🥇ການຈັດຕັ້ງວຽກທາງໄກສໍາລັບອົງການຈັດຕັ້ງ SMB ໃນ OpenVPN

ການສ້າງບັນຫາ

ບົດຄວາມອະທິບາຍເຖິງການຈັດຕັ້ງຂອງການເຂົ້າເຖິງຫ່າງໄກສອກຫຼີກສໍາລັບພະນັກງານໃນຜະລິດຕະພັນແຫຼ່ງເປີດແລະສາມາດນໍາໃຊ້ທັງສອງເພື່ອສ້າງລະບົບອັດຕະໂນມັດຢ່າງສົມບູນ, ແລະຈະເປັນປະໂຫຍດສໍາລັບການຂະຫຍາຍໃນເວລາທີ່ມີການຂາດແຄນໃບອະນຸຍາດໃນລະບົບການຄ້າທີ່ມີຢູ່ຫຼືການປະຕິບັດຂອງມັນບໍ່ພຽງພໍ.

ເປົ້າຫມາຍຂອງບົດຄວາມແມ່ນເພື່ອປະຕິບັດລະບົບທີ່ສົມບູນສໍາລັບການສະຫນອງການເຂົ້າເຖິງຫ່າງໄກສອກຫຼີກກັບອົງການຈັດຕັ້ງ, ເຊິ່ງຫຼາຍກ່ວາ "ການຕິດຕັ້ງ OpenVPN ໃນ 10 ນາທີ."

ດັ່ງນັ້ນ, ພວກເຮົາຈະໄດ້ຮັບລະບົບທີ່ໃບຢັ້ງຢືນແລະ (ທາງເລືອກ) Active Directory ຂອງບໍລິສັດຈະຖືກນໍາໃຊ້ເພື່ອກວດສອບຜູ້ໃຊ້. ນັ້ນ. ພວກເຮົາຈະໄດ້ຮັບລະບົບທີ່ມີສອງປັດໃຈການກວດສອບ - ສິ່ງທີ່ຂ້ອຍມີ (ໃບຢັ້ງຢືນ) ແລະສິ່ງທີ່ຂ້ອຍຮູ້ (ລະຫັດຜ່ານ).

ສັນຍານທີ່ຜູ້ໃຊ້ໄດ້ຮັບອະນຸຍາດໃຫ້ເຊື່ອມຕໍ່ແມ່ນການເປັນສະມາຊິກຂອງເຂົາເຈົ້າໃນກຸ່ມ myVPNUsr. ສິດອຳນາດໃບຮັບຮອງຈະຖືກໃຊ້ແບບອອບລາຍ.

ຄ່າໃຊ້ຈ່າຍໃນການປະຕິບັດການແກ້ໄຂແມ່ນພຽງແຕ່ຊັບພະຍາກອນຮາດແວຂະຫນາດນ້ອຍແລະການເຮັດວຽກຂອງ 1 ຊົ່ວໂມງຂອງຜູ້ເບິ່ງແຍງລະບົບ.

ພວກເຮົາຈະໃຊ້ເຄື່ອງ virtual ກັບ OpenVPN ແລະ Easy-RSA ຮຸ່ນ 3 ໃນ CetntOS 7, ເຊິ່ງຖືກຈັດສັນ 100 vCPUs ແລະ 4 GiB RAM ຕໍ່ 4 ການເຊື່ອມຕໍ່.

ໃນຕົວຢ່າງ, ເຄືອຂ່າຍຂອງອົງການຂອງພວກເຮົາແມ່ນ 172.16.0.0/16, ໃນນັ້ນເຊີບເວີ VPN ທີ່ມີທີ່ຢູ່ 172.16.19.123 ຢູ່ໃນສ່ວນ 172.16.19.0/24, DNS servers 172.16.16.16 ແລະ 172.16.17.17 ແລະຍ່ອຍ. .172.16.20.0/23 ຖືກຈັດສັນໃຫ້ລູກຄ້າ VPN .

