👐🏾 🤘🏼 🔺 दो आईपी के साथ एक सर्वर पर वीपीएन के लिए फ़ायरवॉल को कैसे कॉन्फ़िगर करें 🤷🏼 🧗🏿 🤱🏻

मैंने अंत में खुद को एक सर्वर मिला। उन्होंने उस पर अपनी "कंपनी" की साइट पोस्ट की, और अगले दरवाजे ने वीपीएन को बढ़ाने का फैसला किया। इसके लिए, एक दूसरे आईपी का आदेश दिया गया था। पहले पर, मेरे पास वेब, मेल, ssh होगा और दूसरे पर, वीपीएन ट्रैफ़िक जाएगा। विचार सरल है, लेकिन मुझे इस तरह के विन्यास का अच्छा विवरण नहीं मिला। कटौती के तहत, मैं दिखाऊंगा कि शोरवेल को कैसे कॉन्फ़िगर किया जाए ताकि वीपीएन ट्रैफ़िक केवल इंटरनेट पर जाए, और पड़ोसी आईपी से स्वतंत्र रूप से पारित नहीं हो सकता है।

इस पोस्ट में मैं सभी कार्यक्रमों को स्थापित करने पर ध्यान केंद्रित नहीं करना चाहता हूं, यह कई बार वर्णित किया गया है, जिसमें हबर भी शामिल है, लेकिन ऐसी स्थिति के लिए फ़ायरवॉल को कॉन्फ़िगर करने पर जब सभी नेटवर्क इंटरफेस एक ही कार्ड पर होते हैं। फ़ायरवॉल को नियंत्रित करने के लिए, मैं शोरवेल पैकेज का उपयोग करूंगा। शोरवेल साइट पर काफी दस्तावेज हैं, लेकिन यह मूल रूप से विभाजन नेटवर्क कार्ड के साथ कॉन्फ़िगरेशन का वर्णन करता है, और उनके पीछे सबनेट।

आइए पहले ifconfig को देखें। वहां हम अपने दो आईपी सॉन्च देखते हैं, "1.1.1.1" और "2.2.2.2"। वे दोनों सीधे इंटरनेट पर जाते हैं। अब वे "जुड़वाँ" हैं, अर्थात्, यदि कोई सेवा पहले पर घूम रही है, तो यह दूसरे आईपी पर दिखाई देगी।

# ifconfig eth0 Link encap:Ethernet HWaddr ::::: inet addr:1.1.1.1 Bcast:1.1.1.255 Mask:255.255.255.0 inet6 addr: fe80:::::/64 Scope:Link UP BROADCAST RUNNING MULTICAST MTU:1500 Metric:1 RX packets:417428 errors:0 dropped:230 overruns:0 frame:0 TX packets:17595 errors:0 dropped:0 overruns:0 carrier:0 collisions:0 txqueuelen:1000 RX bytes:28249193 (28.2 MB) TX bytes:4653027 (4.6 MB) eth0:0 Link encap:Ethernet HWaddr ::::: inet addr:2.2.2.2 Bcast:2.2.2.255 Mask:255.255.255.0 UP BROADCAST RUNNING MULTICAST MTU:1500 Metric:1 lo Link encap:Local Loopback inet addr:127.0.0.1 Mask:255.0.0.0 inet6 addr: ::1/128 Scope:Host UP LOOPBACK RUNNING MTU:16436 Metric:1 RX packets:507 errors:0 dropped:0 overruns:0 frame:0 TX packets:507 errors:0 dropped:0 overruns:0 carrier:0 collisions:0 txqueuelen:0 RX bytes:44121 (44.1 KB) TX bytes:44121 (44.1 KB)

आइए इस मामले को कवर करते हैं, ताकि 1.1.1.1 वेब, ईमेल, ssh और 2.2.2.2 पास vpn को सुने। यहाँ विन्यास है:

 # cat /etc/shorewall/interfaces #ZONE INTERFACE BROADCAST OPTIONS net4 eth0 detect tcpflags,logmartians,nosmurfs # cat /etc/shorewall/zones #ZONE TYPE OPTIONS IN OUT fw firewall net4 ipv4 # cat /etc/shorewall/policy #SOURCE DEST POLICY LOG LIMIT: CONNLIMIT: $FW net4 ACCEPT net4 $FW DROP info net4 all DROP info # The FOLLOWING POLICY MUST BE LAST all all REJECT info # cat /etc/shorewall/rules #ACTION SOURCE DEST PROTO DEST SOURCE SECTION NEW # ------------------------- INTERNET -------------------------------- ACCEPT net4 $FW:1.1.1.1 tcp 22 ACCEPT net4 $FW:1.1.1.1 tcp 25 ACCEPT net4 $FW:1.1.1.1 tcp 80 # ------------------------- VPN ------------------------------------- ACCEPT net4 $FW:2.2.2.2 udp 1194

यह मानक कॉन्फ़िगरेशन है, जो हमारे VPS-a से इंटरनेट तक सभी ट्रैफ़िक को गुजरने की अनुमति देता है, और नियमों में जो कुछ भी लिखा गया है, उसके अलावा कुछ भी वापस करने की अनुमति नहीं देता है। ज़ोन $ एफडब्ल्यू का अर्थ है दोनों आईपी, चूंकि दोनों एथ्0 का हिस्सा हैं (इस तथ्य के बावजूद कि 2.2.2.2 का अपना नाम एथ0 है: 0)। स्पष्टीकरण के लिए, प्रकार के kostructions: $ FW: [आईपी] का उपयोग किया जाता है। सब ठीक लगने लगा है। फिर, वीपीएन सर्वर शुरू करें, और ifconfig देखें। जो कुछ पहले से था, उसके अलावा एक नया इंटरफ़ेस ट्यून दिखाई दिया:

 tun0 Link encap:UNSPEC HWaddr 00-00-00-00-00-00-00-00-00-00-00-00-00-00-00-00 inet addr:10.8.0.1 PtP:10.1.0.2 Mask:255.255.255.255 UP POINTOPOINT RUNNING NOARP MULTICAST MTU:1500 Metric:1 RX packets:3261 errors:0 dropped:0 overruns:0 frame:0 TX packets:2624 errors:0 dropped:0 overruns:0 carrier:0 collisions:0 txqueuelen:100 RX bytes:351155 (351.1 KB) TX bytes:1043254 (1.0 MB)

ध्यान दें कि tun0 इंटरफ़ेस eth0 के साथ "ट्विन" नहीं है, बल्कि एक अधिक संपूर्ण इंटरफ़ेस है। वीपीएन क्लाइंट इस सबनेट के पीछे बैठेंगे। अभी कनेक्ट करते हैं। दूसरे कंप्यूटर पर: हम प्राधिकरण से गुजरते हैं, कनेक्शन स्थापित होता है, टर्मिनल पर जाता है और मेल पढ़ने के लिए कम से कम हमारे वीपीएन गेटवे (10.8.0.1) से जुड़ने की कोशिश करता है, अगर पिंग स्वीकार किए जाते हैं तो आप पिंग कर सकते हैं (देखें /etc -sysctl.conf)।

 $telnet 10.8.0.1 25 $sudo tail /var/log/syslog ... Shorewall:INPUT:REJECT:IN=tun0 OUT= MAC= SRC=10.8.0.6 DST=10.8.0.1 ... PROTO=TCP SPT=36879 DPT=25 ...

