tinglovchiga bitta tor kirish qoidasi kifoya
Routerdagi OpenVPN serveri routerga manzillangan trafikni qabul qiladi, shuning uchun uning tashqi ulanishi uni olib yuruvchi zonaning kirish siyosatiga bog'liq. Sozlangan transport va portga ruxsat bering, o'sha zonadagi qolgan hamma narsani rad etilgan holda qoldiring. Bitta port qoidasi butun zona ruxsatidan ancha kichik o'zgarish va bir yildan keyin ham tushuntira oladigan qoida aynan shu.
Bu qoidani saqlashni xavfsiz qiladigan ikki narsa bor: u xizmat haqiqatan ishlatadigan portni nomlaydi va zona ta'rifi yonida turadi, shunda keyingi odam nima uchun borligini ko'radi. Quyidagi satrlar faqat shakl, port serverda sozlangan qiymatni bildiradi. Xizmat ko'chganda bu portni ikkala joyda ham o'zgartiring, chunki eskisida qolgan qoida tekshiruvgacha ko'rinmaydi.
config zone
option name 'wan'
option input 'REJECT'
option forward 'REJECT'
option output 'ACCEPT'
option masq '1'
config rule
option name 'allow-openvpn'
option src 'wan'
option proto 'udp'
option dest_port '1194'
option target 'ACCEPT'Qayta yuklashdan oldin tekshiring, chunki firewall faylidagi sintaksis xatosi routerni ishlaydigan qoidalar to'plamisiz qoldirishi mumkin. fw4 ishlatadigan nashrda tekshiruv alohida buyruq va u buzilgan blokni jimgina qabul qilish o'rniga baland ovozda muvaffaqiyatsiz bo'ladi. Tekshiruv o'tgandan keyingina qayta yuklang va oldingi faylni qaytarish mumkin bo'lgan joyda saqlang.
fw4 check
service firewall reloadMijoz so'rovi kirishdan emas, yo'naltirishdan o'tadi
Autentifikatsiyadan keyin LAN xizmatini so'ragan tunnel mijozi so'rovi yo'naltirilgan oqim yaratadi, shuning uchun uni hal qiladigan boshqaruv tunnel zonasi va LAN zonasi o'rtasidagi yo'naltirish munosabati. Tunnel interfeysini kerakli zonaga biriktiring, so'ng yo'nalish, manbalar va xizmatni e'lon qiling. Zona biriktiruvi yo'naltirish qoidasiga ma'no beradigan narsa va ikkalasi faqat birga o'qilganda tushunarli. Tunnel zonasini manba, LAN zonasini maqsad deb ko'rsatadigan yo'naltirish munosabati bitta qasddan qilingan qaror sifatida o'qiladi, butun zona bo'ylab ikkita ruxsat esa baxtsiz hodisa sifatida o'qiladi.
Routerning o'ziga yetib borish hali ham kirish yo'lidan foydalanadi, shuning uchun shlyuzga ping uning orqasidagi fayl almashinuvi haqida hech narsa demaydi. Bu ikki muvaffaqiyatsizlik turli bloklarda yashaydi va turli o'zgarishlar bilan tuzatiladi. Ikkalasidan birini o'zgartirishdan oldin ikkala yo'lni alohida yozib oling.
Manzilni yashirish - marshrutlash qarori, ruxsat emas
Manzilni yashirish tanlangan chiqish trafigining manba manzilini qayta yozadi. U uzoq tomonning qaytish yo'li bo'lmagan chiqish sxemasini saqlab qolishi mumkin, shuningdek manzillarni jurnalga yozadigan yoki manzil bo'yicha ruxsat beradigan har qanday xizmatdan alohida mijozlarning manzillarini yashiradi. Uni o'chirish qaytish yo'li haqidagi marshrutlash tanlovi, ichki teshikni yopadigan xavfsizlik kaliti emas. Tarjima yoqilganda ishlab, u o'chirilgan lahzada muvaffaqiyatsiz bo'ladigan tunnelda odatda qaytish marshruti yetishmaydi, firewall qoidasi emas.
Marshrutlangan alternativa tarjima o'rniga uzoq tomonda qaytish marshrutini talab qiladi. Ikkala variant ham firewall ruxsati yoki ilova hisobini bermaydi, shuning uchun manzilni yashirishni o'chirish hech qayerga yeta olmaydigan tunnel mijozini deyarli hech qachon tuzatmaydi. IPv4 va IPv6 siyosatini ham alohida ko'rib chiqing, chunki bitta tarjima sozlamasi ikkala oilani ham tasvirlamaydi.
Qarorni ruxsat berilgan va rad etilgan so'rov bilan isbotlang
Ruxsat berilishi kerak bo'lgan bitta so'rov va rad etilishi kerak bo'lgan bitta so'rov yuboring, so'ng har bir qarorni qabul qilgan boshqaruvni aniqlang. Tasodifan yuklangan sahifa dalil emas; dalil - mos kelgan qoida, u mos kelgan zanjirda. Rad etish muvaffaqiyat bilan birdek muhim, chunki u siyosat hamma narsaga ruxsat berish o'rniga biror narsa qilayotganini ko'rsatadi.
Joriy nashrda ikkita buyruq shu dalilni beradi. So'rov qabul qilinganda mos keladigan qoidaning hisoblagichi siljiydi, qoida uchun jurnal yozishni yoqqan bo'lsangiz jurnal tashlab yuborilishini ko'rsatadi:
nft list chain inet fw4 forward_wan
logread -f | grep -i -E 'DROP|REJECT'Har qanday firewall siyosatini o'zgartirishdan oldin hali ishlata oladigan boshqaruv yo'lini saqlang va konfiguratsiya egasining tekshirish va qaytarish jarayoniga amal qiling. Sizni routerdan tashqarida qulflaydigan o'zgarish sinov natijasi emas, bu ikkinchi hodisa. Har bir kuzatuv yonida zona va trafik rolini yozib qo'ying, shunda natijalar juftligi omadli sahifa yuklanishini tasvirlash o'rniga siyosatni tushuntiradi.