ເພື່ອເຊື່ອມຕໍ່ຈາກພາຍນອກ, ການເຊື່ອມຕໍ່ຜ່ານພອດ 1194/udp ຖືກນໍາໃຊ້, ແລະ A-record gw.abc.ru ໄດ້ຖືກສ້າງຂື້ນໃນ DNS ສໍາລັບເຄື່ອງແມ່ຂ່າຍຂອງພວກເຮົາ.

ມັນບໍ່ໄດ້ຖືກແນະນໍາໃຫ້ປິດການໃຊ້ງານ SELinux ຢ່າງເຂັ້ມງວດ! OpenVPN ເຮັດວຽກໂດຍບໍ່ມີການປິດນະໂຍບາຍຄວາມປອດໄພ.

ການຕິດຕັ້ງ OS ແລະຊອບແວຄໍາຮ້ອງສະຫມັກ

ພວກເຮົາໃຊ້ການແຈກຢາຍ CentOS 7.8.2003. ພວກເຮົາຈໍາເປັນຕ້ອງໄດ້ຕິດຕັ້ງ OS ໃນການຕັ້ງຄ່າຫນ້ອຍທີ່ສຸດ. ມັນສະດວກທີ່ຈະເຮັດສິ່ງນີ້ໂດຍໃຊ້ kickstart, cloning ຮູບພາບ OS ທີ່ຕິດຕັ້ງກ່ອນຫນ້ານີ້ແລະວິທີການອື່ນໆ.

ຫຼັງຈາກການຕິດຕັ້ງ, ການມອບຫມາຍທີ່ຢູ່ໃນການໂຕ້ຕອບເຄືອຂ່າຍ (ຕາມເງື່ອນໄຂຂອງວຽກງານ 172.16.19.123), ພວກເຮົາປັບປຸງ OS:

$ sudo yum update -y && reboot

ພວກເຮົາຍັງຕ້ອງການໃຫ້ແນ່ໃຈວ່າ synchronization ເວລາແມ່ນປະຕິບັດຢູ່ໃນເຄື່ອງຂອງພວກເຮົາ.
ເພື່ອຕິດຕັ້ງຊອບແວແອັບພລິເຄຊັນ, ທ່ານຕ້ອງການ openvpn, openvpn-auth-ldap, easy-rsa ແລະ vim packages ເປັນຕົວແກ້ໄຂຕົ້ນຕໍ (ທ່ານຕ້ອງການ EPEL repository).

$ sudo yum install epel-release
$ sudo yum install openvpn openvpn-auth-ldap easy-rsa vim

ມັນເປັນປະໂຫຍດທີ່ຈະຕິດຕັ້ງຕົວແທນແຂກສໍາລັບເຄື່ອງ virtual:

$ sudo yum install open-vm-tools

ສໍາລັບ VMware ESXi hosts, ຫຼືສໍາລັບ oVirt

$ sudo yum install ovirt-guest-agent

ຕັ້ງຄ່າການເຂົ້າລະຫັດລັບ

ໄປທີ່ໄດເລກະທໍລີ easy-rsa:

$ cd /usr/share/easy-rsa/3/

ສ້າງໄຟລ໌ຕົວແປ:

$ sudo vim vars

ເນື້ອໃນຕໍ່ໄປນີ້:

export KEY_COUNTRY="RU"
export KEY_PROVINCE="MyRegion"
export KEY_CITY="MyCity"
export KEY_ORG="ABC LLC"
export KEY_EMAIL="[email protected]"
export KEY_CN="allUsers"
export KEY_OU="allUsers"
export KEY_NAME="gw.abc.ru"
export KEY_ALTNAMES="abc-openvpn-server"
export EASYRSA_CERT_EXPIRE=3652

ຕົວກໍານົດການສໍາລັບອົງການຈັດຕັ້ງທີ່ມີເງື່ອນໄຂ ABC LLC ໄດ້ຖືກອະທິບາຍຢູ່ທີ່ນີ້; ທ່ານສາມາດແກ້ໄຂໃຫ້ເຂົາເຈົ້າກັບຕົວຈິງຫຼືອອກຈາກຕົວຢ່າງ. ສິ່ງທີ່ສໍາຄັນທີ່ສຸດໃນພາລາມິເຕີແມ່ນເສັ້ນສຸດທ້າຍ, ເຊິ່ງກໍານົດໄລຍະເວລາທີ່ຖືກຕ້ອງຂອງໃບຢັ້ງຢືນໃນມື້. ຕົວຢ່າງໃຊ້ຄ່າ 10 ປີ (365*10+2 ປີກ້າວກະໂດດ). ຄ່ານີ້ຈະຕ້ອງໄດ້ຮັບການປັບກ່ອນທີ່ຈະອອກໃບຢັ້ງຢືນຜູ້ໃຊ້.

ຕໍ່ໄປ, ພວກເຮົາກໍານົດສິດອໍານາດການຢັ້ງຢືນເອກະລາດ.

ການຕັ້ງຄ່າລວມມີການສົ່ງອອກຕົວແປ, ການເລີ່ມຕົ້ນ CA, ການອອກລະຫັດ ແລະໃບຢັ້ງຢືນຂອງ CA, ລະຫັດ Diffie-Hellman, ກະແຈ TLS, ແລະລະຫັດເຊີບເວີ ແລະໃບຢັ້ງຢືນ. ກະແຈ CA ຕ້ອງໄດ້ຮັບການປົກປ້ອງຢ່າງລະມັດລະວັງ ແລະເກັບໄວ້ເປັນຄວາມລັບ! ທຸກໆຕົວກໍານົດການສອບຖາມສາມາດຖືກປະໄວ້ເປັນຄ່າເລີ່ມຕົ້ນ.

cd /usr/share/easy-rsa/3/
. ./vars
./easyrsa init-pki
./easyrsa build-ca nopass
./easyrsa gen-dh
./easyrsa gen-req myvpngw nopass
./easyrsa sign-req server myvpngw
./easyrsa gen-crl
openvpn --genkey --secret pki/ta.key

ນີ້ເຮັດສໍາເລັດສ່ວນຕົ້ນຕໍຂອງການສ້າງຕັ້ງກົນໄກການເຂົ້າລະຫັດລັບ.

ຕັ້ງຄ່າ OpenVPN

ໄປທີ່ໄດເລກະທໍລີ OpenVPN, ສ້າງໄດເລກະທໍລີການບໍລິການແລະເພີ່ມການເຊື່ອມຕໍ່ໄປຫາ easy-rsa:

cd /etc/openvpn/
mkdir /var/log/openvpn/ /etc/openvpn/ccd /usr/share/easy-rsa/3/client
ln -s /usr/share/easy-rsa/3/pki/ /etc/openvpn/

ສ້າງໄຟລ໌ການຕັ້ງຄ່າ OpenVPN ຫຼັກ:

$ sudo vim server.conf

ເນື້ອໃນຕໍ່ໄປນີ້

port 1194
proto udp
dev tun
ca /etc/openvpn/pki/ca.crt
cert /etc/openvpn/pki/issued/myvpngw.crt
key /etc/openvpn/pki/private/myvpngw.key
crl-verify /etc/openvpn/pki/crl.pem
dh /etc/openvpn/pki/dh.pem
server 172.16.20.0 255.255.254.0
ifconfig-pool-persist ipp.txt
push "route 172.16.0.0 255.255.255.0"
push "route 172.17.0.0 255.255.255.0"
client-config-dir ccd
push "dhcp-option DNS 172.16.16.16"
push "dhcp-option DNS 172.16.17.17"
keepalive 10 120
cipher AES-256-CBC
user nobody
group nobody
persist-key
persist-tun
status /var/log/openvpn/openvpn-status.log
log-append  /var/log/openvpn/openvpn.log
verb 3
explicit-exit-notify 1
username-as-common-name
plugin /usr/lib64/openvpn/plugin/lib/openvpn-auth-ldap.so /etc/openvpn/ldap.conf

ຫມາຍເຫດບາງອັນກ່ຽວກັບພາລາມິເຕີ:

ຖ້າຊື່ອື່ນຖືກລະບຸໃນເວລາອອກໃບຢັ້ງຢືນ, ໃຫ້ຊີ້ບອກມັນ;
ລະບຸກຸ່ມທີ່ຢູ່ໃຫ້ເໝາະສົມກັບໜ້າວຽກຂອງເຈົ້າ*;
ສາມາດມີຫນຶ່ງຫຼືຫຼາຍເສັ້ນທາງແລະເຄື່ອງແມ່ຂ່າຍ DNS;
2 ແຖວສຸດທ້າຍແມ່ນຈໍາເປັນເພື່ອປະຕິບັດການພິສູດຢືນຢັນໃນ AD**.

* ຊ່ວງຂອງທີ່ຢູ່ທີ່ເລືອກໃນຕົວຢ່າງຈະເຮັດໃຫ້ລູກຄ້າສາມາດເຊື່ອມຕໍ່ໄດ້ເຖິງ 127 ຄົນພ້ອມກັນ, ເພາະວ່າ. ເຄືອຂ່າຍ /23 ຖືກເລືອກ, ແລະ OpenVPN ສ້າງເຄືອຂ່າຍຍ່ອຍສໍາລັບລູກຄ້າແຕ່ລະຄົນໂດຍໃຊ້ຫນ້າກາກ /30.
ຖ້າຈໍາເປັນໂດຍສະເພາະ, ພອດແລະໂປໂຕຄອນສາມາດປ່ຽນແປງໄດ້, ແນວໃດກໍ່ຕາມ, ມັນຄວນຈະຢູ່ໃນໃຈວ່າການປ່ຽນຈໍານວນພອດພອດຈະເຮັດໃຫ້ເກີດການຕັ້ງຄ່າ SELinux, ແລະການນໍາໃຊ້ໂປໂຕຄອນ tcp ຈະເພີ່ມຂຶ້ນ, ເພາະວ່າ. ການຄວບຄຸມການຈັດສົ່ງແພັກເກັດ TCP ແມ່ນປະຕິບັດແລ້ວໃນລະດັບຂອງແພັກເກັດທີ່ຖືກຫຸ້ມຢູ່ໃນອຸໂມງ.

** ຖ້າຫາກວ່າການກວດສອບໃນ AD ບໍ່ຈໍາເປັນຕ້ອງ, ໃຫ້ຄໍາເຫັນໃຫ້ເຂົາເຈົ້າອອກ, ຂ້າມພາກຕໍ່ໄປ, ແລະໃນແມ່ແບບ ເອົາເສັ້ນ auth-user-pass ອອກ.

AD Authentication

ເພື່ອສະຫນັບສະຫນູນປັດໃຈທີສອງ, ພວກເຮົາຈະນໍາໃຊ້ການກວດສອບບັນຊີໃນ AD.

ພວກເຮົາຕ້ອງການບັນຊີຢູ່ໃນໂດເມນທີ່ມີສິດທິຂອງຜູ້ໃຊ້ທົ່ວໄປແລະກຸ່ມ, ສະມາຊິກທີ່ຈະກໍານົດຄວາມສາມາດໃນການເຊື່ອມຕໍ່.

ສ້າງໄຟລ໌ການຕັ້ງຄ່າ:

/etc/openvpn/ldap.conf

ເນື້ອໃນຕໍ່ໄປນີ້

<LDAP>
        URL             "ldap://ldap.abc.ru"
        BindDN          "CN=bindUsr,CN=Users,DC=abc,DC=ru"
        Password        b1ndP@SS
        Timeout         15
        TLSEnable       no
        FollowReferrals yes
</LDAP>
<Authorization>
        BaseDN          "OU=allUsr,DC=abc,DC=ru"
        SearchFilter    "(sAMAccountName=%u)"
        RequireGroup    true
        <Group>
                BaseDN          "OU=myGrp,DC=abc,DC=ru"
                SearchFilter    "(cn=myVPNUsr)"
                MemberAttribute "member"
        </Group>
</Authorization>

ຕົວກໍານົດການຕົ້ນຕໍ:

URL “ldap://ldap.abc.ru” - ທີ່ຢູ່ຕົວຄວບຄຸມໂດເມນ;
BindDN “CN=bindUsr,CN=Users,DC=abc,DC=ru” - ຊື່ canonical ສໍາລັບການຜູກມັດກັບ LDAP (UZ - bindUsr ໃນ abc.ru/Users container);
ລະຫັດຜ່ານ b1ndP@SS — ລະຫັດຜ່ານຜູ້ໃຊ້ສໍາລັບການຜູກມັດ;
BaseDN “OU=allUsr,DC=abc,DC=ru” — ເສັ້ນທາງທີ່ຈະເລີ່ມຊອກຫາຜູ້ໃຊ້;
BaseDN “OU=myGrp,DC=abc,DC=ru” – container of the allow group (group myVPNUsr in the container abc.rumyGrp);
SearchFilter "(cn=myVPNUsr)" ແມ່ນຊື່ຂອງກຸ່ມທີ່ອະນຸຍາດໃຫ້.

ການເລີ່ມຕົ້ນແລະການວິນິດໄສ

ຕອນນີ້ພວກເຮົາສາມາດພະຍາຍາມເປີດໃຊ້ ແລະເລີ່ມເຊີບເວີຂອງພວກເຮົາໄດ້:

$ sudo systemctl enable [email protected]
$ sudo systemctl start [email protected]

ການກວດສອບການເລີ່ມຕົ້ນ:

systemctl status [email protected]
journalctl -xe
cat /var/log/messages
cat /var/log/openvpn/*log

ບັນຫາໃບຮັບຮອງ ແລະການຖອນຄືນ

ເນື່ອງຈາກວ່າ ນອກ ເໜືອ ໄປຈາກໃບຢັ້ງຢືນຕົວມັນເອງ, ທ່ານຕ້ອງການກະແຈແລະການຕັ້ງຄ່າອື່ນໆ; ມັນສະດວກຫຼາຍທີ່ຈະຫໍ່ທັງ ໝົດ ນີ້ໄວ້ໃນແຟ້ມເອກະສານດຽວ. ຫຼັງຈາກນັ້ນ, ໄຟລ໌ນີ້ຈະຖືກໂອນໄປຫາຜູ້ໃຊ້ແລະໂປຣໄຟລ໌ຈະຖືກນໍາເຂົ້າຢູ່ໃນລູກຄ້າ OpenVPN. ເພື່ອເຮັດສິ່ງນີ້, ພວກເຮົາຈະສ້າງແມ່ແບບການຕັ້ງຄ່າແລະສະຄິບທີ່ສ້າງໂປຣໄຟລ໌.

ທ່ານຈໍາເປັນຕ້ອງເພີ່ມເນື້ອໃນຂອງໃບຢັ້ງຢືນຮາກ (ca.crt) ແລະໄຟລ໌ TLS key (ta.key) ໃສ່ໂປຣໄຟລ໌.

ກ່ອນທີ່ຈະອອກໃບຢັ້ງຢືນຜູ້ໃຊ້ ຢ່າລືມກໍານົດໄລຍະເວລາທີ່ຖືກຕ້ອງສໍາລັບໃບຢັ້ງຢືນ ໃນໄຟລ໌ພາລາມິເຕີ. ເຈົ້າບໍ່ຄວນເຮັດມັນດົນເກີນໄປ; ຂ້ອຍຂໍແນະນຳໃຫ້ຈຳກັດຕົວເອງໄວ້ສູງສຸດ 180 ມື້.

vim /usr/share/easy-rsa/3/vars

...
export EASYRSA_CERT_EXPIRE=180

vim /usr/share/easy-rsa/3/client/template.ovpn

client
dev tun
proto udp
remote gw.abc.ru 1194
resolv-retry infinite
nobind
persist-key
persist-tun
remote-cert-tls server
cipher AES-256-CBC
verb 3
auth-user-pass

<ca>
-----BEGIN CERTIFICATE-----
PUT YOUR CA CERT (ca.crt) HERE
-----END CERTIFICATE-----
</ca>

key-direction 1
<tls-auth>
-----BEGIN OpenVPN Static key V1-----
PUT YOUR TA KEY (ta.key) HERE
-----END OpenVPN Static key V1-----
</tls-auth>

ຫມາຍເຫດ:

ເຊືອກ ໃສ່ຂອງເຈົ້າ... ປ່ຽນແປງເນື້ອຫາ ເອງ ໃບຢັ້ງຢືນ;
ໃນຄໍາສັ່ງຫ່າງໄກສອກຫຼີກ, ລະບຸຊື່ / ທີ່ຢູ່ຂອງປະຕູຮົ້ວຂອງທ່ານ;
ຄໍາສັ່ງ auth-user-pass ຖືກນໍາໃຊ້ສໍາລັບການພິສູດຢືນຢັນພາຍນອກເພີ່ມເຕີມ.

ໃນໄດເລກະທໍລີເຮືອນ (ຫຼືສະຖານທີ່ທີ່ສະດວກອື່ນໆ) ພວກເຮົາສ້າງສະຄິບສໍາລັບການຮ້ອງຂໍໃບຢັ້ງຢືນແລະການສ້າງໂປຣໄຟລ໌:

vim ~/make.profile.sh

#!/bin/bash

if [ -z "$1" ] ; then
 echo Missing mandatory client name. Usage: $0 vpn-username
 exit 1
fi

#Set variables
basepath=/usr/share/easy-rsa/3
clntpath=$basepath/client
privpath=$basepath/pki/private
certpath=$basepath/pki/issued
profile=$clntpath/$1.ovpn

#Get current year and lowercase client name
year=`date +%F`
client=${1,,}
echo Processing $year year cert for user/device $client

cd $basepath

if [  -f client/$client* ]; then
    echo "*** ERROR! ***"
    echo "Certificate $client already issued!"
    echo "*** ERROR! ***"
    exit 1
fi

. ./vars
./easyrsa --batch --req-cn=$client gen-req $client nopass
./easyrsa --batch sign-req client $client

#Make profile
cp $clntpath/template.ovpn $profile

echo "<key>" >> $profile
cat $privpath/$1.key >> $profile
echo "</key>" >> $profile

echo -e "n" >> $profile
openssl x509 -in $certpath/$1.crt -out $basepath/$1.crt

echo "<cert>" >> $profile
cat $basepath/$1.crt >> $profile
echo "</cert>" >> $profile
echo -e "n" >> $profile

#remove tmp file
rm -f $basepath/$1.crt

echo Complete. See $profile file.

cd ~

ການເຮັດໃຫ້ໄຟລ໌ປະຕິບັດໄດ້:

chmod a+x ~/make.profile.sh

ແລະພວກເຮົາສາມາດອອກໃບຢັ້ງຢືນທໍາອິດຂອງພວກເຮົາ.

~/make.profile.sh my-first-user

Feedback

ໃນກໍລະນີຂອງການປະນີປະນອມຂອງໃບຢັ້ງຢືນ (ການສູນເສຍ, ການລັກ), ມັນຈໍາເປັນຕ້ອງໄດ້ຖອນໃບຢັ້ງຢືນນີ້:

cd /usr/share/easy-rsa/3/
./easyrsa revoke my-first-user
./easyrsa gen-crl

ເບິ່ງໃບຮັບຮອງທີ່ອອກ ແລະຖອນຄືນ

ເພື່ອເບິ່ງໃບຢັ້ງຢືນທີ່ອອກແລະຖອນຄືນ, ພຽງແຕ່ເບິ່ງໄຟລ໌ດັດສະນີ:

cd /usr/share/easy-rsa/3/
cat pki/index.txt

ຄຳ ອະທິບາຍ:

ແຖວທໍາອິດແມ່ນໃບຢັ້ງຢືນເຄື່ອງແມ່ຂ່າຍ;
ລັກສະນະທໍາອິດ
- V (ຖືກຕ້ອງ) - ຖືກຕ້ອງ;
- R (ຖອນຄືນ) - ເອີ້ນຄືນ.

ການຕັ້ງຄ່າເຄືອຂ່າຍ

ຂັ້ນຕອນສຸດທ້າຍແມ່ນການຕັ້ງຄ່າເຄືອຂ່າຍສາຍສົ່ງ - routing ແລະ firewalls.

ອະນຸຍາດໃຫ້ເຊື່ອມຕໍ່ໃນ Firewall ທ້ອງຖິ່ນ:

$ sudo firewall-cmd --add-service=openvpn
$ sudo firewall-cmd --add-service=openvpn --permanent

ຕໍ່ໄປ, ເປີດໃຊ້ເສັ້ນທາງການສັນຈອນ IP:

$ sudo sysctl net.ipv4.ip_forward=1
$ sudo echo "net.ipv4.ip_forward=1" > /etc/sysctl.d/50-sysctl.conf

ໃນສະພາບແວດລ້ອມຂອງບໍລິສັດ, ມີແນວໂນ້ມທີ່ຈະມີ subnetting ແລະພວກເຮົາຈໍາເປັນຕ້ອງໄດ້ບອກ router (s) ວິທີການສົ່ງ packets ປາຍທາງສໍາລັບລູກຄ້າ VPN ຂອງພວກເຮົາ. ໃນເສັ້ນຄໍາສັ່ງພວກເຮົາປະຕິບັດຄໍາສັ່ງໃນລັກສະນະ (ຂຶ້ນກັບອຸປະກອນທີ່ໃຊ້):

# ip route 172.16.20.0 255.255.254.0 172.16.19.123

ແລະບັນທຶກການຕັ້ງຄ່າ.

ນອກຈາກນັ້ນ, ໃນການໂຕ້ຕອບ router ຊາຍແດນທີ່ gw.abc.ru ທີ່ຢູ່ພາຍນອກແມ່ນໃຫ້ບໍລິການ, ມັນຈໍາເປັນຕ້ອງອະນຸຍາດໃຫ້ຜ່ານແພັກເກັດ udp/1194.

ໃນກໍລະນີທີ່ອົງການມີກົດລະບຽບຄວາມປອດໄພທີ່ເຂັ້ມງວດ, ໄຟວໍຕ້ອງຖືກຕັ້ງຄ່າຢູ່ໃນເຄື່ອງແມ່ຂ່າຍ VPN ຂອງພວກເຮົາເຊັ່ນກັນ. ໃນຄວາມຄິດເຫັນຂອງຂ້ອຍ, ຄວາມຍືດຫຍຸ່ນສູງສຸດແມ່ນສະຫນອງໃຫ້ໂດຍການຕັ້ງຄ່າ iptables FORWARD chains, ເຖິງແມ່ນວ່າການຕັ້ງພວກມັນແມ່ນສະດວກຫນ້ອຍ. ອີກເລັກນ້ອຍກ່ຽວກັບການຕັ້ງພວກມັນ. ເພື່ອເຮັດສິ່ງນີ້, ມັນສະດວກທີ່ສຸດທີ່ຈະໃຊ້ "ກົດລະບຽບໂດຍກົງ" - ກົດລະບຽບໂດຍກົງ, ເກັບໄວ້ໃນເອກະສານ /etc/firewalld/direct.xml. ການຕັ້ງຄ່າໃນປັດຈຸບັນຂອງກົດລະບຽບສາມາດພົບເຫັນດັ່ງຕໍ່ໄປນີ້:

$ sudo firewall-cmd --direct --get-all-rule

ກ່ອນທີ່ຈະປ່ຽນໄຟລ໌, ໃຫ້ເຮັດສໍາເນົາສໍາຮອງຂອງມັນ:

cp /etc/firewalld/direct.xml /etc/firewalld/direct.xml.`date +%F.%T`.bak

ເນື້ອໃນໂດຍປະມານຂອງໄຟລ໌ແມ່ນ:

<?xml version="1.0" encoding="utf-8"?>
<direct>
 <!--Common Remote Services-->
  <!--DNS-->
    <rule priority="0" table="filter" ipv="ipv4" chain="FORWARD">-i tun0 -o ens192 -p udp --dport 53 -j ACCEPT</rule>
  <!--web-->
    <rule priority="0" table="filter" ipv="ipv4" chain="FORWARD">-i tun0 -o eth0 -p tcp -d 172.16.19.200 --dport 80 -m state --state NEW,RELATED,ESTABLISHED -j ACCEPT</rule>
    <rule priority="0" table="filter" ipv="ipv4" chain="FORWARD">-i tun0 -o eth0 -p tcp -d 172.16.19.201 --dport 443 -m state --state NEW,RELATED,ESTABLISHED -j ACCEPT</rule>
  <!--Some Other Systems-->
    <rule priority="0" table="filter" ipv="ipv4" chain="FORWARD">-i tun0 -o eth0 -p udp -d 172.16.19.100 --dport 7000 -m state --state NEW,RELATED,ESTABLISHED -j ACCEPT</rule>
  <!--just logging-->
    <rule priority="1" table="filter" ipv="ipv4" chain="FORWARD">-i tun0 -o eth0 -j LOG --log-prefix 'forward_fw '</rule>
</direct>

ຄໍາອະທິບາຍ

ເຫຼົ່ານີ້ແມ່ນກົດລະບຽບ iptables ປົກກະຕິ, ຖ້າບໍ່ດັ່ງນັ້ນຈະຖືກຫຸ້ມຫໍ່ຫຼັງຈາກການມາເຖິງຂອງ firewalld.

ການໂຕ້ຕອບປາຍທາງທີ່ມີການຕັ້ງຄ່າເລີ່ມຕົ້ນແມ່ນ tun0, ແລະສ່ວນຕິດຕໍ່ພາຍນອກສໍາລັບອຸໂມງອາດຈະແຕກຕ່າງກັນ, ຕົວຢ່າງ, ens192, ຂຶ້ນກັບເວທີທີ່ໃຊ້.

ເສັ້ນສຸດທ້າຍແມ່ນສໍາລັບການບັນທຶກຊຸດທີ່ຫຼຸດລົງ. ສໍາລັບການບັນທຶກເພື່ອເຮັດວຽກ, ທ່ານຈໍາເປັນຕ້ອງໄດ້ປ່ຽນລະດັບການດີບັກໃນການຕັ້ງຄ່າ firewalld:

vim /etc/sysconfig/firewalld
FIREWALLD_ARGS=--debug=2

ການນຳໃຊ້ການຕັ້ງຄ່າແມ່ນຄຳສັ່ງ firewalld ປົກກະຕິເພື່ອອ່ານການຕັ້ງຄ່າຄືນໃໝ່:

$ sudo firewall-cmd --reload

ທ່ານສາມາດເບິ່ງຊຸດທີ່ຫຼຸດລົງເຊັ່ນນີ້:

grep forward_fw /var/log/messages

ມີຫຍັງຕໍ່ໄປ

ອັນນີ້ເຮັດສຳເລັດການຕິດຕັ້ງ!

ທັງຫມົດທີ່ຍັງເຫຼືອແມ່ນການຕິດຕັ້ງຊອບແວລູກຄ້າໃນຝ່າຍລູກຄ້າ, ນໍາເຂົ້າໂປຣໄຟລ໌ແລະເຊື່ອມຕໍ່. ສໍາລັບລະບົບປະຕິບັດການ Windows, ຊຸດແຈກຢາຍແມ່ນຕັ້ງຢູ່ເທິງ ເວັບໄຊທ໌ນັກພັດທະນາ.

ສຸດທ້າຍ, ພວກເຮົາເຊື່ອມຕໍ່ເຄື່ອງແມ່ຂ່າຍໃຫມ່ຂອງພວກເຮົາກັບລະບົບການຕິດຕາມແລະການເກັບຂໍ້ມູນ, ແລະຢ່າລືມຕິດຕັ້ງການປັບປຸງເປັນປະຈໍາ.

ການເຊື່ອມຕໍ່ທີ່ຫມັ້ນຄົງ!

ແຫຼ່ງຂໍ້ມູນ: www.habr.com

ການຈັດຕັ້ງການເຮັດວຽກທາງໄກຂອງອົງການ SMB ໃນ OpenVPN