मेल सर्वर तक पहुँचने के हमारे प्रयास को अस्वीकार कर दिया गया था, क्योंकि, "ट्विन" ईटी 0 नहीं होने के कारण, नियम के कारण ट्यून eth0 (और eth0: 0) से बात नहीं कर सकता है:

 all all REJECT info

/ etc / shorewall / पॉलिसी के अंत में। अभी तक तो अच्छा है। फिर shorewall में tun0 जोड़ें।
नया कॉन्फ़िगरेशन:

 # cat /etc/shorewall/interfaces #ZONE INTERFACE BROADCAST OPTIONS net4 eth0 detect tcpflags,logmartians,nosmurfs vpn4 tun0 detect tcpflags,logmartians,nosmurfs #NEW # cat /etc/shorewall/zones #ZONE TYPE OPTIONS IN OUT fw firewall net4 ipv4 vpn4 ipv4 #NEW # cat /etc/shorewall/policy #SOURCE DEST POLICY LOG LIMIT: CONNLIMIT: $FW net4 ACCEPT vpn4 $FW ACCEPT #NEW vpn4 net4 ACCEPT #NEW net4 $FW DROP info net4 all DROP info # The FOLLOWING POLICY MUST BE LAST all all REJECT info # cat /etc/shorewall/rules #ACTION SOURCE DEST PROTO DEST SOURCE SECTION NEW # ------------------------- INTERNET -------------------------------- ACCEPT net4 $FW:1.1.1.1 tcp 22 ACCEPT net4 $FW:1.1.1.1 tcp 25 ACCEPT net4 $FW:1.1.1.1 tcp 80 # ------------------------- VPN ------------------------------------- ACCEPT net4 $FW:2.2.2.2 udp 1194 # SNAT, for access to internet -- NEW # cat /etc/shorewall/masq #INTERFACE SOURCE ADDRESS PROTO PORT(S) IPSEC MARK eth0 10.8.0.0/24 2.2.2.2

क्या बदल गया है? हमने vpn4 नाम से एक ज़ोन बनाया जो ट्यून इंटरफ़ेस से मेल खाता है। हमने vpn4 को IPv4 घोषित किया। हमने फ़ायरवॉल और इंटरनेट (eth0 / net4) तक पहुँचने के लिए tun0 से यातायात की अनुमति दी। विचित्र रूप से पर्याप्त है, आप केवल फ़ायरवॉल-ए और फिर मौजूदा नियम $ fw -> net4 के अनुसार अनुमति नहीं दे सकते। दोनों पंक्तियों को जोड़ना आवश्यक है। और आखिरी चीज जिसे हमें पूर्ण इंटरनेट कनेक्शन की आवश्यकता है, वह है SNAT (स्रोत पता अनुवाद, जब प्रेषक का पता इंटरनेट पर देखने वाले लोगों के पते के साथ बदल दिया जाता है, हमारे मामले में 2.2.2.2)। हम एक masq फ़ाइल बनाते हैं और मांग करते हैं कि eth0 (और eth0: 0) से बाहर निकलने पर सभी 10.8.0.x पतों को 2.2.2.2 से बदल दें।

हम कोशिश करते हैं ... सब कुछ काम करता है! यहां तक कि ... 10.8.0.x से एक पते के साथ आप 1.1.1.1:1194 पर जा सकते हैं, जो हम नहीं चाहते हैं। हम चाहते थे कि vpn ट्रैफिक पहले ऑनलाइन जाए और फिर फ़ायरवॉल के माध्यम से वापस लड़े। इसके बजाय, हमारे पास एक क्लाइंट वीपीएन है जो पीछे से हमारे सर्वर को देखता है। क्यों? क्योंकि जब हमने संचार सक्षम किया जैसे:

 # /etc/shorewall/policy: vpn4 $FW ACCEPT #NEW

हमने यह नहीं बताया कि कौन से IP हैं, क्योंकि उनमें से दो $ FW (1.1.1.1 और 2.2.2.2) के अंतर्गत हैं। ठीक है, चलो इसे लिखो। हालाँकि, सिंटैक्स जैसे: $ FW: [आईपी] पॉलिसी फ़ाइल में स्वीकार नहीं किया जाता है। इस बिंदु पर, मैंने बहुत कुछ करने की कोशिश की और लगभग विचार छोड़ दिया और इसे वैसे ही छोड़ दिया। हालांकि अंत तक बहुत कम रास्ते थे। तो, एक अंतर्दृष्टि: सब कुछ जो नीति में लिखा गया है, उसी तरह से नियमों में लिखा जा सकता है, और नियमों में हम फ़ायरवॉल-ई पर विशिष्ट आईपी निर्दिष्ट कर सकते हैं। आइए अंतिम कॉन्फ़िगरेशन को फिर से लिखें:

 # cat /etc/shorewall/interfaces #ZONE INTERFACE BROADCAST OPTIONS net4 eth0 detect tcpflags,logmartians,nosmurfs vpn4 tun0 detect tcpflags,logmartians,nosmurfs # cat /etc/shorewall/zones #ZONE TYPE OPTIONS IN OUT fw firewall net4 ipv4 vpn4 ipv4 # cat /etc/shorewall/policy #SOURCE DEST POLICY LOG LIMIT: CONNLIMIT: $FW net4 ACCEPT #vpn4 $FW ACCEPT #NEW #vpn4 net4 ACCEPT #NEW net4 $FW DROP info net4 all DROP info # The FOLLOWING POLICY MUST BE LAST all all REJECT info # cat /etc/shorewall/rules #ACTION SOURCE DEST PROTO DEST SOURCE SECTION NEW # ------------------------- INTERNET -------------------------------- ACCEPT net4 $FW:1.1.1.1 tcp 22 ACCEPT net4 $FW:1.1.1.1 tcp 25 ACCEPT net4 $FW:1.1.1.1 tcp 80 # ------------------------- VPN ------------------------------------- ACCEPT net4 $FW:2.2.2.2 udp 1194 # ------------------------- NEW ------------------------------------- ACCEPT vpn4 net4 ACCEPT vpn4 $FW:1.1.1.1 tcp 22 ACCEPT vpn4 $FW:1.1.1.1 tcp 25 ACCEPT vpn4 $FW:1.1.1.1 tcp 80 # cat /etc/shorewall/masq #INTERFACE SOURCE ADDRESS PROTO PORT(S) IPSEC MARK eth0 10.8.0.0/24 2.2.2.2

हमने क्या किया: नीति से पुरानी अनुमतियां हटा दीं, और नियमों में अनुमतियाँ जोड़ दीं। हम vpn से इंटरनेट तक सभी ट्रैफ़िक की अनुमति देते हैं, और चुनिंदा रूप से 1.1.1.1 पर ट्रैफ़िक को सीधे अनुमति देते हैं। क्या आप इंटरनेट के माध्यम से 1.1.1.1 पर कॉल नहीं भेज सकते हैं? नहीं, चाहे हम कितना भी पसंद करें, वे सर्वर के अंदर जाएंगे, इसलिए हम जो सबसे अच्छा कर सकते हैं वह वीपीएन ट्रैफिक के लिए इंटरनेट के नियमों की नकल है -> 1.1.1.1। लेकिन 2.2.2.2 पर यातायात के बारे में क्या? यह ट्रैफ़िक सीधे वीपीएन ट्रैफ़िक है, और यह अंदर से नहीं आ सकता है (यह क्लाइंट मशीन पर मार्ग द्वारा सुरक्षित है)। दूसरे शब्दों में, vpn-a क्लाइंट 10.8.0.1 (vpn4) -> 2.2.2.2 ($ fw: 2.2.2.2) की दिशा में कभी भी ट्रैफ़िक नहीं भेजेगा।

खैर, यह मूल रूप से है। अब हम सुरक्षित रूप से एक "काम करने वाले" वीपीएन से ब्राउज़ कर सकते हैं, एक आईपी-शेंकी के बिना एक "साहचर्य" साइट का उपयोग कर, और हम फ़ायरवॉल-ए को बायपास करने के लिए सामान्य वीपीएन उपयोगकर्ताओं का उपयोग करने से डरते नहीं हैं।

दो आईपी के साथ एक सर्वर पर वीपीएन के लिए फ़ायरवॉल को कैसे कॉन्फ़िगर करें

More articles: