Hailbytes VPN ከFirezone ፋየርዎል ሰነድ ጋር

አጅማመር

Hailbytes VPN ከFirezone GUI ጋር ለማሰማራት የደረጃ በደረጃ መመሪያዎች እዚህ ቀርበዋል።

አስተዳዳሪ፡ የአገልጋይ ምሳሌን ማዋቀር በቀጥታ ከዚህ ክፍል ጋር የተያያዘ ነው።

የተጠቃሚ መመሪያዎች፡ Firezoneን እንዴት መጠቀም እንደሚችሉ እና የተለመዱ ችግሮችን ለመፍታት የሚያስተምሩዎት ጠቃሚ ሰነዶች። አገልጋዩ በተሳካ ሁኔታ ከተሰማራ በኋላ፣ ይህንን ክፍል ይመልከቱ።

ለጋራ ውቅረቶች መመሪያዎች

የተከፈለ መሿለኪያ፡ ትራፊክን ወደ ተወሰኑ የአይፒ ክልሎች ለመላክ ቪፒኤንን ይጠቀሙ።

የተፈቀደላቸው ዝርዝር፡ የተፈቀደላቸው ዝርዝርን ለመጠቀም የቪፒኤን አገልጋይ የማይንቀሳቀስ አይፒ አድራሻ ያዘጋጁ።

የተገላቢጦሽ ዋሻዎች፡ ተገላቢጦሽ ዋሻዎችን በመጠቀም በበርካታ እኩዮች መካከል ዋሻዎችን ይፍጠሩ።

ድጋፍ ያግኙ

Hailbytes VPNን ለመጫን፣ ለማበጀት ወይም ለመጠቀም እርዳታ ከፈለጉ እርስዎን ለማገዝ ደስተኞች ነን።

ማረጋገጫ

ተጠቃሚዎች የመሣሪያ ውቅር ፋይሎችን ማምረት ወይም ማውረድ ከመቻላቸው በፊት፣Firezone ማረጋገጥ እንዲፈልግ ሊዋቀር ይችላል። ተጠቃሚዎች የቪፒኤን ግንኙነታቸውን ንቁ ሆነው ለማቆየት በየጊዜው እንደገና ማረጋገጥ ያስፈልጋቸው ይሆናል።

ምንም እንኳን የFirezone ነባሪ የመግቢያ ዘዴ የአካባቢ ኢሜይል እና የይለፍ ቃል ቢሆንም፣ ከማንኛውም መደበኛ የ OpenID Connect (OIDC) መታወቂያ አቅራቢ ጋር ሊጣመር ይችላል። ተጠቃሚዎች Okta፣ Google፣ Azure AD ወይም የግል መታወቂያ አቅራቢዎችን በመጠቀም አሁን ወደ Firezone መግባት ይችላሉ።

አጠቃላይ የOIDC አቅራቢን ያዋህዱ

የOIDC አቅራቢን በመጠቀም SSO ለመፍቀድ በFirezone የሚያስፈልጉት የውቅረት መለኪያዎች ከዚህ በታች ባለው ምሳሌ ይታያሉ። በ /etc/firezone/firezone.rb, የማዋቀር ፋይሉን ሊያገኙ ይችላሉ. አፕሊኬሽኑን ለማዘመን እና ለውጦችን ተግባራዊ ለማድረግ Firezone-ctl reconfigureን ያሂዱ እና Firezone-ctl እንደገና ያስጀምሩ።

# ይህ ጎግል እና ኦክታ እንደ ኤስኤስኦ መታወቂያ አቅራቢነት በመጠቀም ምሳሌ ነው።

# በርካታ የOIDC ውቅሮች ወደ ተመሳሳይ የFirezone ምሳሌ ሊጨመሩ ይችላሉ።

በመሞከር ላይ የሆነ ስህተት ከተገኘ # Firezone የተጠቃሚውን ቪፒኤን ማሰናከል ይችላል።

# የመዳረሻ_ቶከናቸውን ለማደስ። ይሄ ለGoogle፣ Okta እና ለመስራት የተረጋገጠ ነው።

# Azure SSO እና የተጠቃሚውን ቪፒኤን ከተወገዱ በራስ-ሰር ለማቋረጥ ይጠቅማል

# ከOIDC አቅራቢ። የOIDC አቅራቢዎ ከሆነ ይህንን የአካል ጉዳተኛ ይተዉት።

ሳይታሰብ ሊያቋርጥ ስለሚችል # መንፈስን የሚያድስ የመዳረሻ ምልክቶች አሉት

# የተጠቃሚ VPN ክፍለ ጊዜ።

ነባሪ['firezone']['ማረጋገጫ']['vpn_on_oidc_error' አሰናክል'] = ሐሰት

ነባሪ['firezone']['ማረጋገጫ']['oidc'] = {

በጉግል መፈለግ: {

discovery_document_uri፡ “https://accounts.google.com/.well-known/openid-configuration”፣

ደንበኛ_መታወቂያ፡" ”፣

የደንበኛ_ሚስጥር፡" ”፣

redirect_uri፡ “https://instance-id.yourfirezone.com/auth/oidc/google/callback/”፣

ምላሽ_አይነት፡ “ኮድ”፣

ወሰን: "ክፍት የኢሜይል መገለጫ",

መለያ: "Google"

እሺ: {

ግኝት_ሰነድ_uri፡ "https:// /.የሚታወቅ/ክፍት-ውቅር”፣

ደንበኛ_መታወቂያ፡" ”፣

የደንበኛ_ሚስጥር፡" ”፣

redirect_uri፡ “https://instance-id.yourfirezone.com/auth/oidc/okta/callback/”፣

ምላሽ_አይነት፡ “ኮድ”፣

ወሰን፡ “ክፍት የኢሜይል መገለጫ ከመስመር ውጭ_መዳረሻ”፣

መለያ: "ኦክታ"

}

ለውህደቱ የሚከተሉት የማዋቀር ቅንጅቶች ያስፈልጋሉ።

discovery_document_uri: የ የክፍት መታወቂያ አገናኝ አቅራቢ ውቅር URI ተከታይ ጥያቄዎችን ለዚህ OIDC አቅራቢ ለመገንባት የሚያገለግል የJSON ሰነድ ይመልሳል።
client_id: የመተግበሪያው ደንበኛ መታወቂያ።
ደንበኛ_ሚስጥር፡ የመተግበሪያው ደንበኛ ሚስጥር።
redirect_uri፡ የOIDC አቅራቢን ከማረጋገጫ በኋላ የት አቅጣጫ መቀየር እንዳለበት ያስተምራል። ይህ የእርስዎ Firezone EXTERNAL_URL + /auth/oidc/ መሆን አለበት /callback/ (ለምሳሌ https://instance-id.yourfirezone.com/auth/oidc/google/callback/)።
ምላሽ_አይነት፡ ወደ ኮድ አዘጋጅ።
ወሰን፡ OIDC ወሰኖች ከእርስዎ OIDC አቅራቢ ለማግኘት። ይህ በአቅራቢው ላይ በመመስረት ወደ ክፍት ኢሜል መገለጫ ወይም ክፍት ኢሜል መገለጫ ከመስመር_መዳረሻ ጋር መቀናበር አለበት።
መለያ፡ በFirezone መግቢያ ስክሪን ላይ የሚታየው የአዝራር መለያ ጽሑፍ።

ቆንጆ ዩአርኤሎች

ለእያንዳንዱ የOIDC አቅራቢ ወደ የተዋቀረው የአቅራቢው መግቢያ ዩአርኤል ለመምራት ተጓዳኝ ቆንጆ ዩአርኤል ተፈጥሯል። ከላይ ላለው የOIDC ውቅር፣ ዩአርኤሎቹ የሚከተሉት ናቸው፡-

https://instance-id.yourfirezone.com/auth/oidc/google
https://instance-id.yourfirezone.com/auth/oidc/okta

ከታዋቂ የማንነት አቅራቢዎች ጋር ለFirezone ማዋቀር መመሪያዎች

አቅራቢዎች ለሚከተሉት ሰነዶች አሉን፦

google
Okta
አዙር አክቲቭ ማውጫ
Onelogin
አካባቢያዊ ማረጋገጫ

የመታወቂያ አቅራቢዎ አጠቃላይ የOIDC አያያዥ ካለው እና ከላይ ካልተዘረዘረ፣ እባክዎን አስፈላጊውን የውቅረት መቼቶች እንዴት ማምጣት እንደሚችሉ መረጃ ለማግኘት ወደ ሰነዳቸው ይሂዱ።

በመደበኛነት እንደገና ማረጋገጥን ያቆዩ

በቅንብሮች/ደህንነት ስር ያለው መቼት በየጊዜው እንደገና ማረጋገጥ እንዲፈልግ ሊቀየር ይችላል። ይህ ተጠቃሚዎች የቪፒኤን ክፍለ ጊዜያቸውን ለመቀጠል በመደበኛነት ወደ Firezone የሚገቡትን መስፈርት ለማስፈጸም ሊያገለግል ይችላል።

የክፍለ ጊዜው ርዝመት ከአንድ ሰዓት እስከ ዘጠና ቀናት መካከል እንዲሆን ሊዋቀር ይችላል. ይህንን በጭራሽ ወደ በጭራሽ በማቀናበር የቪፒኤን ክፍለ ጊዜዎችን በማንኛውም ጊዜ ማንቃት ይችላሉ። መስፈርቱ ይህ ነው።

እንደገና ማረጋገጥ

አንድ ተጠቃሚ ጊዜው ያለፈበትን የቪፒኤን ክፍለ ጊዜ (በተሰማራ ጊዜ የተገለጸ ዩአርኤል) እንደገና ለማረጋገጥ የቪፒኤን ክፍለ ጊዜያቸውን ማቋረጥ እና ወደ Firezone portal መግባት አለበት።

እዚህ የሚገኙትን ትክክለኛ የደንበኛ መመሪያዎችን በመከተል ክፍለ ጊዜዎን እንደገና ማረጋገጥ ይችላሉ።

የቪፒኤን ግንኙነት ሁኔታ

የተጠቃሚው ገጽ የቪፒኤን የግንኙነት ሰንጠረዥ አምድ የተጠቃሚውን ግንኙነት ሁኔታ ያሳያል። የግንኙነት ሁኔታዎች እነዚህ ናቸው

ነቅቷል - ግንኙነቱ ነቅቷል.

ተሰናክሏል - ግንኙነቱ በአስተዳዳሪው ተሰናክሏል ወይም OIDC አድስ አለመሳካቱ።

ጊዜው ያለፈበት - በማረጋገጫው ማብቂያ ምክንያት ግንኙነቱ ተሰናክሏል ወይም አንድ ተጠቃሚ ለመጀመሪያ ጊዜ አልገባም።

google

በአጠቃላይ የOIDC አያያዥ በኩል ፋየርዞን ነጠላ መግቢያ (SSO)ን ከGoogle Workspace እና Cloud Identity ጋር ያስችላል። ይህ መመሪያ ለውህደት አስፈላጊ የሆኑትን ከዚህ በታች የተዘረዘሩትን የውቅር መለኪያዎች እንዴት ማግኘት እንደሚችሉ ያሳየዎታል፡

discovery_document_uri: የ የክፍት መታወቂያ አገናኝ አቅራቢ ውቅር URI ተከታይ ጥያቄዎችን ለዚህ OIDC አቅራቢ ለመገንባት የሚያገለግል የJSON ሰነድ ይመልሳል።
client_id: የመተግበሪያው ደንበኛ መታወቂያ።
ደንበኛ_ሚስጥር፡ የመተግበሪያው ደንበኛ ሚስጥር።
redirect_uri፡ የOIDC አቅራቢን ከማረጋገጫ በኋላ የት አቅጣጫ መቀየር እንዳለበት ያስተምራል። ይህ የእርስዎ Firezone EXTERNAL_URL + /auth/oidc/ መሆን አለበት /callback/ (ለምሳሌ https://instance-id.yourfirezone.com/auth/oidc/google/callback/)።
ምላሽ_አይነት፡ ወደ ኮድ አዘጋጅ።
ወሰን፡ OIDC ወሰኖች ከእርስዎ OIDC አቅራቢ ለማግኘት። ይህ በተመለሱት የይገባኛል ጥያቄዎች ውስጥ ለFirezone የተጠቃሚውን ኢሜይል ለማቅረብ ወደ ክፍት የኢሜይል መገለጫ መዋቀር አለበት።
መለያ፡ በFirezone መግቢያ ስክሪን ላይ የሚታየው የአዝራር መለያ ጽሑፍ።

የማዋቀር ቅንብሮችን ያግኙ

1. OAuth Config Screen</s>

አዲስ የOAuth ደንበኛ መታወቂያ ሲፈጥሩ ለመጀመሪያ ጊዜ ከሆነ የፍቃድ ስክሪን እንዲያዋቅሩ ይጠየቃሉ።

* ለተጠቃሚው አይነት ውስጣዊ ይምረጡ። ይህ በእርስዎ Google Workspace ድርጅት ውስጥ ያሉ የተጠቃሚዎች መለያዎች የመሣሪያ ውቅሮችን መፍጠር እንደሚችሉ ያረጋግጣል። የሚሰራ የጉግል መለያ ያለው ማንኛውም ሰው የመሣሪያ ውቅሮችን እንዲፈጥር ካልፈለጉ በስተቀር ውጫዊን አይምረጡ።

በመተግበሪያው መረጃ ማያ ገጽ ላይ፡-

የመተግበሪያ ስም: Firezone
የመተግበሪያ አርማ Firezone አርማ (አገናኙን አስቀምጥ እንደ)።
የመተግበሪያ መነሻ ገጽ፡ የFirezone ምሳሌህ URL።
የተፈቀዱ ጎራዎች፡ የእርስዎ የFirezone ምሳሌ ከፍተኛ ደረጃ ጎራ።

2. የOAuth ደንበኛ መታወቂያዎችን ይፍጠሩ</s>

ይህ ክፍል በGoogle በራሱ ሰነድ ላይ የተመሰረተ ነው። OAuth 2.0 ማዋቀር.

Google Cloud Consoleን ይጎብኙ የምስክር ወረቀቶች ገጽ ገጽ፣ + ምስክርነቶችን ፍጠር የሚለውን ጠቅ ያድርጉ እና የOAuth ደንበኛ መታወቂያን ይምረጡ።

በOAuth ደንበኛ መታወቂያ ስክሪን ላይ፡-

የመተግበሪያ ዓይነትን ወደ ድር መተግበሪያ ያቀናብሩ
ወደ ተፈቀደላቸው የማዘዋወር URIs ግቤት የእርስዎን Firezone EXTERNAL_URL + /auth/oidc/google/callback/ (ለምሳሌ https://instance-id.yourfirezone.com/auth/oidc/google/callback/) ያክሉ።

የOAuth ደንበኛ መታወቂያ ከፈጠሩ በኋላ የደንበኛ መታወቂያ እና የደንበኛ ሚስጥር ይሰጥዎታል። እነዚህ በሚቀጥለው ደረጃ ከተዘዋዋሪ URI ጋር አብረው ጥቅም ላይ ይውላሉ።

Firezone ውህደት

አርትዕ /ወዘተ/firezone/firezone.rb ከታች ያሉትን አማራጮች ለማካተት፡-

# ጎግልን እንደ ኤስኤስኦ ማንነት አቅራቢነት መጠቀም

ነባሪ['firezone']['ማረጋገጫ']['oidc'] = {

በጉግል መፈለግ: {

discovery_document_uri፡ “https://accounts.google.com/.well-known/openid-configuration”፣

ደንበኛ_መታወቂያ፡" ”፣

የደንበኛ_ሚስጥር፡" ”፣

redirect_uri፡ “https://instance-id.yourfirezone.com/auth/oidc/google/callback/”፣

ምላሽ_አይነት፡ “ኮድ”፣

ወሰን: "ክፍት የኢሜይል መገለጫ",

መለያ: "Google"

}

አፕሊኬሽኑን ለማዘመን Firezone-ctl reconfigureን ያሂዱ እና Firezone-ctl እንደገና ያስጀምሩ። አሁን በፋየርዞን ዩአርኤል ስር ጎግል ግባን ማየት አለብህ።

Okta

Firezone ከOkta ጋር ነጠላ መግቢያ (SSO)ን ለማመቻቸት አጠቃላይ የOIDC አያያዥን ይጠቀማል። ይህ አጋዥ ስልጠና ከዚህ በታች የተዘረዘሩትን የውህደት መለኪያዎች እንዴት ማግኘት እንደሚችሉ ያሳየዎታል፣ ይህም ውህደቱ አስፈላጊ የሆኑትን፡

discovery_document_uri: የ የክፍት መታወቂያ አገናኝ አቅራቢ ውቅር URI ተከታይ ጥያቄዎችን ለዚህ OIDC አቅራቢ ለመገንባት የሚያገለግል የJSON ሰነድ ይመልሳል።
client_id: የመተግበሪያው ደንበኛ መታወቂያ።
ደንበኛ_ሚስጥር፡ የመተግበሪያው ደንበኛ ሚስጥር።
redirect_uri፡ የOIDC አቅራቢን ከማረጋገጫ በኋላ የት አቅጣጫ መቀየር እንዳለበት ያስተምራል። ይህ የእርስዎ Firezone EXTERNAL_URL + /auth/oidc/ መሆን አለበት /callback/ (ለምሳሌ https://instance-id.yourfirezone.com/auth/oidc/okta/callback/)።
ምላሽ_አይነት፡ ወደ ኮድ አዘጋጅ።
ወሰን፡ OIDC ወሰኖች ከእርስዎ OIDC አቅራቢ ለማግኘት። ይህ በተመለሱት የይገባኛል ጥያቄዎች ውስጥ ፋየርዞን የተጠቃሚውን ኢሜይል ለማቅረብ ከመስመር ውጭ_መዳረሻ ወደተከፈተ የኢሜይል መገለጫ መቀናበር አለበት።
መለያ፡ በFirezone መግቢያ ስክሪን ላይ የሚታየው የአዝራር መለያ ጽሑፍ።

Okta መተግበሪያን ያዋህዱ

ይህ የመመሪያው ክፍል የተመሰረተው የኦክታ ሰነድ.

በአስተዳዳሪ ኮንሶል ውስጥ ወደ መተግበሪያዎች > መተግበሪያዎች ይሂዱ እና የመተግበሪያ ውህደትን ፍጠር የሚለውን ጠቅ ያድርጉ። የመግባት ዘዴን ወደ OICD - OpenID Connect እና የመተግበሪያ አይነትን ወደ ድር መተግበሪያ ያቀናብሩ።

እነዚህን ቅንብሮች አዋቅር፡

የመተግበሪያ ስም: Firezone
የመተግበሪያ አርማ Firezone አርማ (አገናኙን አስቀምጥ እንደ)።
የስጦታ አይነት፡ የማደስ ማስመሰያ ሳጥኑን ምልክት ያድርጉ። ይህ Firezone ከማንነት አቅራቢው ጋር መመሳሰሉን ያረጋግጣል እና ተጠቃሚው ከተወገደ በኋላ የቪፒኤን መዳረሻ መቋረጡን ያረጋግጣል።
የመግቢያ አቅጣጫ ማዘዋወር URIs፡ ወደ ተፈቀደላቸው የማዘዋወር URIs ግቤት የእርስዎን Firezone EXTERNAL_URL + /auth/oidc/okta/callback/ (ለምሳሌ https://instance-id.yourfirezone.com/auth/oidc/okta/callback/) ያክሉ .
ምደባዎች፡ ወደ የFirezone ምሳሌነትዎ መዳረሻ ለመስጠት ለሚፈልጓቸው ቡድኖች ይገድቡ።

አንዴ ቅንጅቶች ከተቀመጡ፣ የደንበኛ መታወቂያ፣ የደንበኛ ሚስጥር እና Okta Domain ይሰጥዎታል። እነዚህ 3 እሴቶች Firezoneን ለማዋቀር በደረጃ 2 ውስጥ ጥቅም ላይ ይውላሉ።

Firezoneን ያዋህዱ

አርትዕ /ወዘተ/firezone/firezone.rb ከታች ያሉትን አማራጮች ለማካተት. ያንተ የማግኘት_ሰነድ_url ይሆናል /. በደንብ የሚታወቅ / ክፍት-ውቅር በእርስዎ መጨረሻ ላይ ተያይዟል okta_ጎራ.

# Oktaን እንደ ኤስኤስኦ መታወቂያ አቅራቢ መጠቀም

ነባሪ['firezone']['ማረጋገጫ']['oidc'] = {

እሺ: {

ግኝት_ሰነድ_uri፡ "https:// /.የሚታወቅ/ክፍት-ውቅር”፣

ደንበኛ_መታወቂያ፡" ”፣

የደንበኛ_ሚስጥር፡" ”፣

redirect_uri፡ “https://instance-id.yourfirezone.com/auth/oidc/okta/callback/”፣

ምላሽ_አይነት፡ “ኮድ”፣

ወሰን፡ “ክፍት የኢሜይል መገለጫ ከመስመር ውጭ_መዳረሻ”፣

መለያ: "ኦክታ"

}

አፕሊኬሽኑን ለማዘመን Firezone-ctl reconfigureን ያሂዱ እና Firezone-ctl እንደገና ያስጀምሩ። አሁን በFirezone URL ስር በ Okta ግባ ቁልፍ ማየት አለብህ።

ለተወሰኑ ተጠቃሚዎች መዳረሻን ገድብ

የFirezone መተግበሪያን መድረስ የሚችሉ ተጠቃሚዎች በOkta ሊገደቡ ይችላሉ። ይህንን ለመፈጸም ወደ የእርስዎ Okta Admin Console's Firezone App Integration's Assignments ገጽ ይሂዱ።

አዙር አክቲቭ ማውጫ

በጠቅላላ OIDC አያያዥ በኩል፣Firezone ነጠላ መግቢያን (SSO)ን ከአዙሬ አክቲቭ ዳይሬክተሩ ጋር ያነቃል። ይህ ማኑዋል ለውህደት አስፈላጊ የሆኑትን ከዚህ በታች የተዘረዘሩትን የውቅር መለኪያዎች እንዴት ማግኘት እንደሚችሉ ያሳየዎታል፡

discovery_document_uri: የ የክፍት መታወቂያ አገናኝ አቅራቢ ውቅር URI ተከታይ ጥያቄዎችን ለዚህ OIDC አቅራቢ ለመገንባት የሚያገለግል የJSON ሰነድ ይመልሳል።
client_id: የመተግበሪያው ደንበኛ መታወቂያ።
ደንበኛ_ሚስጥር፡ የመተግበሪያው ደንበኛ ሚስጥር።
redirect_uri፡ የOIDC አቅራቢን ከማረጋገጫ በኋላ የት አቅጣጫ መቀየር እንዳለበት ያስተምራል። ይህ የእርስዎ Firezone EXTERNAL_URL + /auth/oidc/ መሆን አለበት /callback/ (ለምሳሌ https://instance-id.yourfirezone.com/auth/oidc/azure/callback/)።
ምላሽ_አይነት፡ ወደ ኮድ አዘጋጅ።
ወሰን፡ OIDC ወሰኖች ከእርስዎ OIDC አቅራቢ ለማግኘት። ይህ በተመለሱት የይገባኛል ጥያቄዎች ውስጥ ፋየርዞን የተጠቃሚውን ኢሜይል ለማቅረብ ከመስመር ውጭ_መዳረሻ ወደተከፈተ የኢሜይል መገለጫ መቀናበር አለበት።
መለያ፡ በFirezone መግቢያ ስክሪን ላይ የሚታየው የአዝራር መለያ ጽሑፍ።

የማዋቀር ቅንብሮችን ያግኙ

ይህ መመሪያ የተወሰደው ከ Azure ንቁ ማውጫ ሰነዶች.

ወደ Azure portal's Azure Active Directory ገጽ ይሂዱ። የማኔጅ ሜኑ አማራጭን ምረጥ፣ አዲስ ምዝገባን ምረጥ፣ በመቀጠልም ከዚህ በታች ያለውን መረጃ በማቅረብ ይመዝገቡ።

ስም: Firezone
የሚደገፉ የመለያ ዓይነቶች፡ (ነባሪ ማውጫ ብቻ - ነጠላ ተከራይ)
URI ማዘዋወር፡ ይህ የእርስዎ የእሳት ዞን EXTERNAL_URL + /auth/oidc/azure/callback/ (ለምሳሌ https://instance-id.yourfirezone.com/auth/oidc/azure/callback/) መሆን አለበት። የኋለኛውን ስሌሽን ማካተትዎን ያረጋግጡ። ይህ የredirect_uri እሴት ይሆናል።

ከተመዘገቡ በኋላ የመተግበሪያውን ዝርዝር እይታ ይክፈቱ እና ቅጂውን ይቅዱ የመተግበሪያ (የደንበኛ) መታወቂያ. ይህ የደንበኛ_መታወቂያ ዋጋ ይሆናል። በመቀጠል፣ ለማንሳት የማብቂያ ነጥቦችን ሜኑ ይክፈቱ ክፍት መታወቂያ አገናኝ ሜታዳታ ሰነድ. ይህ የግኝት_ሰነድ_uri እሴት ይሆናል።

በማስተዳደር ሜኑ ስር የምስክር ወረቀቶች እና ሚስጥሮች ምርጫን ጠቅ በማድረግ አዲስ የደንበኛ ሚስጥር ይፍጠሩ። የደንበኛውን ሚስጥር ይቅዱ; የደንበኛው ሚስጥራዊ ዋጋ ይህ ይሆናል.

በመጨረሻ፣ በአስተዳዳሪ ምናሌው ስር የኤፒአይ ፈቃዶችን አገናኝ ይምረጡ፣ ጠቅ ያድርጉ ፍቃድ ጨምር, እና ይምረጡ ማይክሮሶፍት ግራፍ, ያክሉ ኢሜይል, ክፍት, ከመስመር ውጭ_መዳረሻ ና ባንድ በኩል የሆነ መልክ ወደሚፈለጉት ፍቃዶች.

Firezone ውህደት

አርትዕ /ወዘተ/firezone/firezone.rb ከታች ያሉትን አማራጮች ለማካተት፡-

# Azure Active Directory እንደ SSO መታወቂያ አቅራቢ መጠቀም

ነባሪ['firezone']['ማረጋገጫ']['oidc'] = {

Azure: {

discovery_document_uri፡ “https://login.microsoftonline.com/ /v2.0/.የሚታወቅ/ክፍት-ውቅር”፣

ደንበኛ_መታወቂያ፡" ”፣

የደንበኛ_ሚስጥር፡" ”፣

redirect_uri፡ "https://instance-id.yourfirezone.com/auth/oidc/azure/callback/"፣

ምላሽ_አይነት፡ “ኮድ”፣

ወሰን፡ “ክፍት የኢሜይል መገለጫ ከመስመር ውጭ_መዳረሻ”፣

መለያ: "አዙር"

}

አፕሊኬሽኑን ለማዘመን Firezone-ctl reconfigureን ያሂዱ እና Firezone-ctl እንደገና ያስጀምሩ። አሁን በፋየርዞን ዩአርኤል ስር በ Azure ግባ ቁልፍ ማየት አለብህ።

እንዴት ማድረግ እንደሚቻል፡ ለተወሰኑ አባላት መዳረሻን መገደብ

Azure AD አስተዳዳሪዎች በድርጅትዎ ውስጥ ያሉ የተጠቃሚዎች ቡድን የመተግበሪያ መዳረሻን እንዲገድቡ ያስችላቸዋል። ይህንን እንዴት ማድረግ እንደሚቻል ተጨማሪ መረጃ በማይክሮሶፍት ሰነዶች ውስጥ ይገኛል።

አስተዳድር

አዋቅር
መጫኑን ያስተዳድሩ
አሻሽል
መላ ፈልግ
የደህንነት ከግምት
የSQL ጥያቄዎችን በማሄድ ላይ

አዋቅር

Chef Omnibus የመልቀቂያ ማሸጊያ፣ የሂደት ቁጥጥር፣ የምዝግብ ማስታወሻ አስተዳደር እና ሌሎችንም ጨምሮ ተግባሮችን ለማስተዳደር በFirezone ይጠቀማል።

Ruby code በ /etc/firezone/firezone.rb ላይ የሚገኘውን ዋናውን የማዋቀሪያ ፋይል ይይዛል። በዚህ ፋይል ላይ ማሻሻያዎችን ካደረጉ በኋላ sudo firezone-ctl reconfigureን እንደገና ማስጀመር ሼፍ ለውጦቹን አውቆ አሁን ባለው ስርዓተ ክወና ላይ እንዲተገበር ያደርጋል።

ለተሟላ የውቅር ተለዋዋጮች ዝርዝር እና መግለጫዎቻቸው የማዋቀሪያ ፋይል ማጣቀሻን ይመልከቱ።

መጫኑን ያስተዳድሩ

የFirezone ምሳሌ በ firezone-ctl ከታች እንደሚታየው ትዕዛዝ. አብዛኛዎቹ ንዑስ ትዕዛዞች ቅድመ ቅጥያ ያስፈልጋቸዋል sudo.

root@demo:~# firezone-ctl

omnibus-ctl: ትዕዛዝ (ንዑስ ትዕዛዝ)

አጠቃላይ ትዕዛዞች፡-

ፈሳሽ

*ሁሉንም* firezone ውሂብ ሰርዝ እና ከባዶ ጀምር።

መፍጠር-ወይም-ዳግም አስጀምር-አስተዳዳሪ

የአስተዳዳሪውን ይለፍ ቃል በነባሪነት በተገለጸው ኢሜይል ['firezone']['admin_email'] ያስጀምረዋል ወይም ኢሜል ከሌለ አዲስ አስተዳዳሪ ይፈጥራል።

እርዳታ

ይህን የእርዳታ መልእክት ያትሙ።

እንደገና ማዋቀር

መተግበሪያውን እንደገና ያዋቅሩት.

ዳግም አስጀምር-አውታረ መረብ

nftablesን፣ WireGuard በይነገጽን እና የማዞሪያ ሰንጠረዡን ወደ የFirezone ነባሪዎች መልሶ ያዘጋጃል።

አሳይ-ውቅር

እንደገና በማዋቀር የሚፈጠረውን ውቅረት አሳይ።

እንባ - አውታር

የ WireGuard በይነገጽን እና firezone nftables ሠንጠረዥን ያስወግዳል።

አስገድድ-ሰርት-እድሳት

የእውቅና ማረጋገጫው ጊዜው ያላለፈበት ቢሆንም አሁን እድሳትን ያስገድዱ።

ማቆሚያ-ሰርት-እድሳት

የምስክር ወረቀቶችን የሚያድስ ክሮንጆብን ያስወግዳል።

አራግፍ

ሁሉንም ሂደቶች ይገድሉ እና የሂደቱን ተቆጣጣሪ ያራግፉ (ውሂቡ ይቀመጣል)።

ትርጉም

የአሁኑን የFirezone ስሪት አሳይ

የአገልግሎት አስተዳደር ትዕዛዞች፡-

ግርማ ሞገስ ያለው መግደል

በሚያምር ሁኔታ ለማቆም ይሞክሩ፣ ከዚያ መላውን የሂደቱን ቡድን ያዝናኑ።

ሁፕ

አገልግሎቶቹን HUP ይላኩ።

int

አገልግሎቶቹን INT ይላኩ።

መግደል

አገልግሎቶቹን በግድያ ይላኩ።

አንድ ጊዜ

አገልግሎቶቹን ከወደቁ ይጀምሩ. ካቆሙ እንደገና አያስጀምሩዋቸው.

እንደገና ጀምር

እየሄዱ ከሆነ አገልግሎቶቹን ያቁሙ፣ ከዚያ እንደገና ያስጀምሩ።

የአገልግሎት ዝርዝር

ሁሉንም አገልግሎቶች ይዘርዝሩ (የነቁ አገልግሎቶች ከ * ጋር ይታያሉ)

መጀመሪያ

ከወደቁ አገልግሎቶቹን ይጀምሩ እና ካቆሙ እንደገና ያስጀምሩ።

ሁናቴ

የሁሉንም አገልግሎቶች ሁኔታ አሳይ.

ተወ

አገልግሎቶቹን ያቁሙ እና እንደገና አያስጀምሩዋቸው።

ጅራት

ሁሉንም የነቁ አገልግሎቶች የአገልግሎት ምዝግብ ማስታወሻዎችን ይመልከቱ።

ቃል

አገልግሎቶቹን በTERM ይላኩ።

usr1

አገልግሎቶቹን USR1 ይላኩ።

usr2

አገልግሎቶቹን USR2 ይላኩ።

አሻሽል

Firezoneን ከማሻሻልዎ በፊት ሁሉም የቪፒኤን ክፍለ ጊዜዎች መቋረጥ አለባቸው፣ ይህ ደግሞ የድር ዩአይ መዝጋትን ይጠይቃል። በማሻሻያው ወቅት የሆነ ችግር ከተፈጠረ፣ ለጥገና አንድ ሰዓት እንዲመድቡ እንመክራለን።

Firezoneን ለማሻሻል የሚከተሉትን እርምጃዎች ይውሰዱ።

አንድ-ትዕዛዝ መጫንን በመጠቀም የፋየር ዞን ጥቅልን ያሻሽሉ፡ sudo -E bash -c “$(curl -fsSL https://github.com/firezone/firezone/raw/master/scripts/install.sh)”
አዲሶቹን ለውጦች ለማንሳት Firezone-ctl ዳግም ማዋቀርን ያሂዱ።
አገልግሎቶችን እንደገና ለማስጀመር Firezone-ctlን እንደገና ያስጀምሩ።

ማንኛውም ችግሮች ከተከሰቱ እባክዎን ያሳውቁን። የድጋፍ ትኬት ማስገባት.

ከ<0.5.0 ወደ >=0.5.0 አሻሽል።

በ0.5.0 ውስጥ መስተካከል ያለባቸው ጥቂት የተበላሹ ለውጦች እና የውቅረት ማሻሻያዎች አሉ። ከዚህ በታች የበለጠ ይወቁ።

የተጠቀለለ Nginx non_ssl_port (ኤችቲቲፒ) ጥያቄዎች ተወግደዋል

Nginx እንደ ስሪት 0.5.0 የኤስኤስኤል እና የኤስኤስኤል ያልሆኑ ወደብ መለኪያዎችን አይደግፍም። Firezone ኤስኤስኤል እንዲሰራ ስለሚያስፈልገው ነባሪውን['firezone']['nginx']['enabled'] = ሐሰት በማቀናበር የቅርቅብ Nginx አገልግሎቱን እንዲያስወግዱ እንመክርዎታለን እና በምትኩ (በነባሪ) ወደብ 13000 ወደ ፊኒክስ መተግበሪያ ተገላቢጦሽ በማምራት (በነባሪ) ).

የACME ፕሮቶኮል ድጋፍ

0.5.0 ከ Nginx አገልግሎት ጋር የኤስኤስኤል የምስክር ወረቀቶችን በራስ ሰር ለማደስ የACME ፕሮቶኮል ድጋፍን ያስተዋውቃል። ለማንቃት፣

ነባሪ['firezone']['external_url'] ወደ አገልጋይህ ይፋዊ አይፒ አድራሻ የሚፈታ ትክክለኛ FQDN መያዙን ያረጋግጡ።
ወደብ 80/tcp ሊደረስበት የሚችል መሆኑን ያረጋግጡ
በእርስዎ የማዋቀር ፋይል ውስጥ የACME ፕሮቶኮል ድጋፍን በነባሪ['firezone']['ssl']['acme']['enabled'] = እውነትን ያንቁ።

ተደራራቢ የ Egress Rule መድረሻዎች

ከተባዙ መድረሻዎች ጋር ደንቦችን የመጨመር እድሉ በFirezone 0.5.0 ውስጥ ጠፍቷል። የእኛ የፍልሰት ስክሪፕት ወደ 0.5.0 በሚያድግበት ጊዜ እነዚህን ሁኔታዎች በራስ-ሰር ይገነዘባል እና መድረሻቸው ሌላውን ህግ የሚያካትተውን ደንቦቹን ብቻ ያስቀምጣል። ይህ ደህና ከሆነ ማድረግ ያለብዎት ምንም ነገር የለም።

ያለበለዚያ ፣ ከማሻሻልዎ በፊት ፣ እነዚህን ሁኔታዎች ለማስወገድ የእርስዎን ደንቦች ለመቀየር እንመክራለን።

Okta እና Google ኤስኤስኦን አስቀድመው በማዋቀር ላይ

ፋየርዞን 0.5.0 ለአሮጌው ኦክታ እና የጎግል ኤስኤስኦ ውቅር ድጋፍን ያስወግዳል ለአዲሱ ፣ የበለጠ ተለዋዋጭ OIDC-ተኮር ውቅር።

በነባሪ['firezone']['ማረጋገጫ']['okta'] ወይም ነባሪ['firezone']['ማረጋገጫ']['google'] ቁልፎች ስር ማንኛውም ውቅር ካለዎት እነዚህን ወደ የእኛ OIDC ማዛወር ያስፈልግዎታል ከታች ያለውን መመሪያ በመጠቀም -የተመሰረተ ውቅር.

ነባር የGoogle OAuth ውቅር

የድሮውን የGoogle OAuth አወቃቀሮችን የያዙትን እነዚህን መስመሮች በ /etc/firezone/firezone.rb ላይ ካለው የውቅር ፋይልህ አስወግድ።

ነባሪ['firezone']['ማረጋገጫ']['google']['ነቅቷል']

ነባሪ['firezone']['ማረጋገጫ']['google']['client_id']

ነባሪ['firezone']['ማረጋገጫ']['google']['client_secret']

ነባሪ['firezone']['ማረጋገጫ']['google']['redirect_uri']

በመቀጠል፣ እዚህ ያሉትን ሂደቶች በመከተል Googleን እንደ OIDC አቅራቢ ያዋቅሩት።

(የአገናኝ መመሪያዎችን ያቅርቡ) <<<<<<<<<<<<<<<<<

ያለውን Google OAuth ያዋቅሩ

የድሮውን Okta OAuth ውቅሮችን የያዙትን እነዚህን መስመሮች በ ላይ ከሚገኘው የውቅር ፋይልዎ ያስወግዱ /ወዘተ/firezone/firezone.rb

ነባሪ['firezone']['ማረጋገጫ']['okta']['ነቅቷል']

ነባሪ['firezone']['ማረጋገጫ']['okta']['client_id']

ነባሪ['firezone']['ማረጋገጫ']['okta']['የደንበኛ_ሚስጥር']

ነባሪ['firezone']['ማረጋገጫ']['okta']['ጣቢያ']

በመቀጠል፣ እዚህ ያሉትን ሂደቶች በመከተል Oktaን እንደ OIDC አቅራቢ ያዋቅሩት።

ከ 0.3.x ወደ >= 0.3.16 አሻሽል።

አሁን ባለው ማዋቀርዎ እና ስሪትዎ ላይ በመመስረት ከዚህ በታች ያሉትን መመሪያዎች ይከተሉ፡-

አስቀድመው የOIDC ውህደት ካለዎት፡-

ለአንዳንድ የOIDC አቅራቢዎች ወደ >= 0.3.16 ማሻሻል ከመስመር ውጭ የመዳረሻ ወሰን የማደስ ማስመሰያ ማግኘትን ይጠይቃል። ይህን በማድረግ፣ Firezone ከማንነት አቅራቢው ጋር ማዘመን እና ተጠቃሚው ከተሰረዘ በኋላ የቪፒኤን ግንኙነት መዘጋቱን ያረጋግጣል። የFirezone ቀደምት ድግግሞሾች ይህን ባህሪ ጎድለውታል። በአንዳንድ አጋጣሚዎች፣ ከማንነት አቅራቢዎ የተሰረዙ ተጠቃሚዎች አሁንም ከቪፒኤን ጋር ሊገናኙ ይችላሉ።

የከመስመር ውጭ መዳረሻን ለሚደግፉ የOIDC አቅራቢዎች በእርስዎ የOIDC ውቅር ወሰን ውስጥ ከመስመር ውጭ መዳረሻን ማካተት ያስፈልጋል። በ/etc/firezone/firezone.rb ላይ ባለው የFirezone ውቅር ፋይል ላይ ለውጦችን ለመተግበር Firezone-ctl ዳግም ማዋቀር መተግበር አለበት።

በOIDC አቅራቢዎ ለተረጋገጡ ተጠቃሚዎች ፋየርዞን የማደስ ማስመሰያውን በተሳካ ሁኔታ ማምጣት ከቻለ የOIDC ግንኙነቶችን ርዕስ በድር UI የተጠቃሚ ዝርዝሮች ገጽ ላይ ያያሉ።

ይህ ካልሰራ፣ ያለውን የOAuth መተግበሪያ መሰረዝ እና የ OIDC የማዋቀር እርምጃዎችን መድገም ያስፈልግዎታል አዲስ የመተግበሪያ ውህደት ይፍጠሩ .

አሁን ያለ የOAuth ውህደት አለኝ

ከ0.3.11 በፊት፣Firezone ቀድሞ የተዋቀሩ የOAuth2 አቅራቢዎችን ተጠቅሟል።

መመሪያዎችን ይከተሉ እዚህ ወደ OIDC ለመሰደድ.

የመታወቂያ አቅራቢ አላዋህደኝም።

ምንም እርምጃ አያስፈልግም።

መመሪያዎቹን መከተል ይችላሉ እዚህ በ OIDC አቅራቢ በኩል ኤስኤስኦን ለማንቃት።

ከ 0.3.1 ወደ >= 0.3.2 አሻሽል።

በእሱ ቦታ፣ ነባሪ['firezone']['ውጫዊ url'] የውቅረት አማራጭ ነባሪ['firezone']['fqdn'] ተክቷል።

ይህንን ወደ የእርስዎ የFirezone የመስመር ላይ ፖርታል ዩአርኤል ለሰፊው ህዝብ ተደራሽ ያድርጉት። ሳይገለጽ ከተተወ ወደ https:// እና የአገልጋይዎ FQDN ነባሪ ይሆናል።

የማዋቀሪያው ፋይል የሚገኘው በ /etc/firezone/firezone.rb. ለተሟላ የውቅር ተለዋዋጮች ዝርዝር እና መግለጫዎቻቸው የማዋቀሪያ ፋይል ማጣቀሻን ይመልከቱ።

ከ 0.2.x ወደ 0.3.x አሻሽል

Firezone እንደ ስሪት 0.3.0 የመሳሪያውን የግል ቁልፎች በFirezone አገልጋይ ላይ አያቆይም።

የFirezone Web UI እነዚህን ውቅሮች እንደገና እንዲያወርዱ ወይም እንዲያዩ አይፈቅድልዎም፣ ነገር ግን ማንኛውም ነባር መሣሪያዎች ባሉበት መስራታቸውን መቀጠል አለባቸው።

ከ 0.1.x ወደ 0.2.x አሻሽል

ከFirezone 0.1.x እያሻሻሉ ከሆነ፣ በእጅ መስተካከል ያለባቸው ጥቂት የውቅረት ፋይል ለውጦች አሉ።

በእርስዎ /etc/firezone/firezone.rb ፋይል ላይ አስፈላጊውን ማሻሻያ ለማድረግ ከታች ያሉትን ትዕዛዞች እንደ ስር ያሂዱ።

cp /ወዘተ/firezone/firezone.rb /ወዘተ/firezone/firezone.rb.bak

sed -i “s/\['enable'\]/\['ነቅቷል'\]/” /etc/firezone/firezone.rb

አስተጋባ "ነባሪ['firezone']['ግንኙነት_ቼኮች']['ነቅቷል] = እውነት" >> /etc/firezone/firezone.rb

አስተጋባ “ነባሪ['firezone']['ግንኙነት_ቼኮች']['interval'] = 3_600” >> /etc/firezone/firezone.rb

firezone-ctl እንደገና ማዋቀር

firezone-ctl እንደገና መጀመር

ችግርመፍቻ

የFirezone ምዝግብ ማስታወሻዎችን መፈተሽ ሊከሰቱ ለሚችሉ ማናቸውም ጉዳዮች ጥበባዊ የመጀመሪያ እርምጃ ነው።

የFirezone ምዝግብ ማስታወሻዎችን ለማየት sudo firezone-ctl ጅራትን ያሂዱ።

የግንኙነት ጉዳዮችን ማረም

ከFirezone ጋር ያሉ አብዛኛዎቹ የግንኙነት ችግሮች የሚመጡት ተኳሃኝ ባልሆኑ iptables ወይም nftables ህጎች ነው። በሥራ ላይ የሚውሉ ማናቸውም ደንቦች ከFirezone ሕጎች ጋር እንደማይጋጩ ማረጋገጥ አለብዎት።

ዋሻው ሲሰራ የበይነመረብ ግንኙነት ይወድቃል

የWireGuard ዋሻዎን ባነቃቁ ቁጥር የበይነመረብ ግንኙነትዎ ከተበላሸ የFORWARD ሰንሰለቱ ከWireGuard ደንበኞችዎ በFirezone በኩል ለመልቀቅ ወደሚፈልጉት ቦታ የሚፈቅድ መሆኑን ያረጋግጡ።

ነባሪው የማዞሪያ መመሪያ መፈቀዱን በማረጋገጥ ufw እየተጠቀሙ ከሆነ ይህ ሊደረስበት ይችላል፡

ubuntu@fz:~$ sudo ufw ነባሪ ፍቃድ ተላልፏል

ነባሪው የተላለፈ መመሪያ ወደ 'ፍቀድ' ተቀይሯል

(ደንቦችዎን በዚሁ መሰረት ማዘመንዎን እርግጠኛ ይሁኑ)

A ufw የአንድ የተለመደ የFirezone አገልጋይ ሁኔታ ይህንን ይመስላል።

ubuntu@fz፡~$ sudo ufw ሁኔታ በቃል ነው።

ሁኔታ፡ ንቁ

መግባት፡ በርቷል (ዝቅተኛ)

ነባሪ፡ መከልከል (መጪ)፣ ፍቀድ (ወጪ)፣ ፍቀድ (የተዘዋወረ)

አዲስ መገለጫዎች፡ ዝለል

ወደ ተግባር ከ

————-

22/tcp በማንኛውም ቦታ ፍቀድ

80/tcp በማንኛውም ቦታ ፍቀድ

443/tcp በማንኛውም ቦታ ፍቀድ

51820/udp በማንኛውም ቦታ ፍቀድ

22/tcp (v6) በማንኛውም ቦታ ፍቀድ (v6)

80/tcp (v6) በማንኛውም ቦታ ፍቀድ (v6)

443/tcp (v6) በማንኛውም ቦታ ፍቀድ (v6)

51820/udp (v6) በማንኛውም ቦታ ፍቀድ (v6)

የደህንነት ከግምት

ከዚህ በታች እንደተብራራው እጅግ በጣም ሚስጥራዊነት ላለው እና ለተልዕኮ-ወሳኝ የምርት ስምሪት የድረ-ገጽ በይነገጽ መዳረሻን መገደብ እንመክራለን።

አገልግሎቶች እና ወደቦች

አገልግሎት	ነባሪ ወደብ	የማዳመጥ አድራሻ	መግለጫ
እም	80, 443	ሁሉ	Firezoneን ለማስተዳደር እና ማረጋገጥን የሚያመቻች የህዝብ HTTP(S) ወደብ።
የሽቦ መከላከያ	51820	ሁሉ	የህዝብ WireGuard ወደብ ለቪፒኤን ክፍለ ጊዜዎች ጥቅም ላይ ይውላል። (UDP)
postgresql	15432	127.0.0.1	ለአገር ውስጥ ብቻ ወደብ ለተጠቃለለ Postgresql አገልጋይ ጥቅም ላይ ይውላል።
ፎኒክስ	13000	127.0.0.1	በላይ ዥረት elixir መተግበሪያ አገልጋይ ጥቅም ላይ የሚውለው የአካባቢ-ብቻ ወደብ።

የምርት ማሰማራት

ለፋየርዞን በይፋ የተጋለጠ የድር ዩአይ (በነባሪ ወደቦች 443/tcp እና 80/tcp) መዳረሻን ስለመገደብ እንዲያስቡበት እንመክርዎታለን እና በምትኩ ፋየር ዞንን ለምርት እና ለህዝብ ፊት ለፊት ለማሰማራት አንድ አስተዳዳሪ የሚመራበትን የWireGuard ዋሻ ይጠቀሙ። የመሣሪያ ውቅሮችን መፍጠር እና ማሰራጨት ለዋና ተጠቃሚዎች።

ለምሳሌ፣ አስተዳዳሪ የመሣሪያ ውቅር ከፈጠረ እና ከአካባቢው WireGuard አድራሻ 10.3.2.2 ጋር መሿለኪያ ከፈጠረ፣ የሚከተለው የ ufw ውቅር አስተዳዳሪው ነባሪውን 10.3.2.1 በመጠቀም በአገልጋዩ wg-firezone በይነገጽ ላይ የFirezone ድረ-ገጽ UI እንዲደርስ ያስችለዋል። የመሿለኪያ አድራሻ፡-

root@demo፡~# ufw ሁኔታ ቃል በቃል

ሁኔታ፡ ንቁ

መግባት፡ በርቷል (ዝቅተኛ)

ነባሪ፡ መከልከል (መጪ)፣ ፍቀድ (ወጪ)፣ ፍቀድ (የተዘዋወረ)

አዲስ መገለጫዎች፡ ዝለል

ወደ ተግባር ከ

————-

22/tcp በማንኛውም ቦታ ፍቀድ

51820/udp በማንኛውም ቦታ ፍቀድ

በማንኛውም ቦታ ፍቀድ 10.3.2.2

22/tcp (v6) በማንኛውም ቦታ ፍቀድ (v6)

51820/udp (v6) በማንኛውም ቦታ ፍቀድ (v6)

ይህ ብቻ ይቀራል 22/tcp አገልጋዩን ለማስተዳደር ለኤስኤስኤች መዳረሻ ተጋልጧል (አማራጭ) እና 51820 / udp WireGuard ዋሻዎችን ለማቋቋም ተጋልጧል።

የ SQL መጠይቆችን ያሂዱ

Firezone የ Postgresql አገልጋይን እና ተዛማጅን ያጠባል psql ከአካባቢው ቅርፊት ጥቅም ላይ ሊውል የሚችል መገልገያ እንደሚከተለው ነው-

/ መርጦ/ፋየርዞን/የተከተተ/ቢን/psql

- የእሳት ዞን

-d የእሳት ዞን

-h localhost

- ገጽ 15432

-c “SQL_STATEMENT”

ይህ ለማረም ዓላማዎች ጠቃሚ ሊሆን ይችላል።

የተለመዱ ተግባራት፡-

ሁሉንም ተጠቃሚዎች መዘርዘር
ሁሉንም መሳሪያዎች መዘርዘር
የተጠቃሚውን ሚና መለወጥ
የውሂብ ጎታውን በማስቀመጥ ላይ

ሁሉንም ተጠቃሚዎች መዘርዘር፡-

/ መርጦ/ፋየርዞን/የተከተተ/ቢን/psql

- የእሳት ዞን

-d የእሳት ዞን

-h localhost

- ገጽ 15432

-c "ከተጠቃሚዎች * ምረጥ;"

ሁሉንም መሳሪያዎች መዘርዘር;

/ መርጦ/ፋየርዞን/የተከተተ/ቢን/psql

- የእሳት ዞን

-d የእሳት ዞን

-h localhost

- ገጽ 15432

-c "ከመሳሪያዎች * ምረጥ;"

የተጠቃሚ ሚና ይቀይሩ፡

ሚናውን ወደ 'አስተዳዳሪ' ወይም 'ያልታደሉ' ያቀናብሩ፡

/ መርጦ/ፋየርዞን/የተከተተ/ቢን/psql

- የእሳት ዞን

-d የእሳት ዞን

-h localhost

- ገጽ 15432

-c "ተጠቃሚዎችን አዘምኑ ሚና = 'አስተዳዳሪ' ኢሜል = 'user@example.com';"

የውሂብ ጎታውን ምትኬ ማስቀመጥ፡-

በተጨማሪም፣ የውሂብ ጎታውን መደበኛ ምትኬዎችን ለመውሰድ የሚያገለግል የፒጂ መጣል ፕሮግራም ተካትቷል። የውሂብ ጎታውን ቅጂ በተለመደው የSQL መጠይቅ ቅርጸት ለመጣል የሚከተለውን ኮድ አስፈጽም (የ SQL ፋይል በሚፈጠርበት ቦታ /path/to/backup.sql ተካ)

/ መርጦ/ፋየርዞን/የተከተተ/ቢን/pg_dump \

- የእሳት ዞን

-d የእሳት ዞን

-h localhost

-p 15432 > /path/to/backup.sql

የተጠቃሚ መመሪያዎች

ተጠቃሚዎችን ያክሉ
መሣሪያዎችን ያክሉ
የመውጣት ህጎች
የደንበኛ መመሪያዎች
የተከፈለ ዋሻ VPN
የተገላቢጦሽ ዋሻ
NAT ጌትዌይ

ተጠቃሚዎችን ያክሉ

Firezone በተሳካ ሁኔታ ከተሰማራ በኋላ ወደ አውታረ መረብዎ መዳረሻ ለመስጠት ተጠቃሚዎችን ማከል አለብዎት። ይህንን ለማድረግ የድር UI ጥቅም ላይ ይውላል።

የድር UI

በ/ተጠቃሚዎች ስር “ተጠቃሚ አክል” የሚለውን ቁልፍ በመምረጥ ተጠቃሚ ማከል ይችላሉ። ለተጠቃሚው የኢሜል አድራሻ እና የይለፍ ቃል እንዲያቀርቡ ይጠበቅብዎታል. በድርጅትዎ ውስጥ ያሉ ተጠቃሚዎችን በራስ-ሰር እንዲደርሱበት ለመፍቀድ ፋየርዞን እንዲሁ ከመታወቂያ አቅራቢ ጋር በይነገጽ እና ማመሳሰል ይችላል። ተጨማሪ ዝርዝሮች በ ውስጥ ይገኛሉ ያረጋግጡ ፡፡. ለማረጋገጫ አገናኝ ያክሉ

መሣሪያዎችን ያክሉ

የግል ቁልፉ ለእነሱ ብቻ እንዲታይ ተጠቃሚዎች የራሳቸውን የመሳሪያ ውቅር እንዲፈጥሩ እንጠይቃለን። ተጠቃሚዎች በ ላይ ያሉትን መመሪያዎች በመከተል የራሳቸውን መሣሪያ ውቅሮች ማመንጨት ይችላሉ። የደንበኛ መመሪያዎች ገጽ.

የአስተዳዳሪ መሣሪያ ውቅር በማመንጨት ላይ

ሁሉም የተጠቃሚ መሣሪያ ውቅሮች በFirezone አስተዳዳሪዎች ሊፈጠሩ ይችላሉ። በ/ተጠቃሚዎች ላይ ባለው የተጠቃሚ መገለጫ ገጽ ላይ ይህንን ለመፈጸም “መሣሪያ አክል” የሚለውን አማራጭ ይምረጡ።

[ቅጽበታዊ ገጽ እይታ አስገባ]

የመሳሪያውን መገለጫ ከፈጠሩ በኋላ ለተጠቃሚው የWireGuard ውቅር ፋይል በኢሜል መላክ ይችላሉ።

ተጠቃሚዎች እና መሳሪያዎች ተገናኝተዋል። ተጠቃሚን እንዴት ማከል እንደሚቻል ላይ ተጨማሪ ዝርዝሮችን ለማግኘት ይመልከቱ ተጠቃሚዎችን ያክሉ.

የመውጣት ህጎች

የከርነል መረብ ማጣሪያ ስርዓትን በመጠቀም ፋየርዞን የ DROP ወይም ACCEPT ፓኬቶችን ለመለየት የኢግሬሽን ማጣሪያ ችሎታዎችን ይፈቅዳል። ሁሉም ትራፊክ በመደበኛነት ይፈቀዳል።

IPv4 እና IPv6 CIDRs እና IP አድራሻዎች የሚደገፉት በፈቃድ ዝርዝር እና ውድቅ መዝገብ በኩል በቅደም ተከተል ነው። አንድን ተጠቃሚ በሚያክሉበት ጊዜ ደንቡን ለመወሰን መምረጥ ይችላሉ፣ ይህም ደንቡን በሁሉም የተጠቃሚ መሳሪያዎች ላይ ይተገበራል።

የደንበኛ መመሪያዎች

ይጫኑ እና ያዋቅሩ

ቤተኛ የWireGuard ደንበኛን በመጠቀም የቪፒኤን ግንኙነት ለመመስረት ይህንን መመሪያ ይመልከቱ።

1. የቤተኛ WireGuard ደንበኛን ይጫኑ

እዚህ የሚገኙት ኦፊሴላዊው WireGuard ደንበኞች ከFirezone ጋር ተኳሃኝ ናቸው፡

ከላይ ላልተጠቀሱት የስርዓተ ክወናዎች ኦፊሴላዊውን የWireGuard ድርጣቢያ https://www.wireguard.com/install/ ይጎብኙ።

2. የመሳሪያውን ውቅር ፋይል ያውርዱ

የFirezone አስተዳዳሪዎ ወይም እራስዎ የFirezone ፖርታልን በመጠቀም የመሳሪያውን ውቅር ፋይል ማመንጨት ይችላሉ።

የመሣሪያ ውቅር ፋይልን በራስ ለማመንጨት የFirezone አስተዳዳሪዎ ያቀረቡትን URL ይጎብኙ። የእርስዎ ድርጅት ለዚህ ልዩ ዩአርኤል ይኖረዋል። በዚህ አጋጣሚ፣ https://instance-id.yourfirezone.com ነው።

ወደ Firezone Okta SSO ይግቡ

[ቅጽበታዊ ገጽ እይታ አስገባ]

3. የደንበኛውን ውቅር አክል

የ.conf ፋይልን በመክፈት ወደ WireGuard ደንበኛ ያስመጡ። የአክቲቭ ማብሪያ / ማጥፊያውን በመገልበጥ የቪፒኤን ክፍለ ጊዜ መጀመር ይችላሉ።

[ቅጽበታዊ ገጽ እይታ አስገባ]

የክፍለ-ጊዜው እንደገና ማረጋገጥ

የአውታረ መረብ አስተዳዳሪዎ የቪፒኤን ግንኙነት ንቁ ሆኖ እንዲቆይ ተደጋጋሚ ማረጋገጫ ከሰጠ ከታች ያሉትን መመሪያዎች ይከተሉ።

ያስፈልግዎታል

የFirezone portal URL፡ ለግንኙነቱ የአውታረ መረብ አስተዳዳሪዎን ይጠይቁ።

የአውታረ መረብ አስተዳዳሪዎ የእርስዎን መግቢያ እና የይለፍ ቃል ማቅረብ መቻል አለበት። የFirezone ጣቢያው ቀጣሪዎ የሚጠቀመውን ነጠላ የመለያ መግቢያ አገልግሎት (እንደ ጎግል ወይም ኦክታ ያሉ) በመጠቀም እንዲገቡ ይጠይቅዎታል።

1. የ VPN ግንኙነትን ያጥፉ

[ቅጽበታዊ ገጽ እይታ አስገባ]

2. እንደገና ያረጋግጡ

ወደ የFirezone portal URL ይሂዱ እና የአውታረ መረብ አስተዳዳሪዎ ያቀረቡትን ምስክርነቶች በመጠቀም ይግቡ። አስቀድመው ከገቡ፣ ተመልሰው ከመግባትዎ በፊት እንደገና ያረጋግጡ የሚለውን ቁልፍ ጠቅ ያድርጉ።

[ቅጽበታዊ ገጽ እይታ አስገባ]

ደረጃ 3፡ የቪፒኤን ክፍለ ጊዜ አስጀምር

[ቅጽበታዊ ገጽ እይታ አስገባ]

የአውታረ መረብ አስተዳዳሪ ለሊኑክስ

በሊኑክስ መሳሪያዎች ላይ የኔትወርክ አስተዳዳሪ CLIን በመጠቀም የWireGuard ውቅር መገለጫን ለማስመጣት እነዚህን መመሪያዎች ይከተሉ (nmcli)።

ማስታወሻ

መገለጫው የነቃ IPv6 ድጋፍ ካለው፣ የአውታረ መረብ አስተዳዳሪ GUIን በመጠቀም የውቅር ፋይሉን ለማስመጣት መሞከር በሚከተለው ስህተት ሊሳካ ይችላል።

ipv6.ዘዴ፡ "አውቶ" ዘዴ ለWireGuard አይደገፍም።

1. የ WireGuard መሳሪያዎችን ይጫኑ

የ WireGuard የተጠቃሚ ቦታ መገልገያዎችን መጫን አስፈላጊ ነው. ይህ ለሊኑክስ ስርጭቶች wireguard ወይም wireguard-tools የሚባል ጥቅል ይሆናል።

ለኡቡንቱ/ዴቢያን፡

sudo apt install wireguard

Fedora ን ለመጠቀም፡-

sudo dnf ሽቦ ጠባቂ-መሳሪያዎችን ጫን

አርክ ሊንክስ:

sudo pacman -S wireguard-መሳሪያዎች

ከላይ ላልተጠቀሱ ስርጭቶች ኦፊሴላዊውን የWireGuard ድህረ ገጽ https://www.wireguard.com/install/ ይጎብኙ።

2. የማውረድ ውቅረት

የእርስዎ የFirezone አስተዳዳሪ ወይም ራስ-ትውልድ የFirezone portalን በመጠቀም የመሳሪያውን ውቅር ፋይል ማመንጨት ይችላሉ።

[ቅጽበታዊ ገጽ እይታ አስገባ]

3. የማስመጣት ቅንብሮች

nmcliን በመጠቀም የቀረበውን የውቅር ፋይል ያስመጡ፡-

sudo nmcli ግንኙነት የማስመጣት አይነት wireguard ፋይል /path/to/configuration.conf

ማስታወሻ

የማዋቀሪያው ፋይል ስም ከWireGuard ግንኙነት/በይነገጽ ጋር ይዛመዳል። ካስመጣ በኋላ ግንኙነቱ አስፈላጊ ከሆነ እንደገና መሰየም ይቻላል፡-

nmcli ግንኙነት ቀይር [የድሮ ስም] connection.id [አዲስ ስም]

4. ያገናኙ ወይም ያላቅቁ

በትእዛዝ መስመሩ በኩል ከቪፒኤን ጋር እንደሚከተለው ይገናኙ፡

nmcli ግንኙነት ወደ ላይ [vpn ስም]

ለማለያየት

nmcli ግንኙነት ወደ ታች [vpn ስም]

GUI የሚጠቀሙ ከሆነ የሚመለከተው የአውታረ መረብ አስተዳዳሪ አፕል ግንኙነቱን ለመቆጣጠር ሊያገለግል ይችላል።

ራስ -ሰር ግንኙነት

ለራስ-ማገናኘት አማራጭ “አዎ”ን በመምረጥ የቪፒኤን ግንኙነቱ በራስ-ሰር እንዲገናኝ ሊዋቀር ይችላል፡-

nmcli ግንኙነት ቀይር [vpn ስም] ግንኙነት. <<<<<<<<<<<<<<<<<<<<<<

ራስ-አገናኝ አዎ

አውቶማቲክ ግንኙነቱን ለማሰናከል ወደ ቁጥር መልሰው ያቀናብሩት፡-

nmcli ግንኙነት ቀይር [vpn ስም] ግንኙነት.

ራስ-አገናኝ ቁ

የብዝሃ-ፋክተር ማረጋገጫ እንዲገኝ አድርግ

MFA ን ለማንቃት ወደ Firezone portal's/user account/የኤምኤፍኤ ገጽ ይመዝገቡ። QR ኮድ ከተፈጠረ በኋላ ለመቃኘት የእርስዎን አረጋጋጭ መተግበሪያ ይጠቀሙ እና ባለ ስድስት አሃዝ ኮድ ያስገቡ።

የአረጋጋጭ መተግበሪያዎን በተሳሳተ መንገድ ካስቀመጡት የመለያዎን መዳረሻ መረጃ ዳግም ለማስጀመር አስተዳዳሪዎን ያነጋግሩ።

የተከፈለ ዋሻ VPN

ይህ አጋዥ ስልጠና የWireGuard የተከፈለ መሿለኪያ ባህሪን ከFirezone ጋር በማዋቀር ሂደት ውስጥ ይመራዎታል ስለዚህ የተወሰኑ የአይፒ ክልሎች ትራፊክ በቪፒኤን አገልጋይ በኩል እንዲተላለፍ።

1. የተፈቀዱ አይፒዎችን ያዋቅሩ

ደንበኛው የአውታረ መረብ ትራፊክን የሚመራበት የአይፒ ክልሎች በተፈቀደው የአይፒዎች መስክ በ / ቅንብሮች / ነባሪ ገጽ ላይ ተቀምጠዋል። በFirezone የተሰሩት አዲስ የተፈጠሩት የWireGuard ዋሻ ውቅሮች ብቻ በዚህ መስክ ላይ በሚደረጉ ለውጦች ተጽዕኖ ይኖራቸዋል።

[ቅጽበታዊ ገጽ እይታ አስገባ]

ነባሪ እሴቱ 0.0.0.0/0፣ ::/0 ነው፣ ይህም ሁሉንም የኔትወርክ ትራፊክ ከደንበኛው ወደ ቪፒኤን አገልጋይ ያደርሳል።

በዚህ መስክ ውስጥ ያሉ የእሴቶች ምሳሌዎች የሚከተሉትን ያካትታሉ:

0.0.0.0/0, ::/0 - ሁሉም የአውታረ መረብ ትራፊክ ወደ ቪፒኤን አገልጋይ ይላካል።

192.0.2.3/32 - ወደ አንድ የአይፒ አድራሻ ትራፊክ ብቻ ወደ ቪፒኤን አገልጋይ ይተላለፋል።

3.5.140.0/22 - በ 3.5.140.1 - 3.5.143.254 ክልል ውስጥ ወደ አይፒዎች ትራፊክ ብቻ ወደ ቪፒኤን አገልጋይ ይላካል። በዚህ ምሳሌ፣ ለap-ሰሜን-ምስራቅ-2 AWS ክልል የCIDR ክልል ጥቅም ላይ ውሏል።

ማስታወሻ

ፋየርዞን ፓኬጁን ወዴት እንደሚያመራ ሲወስን በመጀመሪያ ከትክክለኛው መንገድ ጋር የተገናኘውን የመውጣት በይነገጽ ይመርጣል።

2. የ WireGuard ውቅሮችን ያድሱ

ተጠቃሚዎች የውቅረት ፋይሎቹን እንደገና ማመንጨት እና ነባር የተጠቃሚ መሳሪያዎችን በአዲሱ የተከፋፈለ ዋሻ ውቅር ለማዘመን ወደ ቤተኛ WireGuard ደንበኛቸው ማከል አለባቸው።

መመሪያ ለማግኘት ፣ ይመልከቱ መሣሪያ አክል. <<<<<<<<<<<< አገናኝ ጨምር

የተገላቢጦሽ ዋሻ

ይህ ማኑዋል Firezoneን እንደ ሪሌይ በመጠቀም ሁለት መሳሪያዎችን እንዴት ማገናኘት እንደሚቻል ያሳያል። አንድ የተለመደ የአጠቃቀም ጉዳይ አስተዳዳሪን በ NAT ወይም በፋየርዎል የተጠበቀውን አገልጋይ፣ መያዣ ወይም ማሽን እንዲደርስ ማስቻል ነው።

መስቀለኛ መንገድ ወደ መስቀለኛ መንገድ

ይህ ምሳሌ መሣሪያዎች A እና B ዋሻ የሚሠሩበትን ቀጥተኛ ሁኔታ ያሳያል።

[የእሳት ዞን የስነ-ህንፃ ምስል አስገባ]

ወደ /users/[user_id]/new_device በማሰስ Device A እና Device B በመፍጠር ጀምር። በእያንዳንዱ መሳሪያ ቅንጅቶች ውስጥ የሚከተሉት መለኪያዎች ከዚህ በታች በተዘረዘሩት እሴቶች ላይ መዘጋጀታቸውን ያረጋግጡ። የመሳሪያውን ውቅረት ሲፈጥሩ የመሣሪያ ቅንብሮችን ማቀናበር ይችላሉ (መሳሪያዎችን ጨምር ይመልከቱ)። አሁን ባለው መሣሪያ ላይ ቅንብሮችን ማዘመን ከፈለጉ አዲስ የመሣሪያ ውቅረት በማመንጨት ማድረግ ይችላሉ።

ሁሉም መሳሪያዎች PersistentKeepalive የሚዋቀርበት/ቅንጅቶች/ነባሪ ገጽ እንዳላቸው ልብ ይበሉ።

መሣሪያ ኤ

የተፈቀደላቸው አይፒዎች = 10.3.2.2/32

ይህ የመሣሪያ ቢ አይ ፒ ወይም ክልል ነው።

የማያቋርጥ ኪፓላይቭ = 25

መሳሪያው ከኤንኤቲ ጀርባ ከሆነ ይህ መሳሪያው ዋሻውን በህይወት ማቆየት እና ከWireGuard በይነገጽ ፓኬጆችን መቀበሉን እንደሚቀጥል ያረጋግጣል። ብዙውን ጊዜ የ 25 እሴት በቂ ነው, ነገር ግን ይህንን ዋጋ እንደ አካባቢዎ መጠን መቀነስ ያስፈልግዎታል.

ቢ መሣሪያ

የተፈቀደላቸው አይፒዎች = 10.3.2.3/32

ይህ የመሣሪያ ኤ አይ ፒ ወይም ክልል ነው።

የማያቋርጥ ኪፓላይቭ = 25

የአስተዳዳሪ ጉዳይ - ከአንድ እስከ ብዙ አንጓዎች

ይህ ምሳሌ መሳሪያ A በሁለቱም አቅጣጫዎች ከመሳሪያዎች B እስከ D ጋር መገናኘት የሚችልበትን ሁኔታ ያሳያል. ይህ ማዋቀር በተለያዩ አውታረ መረቦች ላይ ብዙ ሀብቶችን (ሰርቨሮችን፣ ኮንቴይነሮችን ወይም ማሽኖችን) የሚደርስ መሐንዲስ ወይም አስተዳዳሪን ሊወክል ይችላል።

[የሥነ ሕንፃ ሥዕላዊ መግለጫ]<<<<<<<<<<<<<<<<<<<<<<<

የሚከተሉት መቼቶች በእያንዳንዱ መሣሪያ ቅንጅቶች ውስጥ ወደ ተጓዳኝ እሴቶች መደረጉን ያረጋግጡ። የመሳሪያውን ውቅረት ሲፈጥሩ የመሣሪያ ቅንብሮችን መግለጽ ይችላሉ (መሳሪያዎችን አክል የሚለውን ይመልከቱ). በነባር መሣሪያ ላይ ያሉ ቅንብሮችን ማዘመን ካስፈለገ አዲስ የመሣሪያ ውቅረት ሊፈጠር ይችላል።

መሣሪያ A (የአስተዳዳሪ መስቀለኛ መንገድ)

የተፈቀደላቸው አይፒዎች = 10.3.2.3/32, 10.3.2.4/32, 10.3.2.5/32

ይህ የመሳሪያዎች አይፒ ከ B እስከ መ ነው። የመሣሪያዎች አይፒዎች ከ B እስከ D ለማቀናበር በመረጡት የአይፒ ክልል ውስጥ መካተት አለባቸው።

የማያቋርጥ ኪፓላይቭ = 25

ይህ መሣሪያው በ NAT የተጠበቀ ቢሆንም ዋሻውን ጠብቆ ለማቆየት እና ከWireGuard በይነገጽ ፓኬቶችን መቀበሉን እንደሚቀጥል ዋስትና ይሰጣል። በአብዛኛዎቹ አጋጣሚዎች የ25 ዋጋ በቂ ነው፣ ነገር ግን እንደ አካባቢዎ መጠን ይህን አሃዝ ዝቅ ማድረግ ሊኖርብዎ ይችላል።

መሣሪያ B

AllowedIPs = 10.3.2.2/32፡ ይህ የመሣሪያ ኤ አይ ፒ ወይም ክልል ነው
የማያቋርጥ ኪፓላይቭ = 25

መሣሪያ ሲ

AllowedIPs = 10.3.2.2/32፡ ይህ የመሣሪያ ኤ አይ ፒ ወይም ክልል ነው
የማያቋርጥ ኪፓላይቭ = 25

መሣሪያ ዲ

AllowedIPs = 10.3.2.2/32፡ ይህ የመሣሪያ ኤ አይ ፒ ወይም ክልል ነው
የማያቋርጥ ኪፓላይቭ = 25

NAT ጌትዌይ

ለሁሉም የቡድንህ ትራፊክ እንዲወጣ ነጠላ፣ የማይንቀሳቀስ ኢግረስ IP ለማቅረብ ፋየርዞን እንደ NAT ጌትዌይ ሊያገለግል ይችላል። እነዚህ ሁኔታዎች ተደጋጋሚ አጠቃቀምን ያካትታሉ:

የማማከር ተሳትፎ፡ ደንበኛዎ ከእያንዳንዱ ሰራተኛ ልዩ መሳሪያ አይፒ ይልቅ አንድ ነጠላ አይ ፒ አድራሻ እንዲመዘግብ ይጠይቁ።

ለደህንነት ወይም ለግላዊነት ዓላማዎች ፕሮክሲን መጠቀም ወይም ምንጭዎን አይፒን መደበቅ።

በራሱ የሚስተናገደውን የድር መተግበሪያ መዳረሻን ወደ ነጠላ የተፈቀደ የማይንቀሳቀስ አይፒ ፋየርዞን የሚያሄድ የመገደብ ቀላል ምሳሌ በዚህ ልጥፍ ላይ ይታያል። በዚህ ስዕላዊ መግለጫ, Firezone እና የተጠበቀው መገልገያ በተለያዩ የቪፒሲ አካባቢዎች ውስጥ ይገኛሉ.

ይህ መፍትሔ ለብዙ የመጨረሻ ተጠቃሚዎች የአይፒ ፍቃድ መዝገብን ለማስተዳደር በተደጋጋሚ ጥቅም ላይ ይውላል፣ ይህም የመዳረሻ ዝርዝሩ ሲሰፋ ጊዜ የሚወስድ ነው።

የAWS ምሳሌ

አላማችን የቪፒኤን ትራፊክን ወደ የተከለከለው ሃብት ለማዞር በ EC2 ምሳሌ ላይ የFirezone አገልጋይ ማዘጋጀት ነው። በዚህ አጋጣሚ ፋየርዞን ለእያንዳንዱ የተገናኘ መሣሪያ ልዩ የህዝብ መውጫ አይፒ ለመስጠት እንደ የአውታረ መረብ ተኪ ወይም NAT ጌትዌይ እያገለገለ ነው።

1. የFirezone አገልጋይን ይጫኑ

በዚህ አጋጣሚ tc2.micro የሚባል የEC2 ምሳሌ በላዩ ላይ የFirezone ምሳሌ ተጭኗል። Firezoneን ስለማሰማራት መረጃ ለማግኘት ወደ የማሰማራት መመሪያ ይሂዱ። ከAWS ጋር በተያያዘ፣ እርግጠኛ ይሁኑ፡-

የFirezone EC2 ለምሳሌ የደህንነት ቡድን ወደተጠበቀው የንብረት አይፒ አድራሻ የሚወጣ ትራፊክ ይፈቅዳል።

የFirezone ምሳሌ ከሚለጠጥ አይፒ ጋር አብሮ ይመጣል። በFirezone ምሳሌ ወደ ውጭ መዳረሻዎች የሚተላለፈው ትራፊክ ይህ እንደ ምንጭ አይፒ አድራሻ ይሆናል። በጥያቄ ውስጥ ያለው የአይፒ አድራሻ 52.202.88.54 ነው.

[ቅጽበታዊ ገጽ እይታ አስገባ]<<<<<<<<<<<<<<<<<<<<<<<<<

2. ጥበቃ እየተደረገለት ያለውን ሀብት እንዳይደርስ መገደብ

በዚህ ጉዳይ ላይ በራሱ የሚሰራ የድር መተግበሪያ እንደ ጥበቃ ምንጭ ሆኖ ያገለግላል። የዌብ አፕሊኬሽኑ ሊደረስበት የሚችለው ከአይፒ አድራሻው 52.202.88.54 በሚመጡ ጥያቄዎች ብቻ ነው። እንደ ሀብቱ መጠን በተለያዩ ወደቦች እና የትራፊክ ዓይነቶች ላይ ወደ ውስጥ የሚገቡ ትራፊክን መፍቀድ አስፈላጊ ሊሆን ይችላል. ይህ በዚህ መመሪያ ውስጥ አልተካተተም።

[ቅጽበታዊ ገጽ እይታ አስገባ]<<<<<<<<<<<<<<<<<<<<<<<<<

እባኮትን ጥበቃ የሚደረግለትን ሃብት ለሚመራው ሶስተኛ አካል በደረጃ 1 ከተገለፀው የማይንቀሳቀስ አይፒ ትራፊክ መፈቀድ እንዳለበት ይንገሩ (በዚህ ሁኔታ 52.202.88.54)።

3. ትራፊክ ወደ የተጠበቀው ሃብት ለመምራት የቪፒኤን አገልጋይ ይጠቀሙ

በነባሪ፣ ሁሉም የተጠቃሚ ትራፊክ በቪፒኤን አገልጋይ በኩል ያልፋል እና በደረጃ 1 ከተዋቀረው የማይንቀሳቀስ አይፒ ይመጣል (በዚህ ሁኔታ 52.202.88.54)። ነገር ግን፣ የተከፋፈለ መሿለኪያ ከነቃ፣ የተጠበቀው የመረጃ መድረሻ አይፒ ከተፈቀዱት አይፒዎች መካከል መመዝገቡን ለማረጋገጥ መቼቶች አስፈላጊ ሊሆኑ ይችላሉ።

የራስጌ ጽሑፍዎን እዚህ ያክሉ።

ከታች የሚታየው በዚህ ውስጥ የሚገኙትን የማዋቀር አማራጮች ሙሉ ዝርዝር ነው። /ወዘተ/firezone/firezone.rb.

አማራጭ	መግለጫ	ነባሪ እሴት
ነባሪ['firezone']['external_url']	የዚህን የFirezone ምሳሌ የድር መግቢያን ለመድረስ ዩአርኤል ጥቅም ላይ ይውላል።	“https://#{node['fqdn'] \|\| መስቀለኛ መንገድ['የአስተናጋጅ ስም']}”
ነባሪ['firezone']['config_directory']	ለFirezone ውቅረት ከፍተኛ ደረጃ ማውጫ።	/ወዘተ/ፋየርዞን'
ነባሪ['firezone']['install_directory']	Firezoneን ለመጫን ከፍተኛ ደረጃ ማውጫ።	/ መርጦ / የእሳት ዞን
ነባሪ['firezone']['app_directory']	የFirezone ድር መተግበሪያን ለመጫን ከፍተኛ ደረጃ ማውጫ።	"#{node['firezone']['install_directory']}/የተከተተ/አገልግሎት/ፋየርዞን"
ነባሪ['firezone']['log_directory']	የFirezone ምዝግብ ማስታወሻዎች ከፍተኛ ደረጃ ማውጫ።	/var/Log/Firezone'
ነባሪ['firezone']['var_directory']	የFirezone አሂድ ጊዜ ፋይሎች ከፍተኛ ደረጃ ማውጫ።	/var/opt/firezone'
ነባሪ['firezone']['ተጠቃሚ']	የሊኑክስ ተጠቃሚ ያልሆነ የአብዛኛዎቹ አገልግሎቶች እና ፋይሎች ስም ይሆናል።	የእሳት አደጋ ዞን
ነባሪ['firezone']['ቡድን']	የሊኑክስ ቡድን ስም የአብዛኞቹ አገልግሎቶች እና ፋይሎች ባለቤት ይሆናሉ።	የእሳት አደጋ ዞን
ነባሪ['firezone']['admin_email']	ለመጀመሪያው የFirezone ተጠቃሚ ኢሜይል አድራሻ።	"firezone@localhost"
ነባሪ['firezone']['ከፍተኛ_መሳሪያዎች_በአንድ_ተጠቃሚ']]	ተጠቃሚው ሊኖረው የሚችለው ከፍተኛው የመሳሪያዎች ብዛት።	10
ነባሪ['firezone']['የተፈቀደላቸው_የመሳሪያ_ማስተዳደርን ፍቀድ']	አስተዳዳሪ ያልሆኑ ተጠቃሚዎች መሣሪያዎችን እንዲፈጥሩ እና እንዲሰርዙ ያስችላቸዋል።	እውነት
ነባሪ['firezone']['የተፈቀደላቸው_የመሳሪያ_ውቅርን ፍቀድ']	አስተዳዳሪ ያልሆኑ ተጠቃሚዎች የመሣሪያ ውቅሮችን እንዲቀይሩ ይፈቅዳል። ሲሰናከል፣ ልዩ መብት የሌላቸው ተጠቃሚዎች ከስም እና መግለጫ በስተቀር ሁሉንም የመሣሪያ መስኮች እንዳይቀይሩ ይከለክላል።	እውነት
ነባሪ['firezone']['egress_interface']	የተጣመመ ትራፊክ የሚወጣበት የበይነገጽ ስም። ካልሆነ፣ ነባሪው የመተላለፊያ በይነገጽ ጥቅም ላይ ይውላል።	ናይል
ነባሪ['firezone']['fips_enabled']	OpenSSL FIPs ሁነታን አንቃ ወይም አሰናክል።	ናይል
ነባሪ['firezone']['መግባት']['ነቅቷል']	በFirezone ላይ መግባትን አንቃ ወይም አሰናክል። መግባትን ሙሉ ለሙሉ ለማሰናከል ወደ ሐሰት ተቀናብሯል።	እውነት
ነባሪ['ድርጅት']['ስም']	በሼፍ 'ኢንተርፕራይዝ' የምግብ አሰራር መጽሐፍ የተጠቀመበት ስም።	የእሳት አደጋ ዞን
ነባሪ['firezone']['install_path']	በሼፍ 'ኢንተርፕራይዝ' የምግብ ማብሰያ ደብተር የሚጠቀሙበትን መንገድ ይጫኑ። ከላይ ካለው install_directory ጋር አንድ አይነት ሆኖ መቀናበር አለበት።	መስቀለኛ መንገድ['firezone']['install_directory']
ነባሪ['firezone']['sysvinit_id']	በ /etc/inittab ውስጥ ጥቅም ላይ የዋለ መለያ። የ1-4 ቁምፊዎች ልዩ ቅደም ተከተል መሆን አለበት።	SUP'
ነባሪ['firezone']['ማረጋገጫ']['አካባቢያዊ']['ነቅቷል']	የአካባቢ ኢሜይል/የይለፍ ቃል ማረጋገጥን አንቃ ወይም አሰናክል።	እውነት
ነባሪ['firezone']['ማረጋገጫ']['auto_create_oidc_users']	ለመጀመሪያ ጊዜ ከOIDC የሚገቡ ተጠቃሚዎችን በራስ-ሰር ይፍጠሩ። በOIDC በኩል ያሉ ተጠቃሚዎች ብቻ እንዲገቡ መፍቀድ ያሰናክሉ።	እውነት
ነባሪ['firezone']['ማረጋገጫ']['vpn_on_oidc_errorን አሰናክል']	የOIDC ቶከናቸውን ለማደስ ሲሞክሩ ስህተት ከተገኘ የተጠቃሚውን ቪፒኤን ያሰናክሉ።	FALSE
ነባሪ['firezone']['ማረጋገጫ']['oidc']	OpenID Connect config፣ በ{"አቅራቢ" => [ውቅር…]} ቅርጸት - ይመልከቱ የመታወቂያ ግንኙነት ሰነዶችን ይክፈቱ ለማዋቀር ምሳሌዎች.	{}
ነባሪ['firezone']['nginx']['ነቅቷል']	የተጠቀለለ nginx አገልጋይን አንቃ ወይም አሰናክል።	እውነት
ነባሪ['firezone']['nginx']['ssl_port']	HTTPS የመስማት ወደብ።	443
ነባሪ['firezone']['nginx']['ማውጫ']	ከFirezone ጋር የተገናኘ የ nginx ምናባዊ አስተናጋጅ ውቅረትን ለማከማቸት ማውጫ።	"#{node['firezone']['var_directory']}/nginx/ወዘተ"
ነባሪ['firezone']['nginx']['log_directory']	ከFirezone ጋር የሚዛመዱ nginx ሎግ ፋይሎችን ለማከማቸት ማውጫ።	"#{node['firezone']['log_directory']}/nginx"
ነባሪ ['firezone']['nginx']['log_rotation']['file_maxbytes']	የ Nginx ሎግ ፋይሎችን የሚሽከረከርበት የፋይል መጠን።	104857600
ነባሪ['firezone']['nginx']['log_rotation']['num_የሚቆይ']]	ከመጣልዎ በፊት የሚቀመጡ የFirezone nginx ሎግ ፋይሎች ብዛት።	10
ነባሪ['firezone']['nginx']['log_x_forwarded_for']	Firezone nginx x-forwarded-ለራስጌ ለመግባት ይሁን።	እውነት
ነባሪ['firezone']['nginx']['hsts_header']['ነቅቷል']	ያንቁ ወይም ያሰናክሉ ኤች.ኤስ.ቲ.ኤስ..	እውነት
ነባሪ['firezone']['nginx']['hsts_header']['ንዑብ ጎራዎችን ይጨምራል']	ለ HSTS ራስጌ ንዑስ ዶሜይንን ያንቁ ወይም ያሰናክሉ።	እውነት
ነባሪ['firezone']['nginx']['hsts_header']['max_age']	ለ HSTS ራስጌ ከፍተኛው ዕድሜ።	31536000
ነባሪ['firezone']['nginx']['redirect_to_canonical']	ዩአርኤሎችን ከላይ ወደተገለጸው ቀኖናዊ FQDN ለመምራት እንደሆነ	FALSE
ነባሪ['firezone']['nginx']['cache']['ነቅቷል']	የFirezone nginx መሸጎጫ አንቃ ወይም አሰናክል።	FALSE
ነባሪ['firezone']['nginx']['cache']['ማውጫ']	የFirezone nginx መሸጎጫ ማውጫ።	"#{node['firezone']['var_directory']}/nginx/cache"
ነባሪ['firezone']['nginx']['ተጠቃሚ']	Firezone nginx ተጠቃሚ።	መስቀለኛ መንገድ['firezone']['ተጠቃሚ']
ነባሪ['firezone']['nginx']['ቡድን']]	Firezone nginx ቡድን.	መስቀለኛ መንገድ['firezone']['ቡድን']
ነባሪ['firezone']['nginx']['dir']	ከፍተኛ-ደረጃ nginx ውቅር ማውጫ።	መስቀለኛ መንገድ['firezone']['nginx']['ማውጫ']
ነባሪ['firezone']['nginx']['log_dir']	ከፍተኛ-ደረጃ nginx መዝገብ ማውጫ።	መስቀለኛ መንገድ['firezone']['nginx']['log_directory']
ነባሪ['firezone']['nginx']['pid']	ለ nginx pid ፋይል ቦታ።	"#{node['firezone']['nginx']['directory']}/nginx.pid"
ነባሪ['firezone']['nginx']['daemon_disable']	በምትኩ መከታተል እንድንችል nginx daemon ሁነታን አሰናክል።	እውነት
ነባሪ['firezone']['nginx']['gzip']	nginx gzip መጭመቂያውን ያብሩት ወይም ያጥፉ።	በርቷል
ነባሪ['firezone']['nginx']['gzip_static']	ለተለዋዋጭ ፋይሎች የ nginx gzip መጭመቂያን ያብሩ ወይም ያጥፉ።	ጠፍቷል'
ነባሪ['firezone']['nginx']['gzip_http_version']	የማይንቀሳቀሱ ፋይሎችን ለማቅረብ የኤችቲቲፒ ሥሪት።	1.0 '
ነባሪ['firezone']['nginx']['gzip_comp_level']	nginx gzip መጭመቂያ ደረጃ።	2 '
ነባሪ['firezone']['nginx']['gzip_proxied']	በጥያቄው እና በምላሹ ላይ በመመስረት ለተኪ ጥያቄዎች ምላሾችን ማዞርን ያነቃል ወይም ያሰናክላል።	ማንኛውም'
ነባሪ['firezone']['nginx']['gzip_vary']	የ"Vary: Accept-Encoding" የምላሽ ራስጌ ማስገባትን ያነቃል ወይም ያሰናክላል።	ጠፍቷል'
ነባሪ['firezone']['nginx']['gzip_buffers']	ምላሹን ለመጨመቅ የሚያገለግሉትን የማቆሚያዎች ብዛት እና መጠን ያዘጋጃል። nil ከሆነ, nginx ነባሪ ጥቅም ላይ ይውላል.	ናይል
ነባሪ['firezone']['nginx']['gzip_types']	የ gzip መጭመቂያን ለማንቃት MIME ዓይነቶች።	['text/plain'፣ 'text/css'፣'application/x-javascript'፣ 'text/xml'፣ 'application/xml'፣ 'application/rss+xml'፣ 'application/atom+xml'፣' ጽሑፍ/ጃቫስክሪፕት'፣ 'መተግበሪያ/ጃቫስክሪፕት'፣ 'መተግበሪያ/json']
ነባሪ['firezone']['nginx']['gzip_min_length']	የፋይል gzip መጭመቅን ለማንቃት ዝቅተኛው የፋይል ርዝመት።	1000
ነባሪ['firezone']['nginx']['gzip_disable']	ለ gzip መጭመቅን ለማሰናከል የተጠቃሚ-ወኪል ማዛመጃ።	MSIE [1-6] \.'
ነባሪ['firezone']['nginx'][' keeppalive']	ወደላይ ከሚተላለፉ አገልጋዮች ጋር ለመገናኘት መሸጎጫ ያነቃል።	በርቷል
ነባሪ['firezone']['nginx']['የማቆየት_ጊዜ ማብቂያ']	ወደላይ ከሚተላለፉ አገልጋዮች ጋር የቀጥታ ግንኙነት እንዲኖር በሰከንዶች ውስጥ ጊዜው አልፎበታል።	65
ነባሪ['firezone']['nginx']['የሠራተኛ_ሂደቶች']	የ nginx ሰራተኛ ሂደቶች ብዛት.	node['cpu'] && node['cpu']['ጠቅላላ']? መስቀለኛ መንገድ['cpu']['ጠቅላላ']፡ 1
ነባሪ['firezone']['nginx']['የሰራተኛ_ግንኙነቶች']	በሠራተኛ ሂደት ሊከፈቱ የሚችሉ ከፍተኛ በአንድ ጊዜ የሚደረጉ ግንኙነቶች ብዛት።	1024
ነባሪ['firezone']['nginx']['ሠራተኛ_rlimit_nofile']	ለሰራተኛ ሂደቶች ከፍተኛው ክፍት ፋይሎች ብዛት ላይ ያለውን ገደብ ይለውጣል። nil ከሆነ nginx ነባሪ ይጠቀማል።	ናይል
ነባሪ['firezone']['nginx']['ብዙ_ተቀበል']]	ሰራተኞች አንድ ግንኙነት በአንድ ጊዜ ወይም ብዙ መቀበል አለባቸው።	እውነት
ነባሪ['firezone']['nginx']['ክስተት']	በ nginx ክስተቶች አውድ ውስጥ ለመጠቀም የግንኙነት ሂደት ዘዴን ይገልጻል።	ኢፖል'
ነባሪ['firezone']['nginx']['አገልጋይ_ቶከንስ']	በስህተት ገፆች እና በ"አገልጋይ" የምላሽ ራስጌ መስክ ላይ የ nginx እትምን መልቀቅን ያነቃል ወይም ያሰናክላል።	ናይል
ነባሪ['firezone']['nginx']['አገልጋይ_ስሞች_hash_bucket_size']	የባልዲውን መጠን ለአገልጋዩ ስም የሃሽ ጠረጴዛዎችን ያዘጋጃል።	64
ነባሪ['firezone']['nginx']['sendfile']	የ nginx's sendfile() መጠቀምን ያነቃል ወይም ያሰናክላል።	በርቷል
ነባሪ['firezone']['nginx']['access_log_options']	የ nginx መዳረሻ መዝገብ አማራጮችን ያዘጋጃል።	ናይል
ነባሪ['firezone']['nginx']['error_log_options']	የ nginx ስህተት ምዝግብ ማስታወሻ አማራጮችን ያዘጋጃል።	ናይል
ነባሪ['firezone']['nginx']['የመዳረሻ_ሎግ ማሰናከል']	የ nginx መዳረሻ መዝገብን ያሰናክላል።	FALSE
ነባሪ['firezone']['nginx']['አይነቶች_hash_max_size']	nginx አይነቶች hash max መጠን።	2048
ነባሪ['firezone']['nginx']['አይነቶች_hash_bucket_size']	nginx አይነቶች የሃሽ ባልዲ መጠን።	64
ነባሪ['firezone']['nginx']['proxy_read_timeout']	nginx ፕሮክሲ የማንበብ ጊዜ አለፈ። nginx ነባሪ ለመጠቀም ወደ nil አቀናብር።	ናይል
ነባሪ['firezone']['nginx']['client_body_buffer_size']	nginx ደንበኛ አካል ቋት መጠን። nginx ነባሪ ለመጠቀም ወደ nil አቀናብር።	ናይል
ነባሪ['firezone']['nginx']['client_max_body_size']	nginx ደንበኛ ከፍተኛው የሰውነት መጠን።	250 ሜ '
ነባሪ['firezone']['nginx']['ነባሪ']['ሞዱሎች']	ተጨማሪ የ nginx ሞጁሎችን ይግለጹ.	[]
ነባሪ['firezone']['nginx']['መጠን_መገደብ']	የ nginx መጠን መገደብን አንቃ ወይም አሰናክል።	እውነት
ነባሪ['firezone']['nginx']['ደረጃ_limiting_zone_name']	የNginx መጠን የሚገድበው የዞን ስም።	የእሳት አደጋ ዞን
ነባሪ['firezone']['nginx']['ተመን_limiting_backoff']	የNginx ፍጥነት ወደኋላ መመለስን ይገድባል።	10 ሜ '
ነባሪ['firezone']['nginx']['ተመን_ገደብ']	Nginx ተመን ገደብ.	10r/s'
ነባሪ['firezone']['nginx']['ipv6']	Nginx ከIPv6 በተጨማሪ የIPv4 የኤችቲቲፒ ጥያቄዎችን እንዲያዳምጥ ይፍቀዱለት።	እውነት
ነባሪ['firezone']['postgresql']['ነቅቷል']	የተጠቀለለ Postgresqlን አንቃ ወይም አሰናክል። ወደ ሐሰት ያቀናብሩ እና የራስዎን የ Postgresql ምሳሌ ለመጠቀም ከታች ያለውን የውሂብ ጎታ አማራጮችን ይሙሉ።	እውነት
ነባሪ['firezone']['postgresql']['የተጠቃሚ ስም']	የተጠቃሚ ስም ለ Postgresql	መስቀለኛ መንገድ['firezone']['ተጠቃሚ']
ነባሪ['firezone']['postgresql']['የውሂብ_ማውጫ']	Postgresql ውሂብ ማውጫ።	"#{node['firezone']['var_directory']}/postgresql/13.3/ዳታ"
ነባሪ['firezone']['postgresql']['log_directory']	Postgresql መዝገብ ማውጫ።	"#{node['firezone']['log_directory']}/postgresql"
ነባሪ['firezone']['postgresql']['log_rotation']['file_maxbytes']	የ Postgresql ሎግ ፋይል ከፍተኛ መጠን ከመዞሩ በፊት።	104857600
ነባሪ ['firezone']['postgresql']['log_rotation']['num_to_keep']	የሚቀመጡ የ Postgresql ምዝግብ ማስታወሻዎች ብዛት።	10
ነባሪ['firezone']['postgresql']['ማረጋገጫ_ማጠናቀቂያ_ዒላማ']	Postgresql የፍተሻ ነጥብ ማጠናቀቂያ ዒላማ።	0.5
ነባሪ['firezone']['postgresql']['checkpoint_segments']	የ Postgresql የፍተሻ ነጥብ ክፍሎች ብዛት።	3
ነባሪ['firezone']['postgresql']['የማረጋገጫ_ጊዜ አልቋል']	Postgresql የፍተሻ ነጥብ ጊዜ አልቋል።	5 ደቂቃ
ነባሪ['firezone']['postgresql']['checkpoint_ማስጠንቀቂያ']	Postgresql የፍተሻ ነጥብ የማስጠንቀቂያ ጊዜ በሰከንዶች ውስጥ።	30 ዎቹ
ነባሪ['firezone']['postgresql']['effective_cache_size']	Postgresql ውጤታማ የመሸጎጫ መጠን።	128 ሜባ
ነባሪ['firezone']['postgresql']['አድራሻ_ያዳምጡ']	Postgresql የመስማት አድራሻ።	127.0.0.1 '
ነባሪ['firezone']['postgresql']['max_connections']	Postgresql ከፍተኛ ግንኙነቶች።	350
ነባሪ['firezone']['postgresql']['md5_auth_cidr_addresses']	ለmd5 auth ለመፍቀድ Postgresql CIDRs።	['127.0.0.1/32'፣'::1/128']
ነባሪ['firezone']['postgresql']['ወደብ']	Postgresql የመስማት ወደብ።	15432
ነባሪ['firezone']['postgresql']['shared_buffers']	Postgresql የተጋሩ ቋት መጠን።	"#{(መስቀለኛ ['ማስታወሻ'] ['ጠቅላላ']።to_i / 4) / 1024}ሜባ
ነባሪ['firezone']['postgresql']['shmmax']	Postgresql shmax በባይት።	17179869184
ነባሪ['firezone']['postgresql']['shmall']	Postgresql shmall በባይት።	4194304
ነባሪ['firezone']['postgresql']['work_mem']	Postgresql የሚሰራ የማህደረ ትውስታ መጠን።	8 ሜባ
ነባሪ['firezone']['ዳታቤዝ']['ተጠቃሚ']	Firezone ከዲቢ ጋር ለመገናኘት የሚጠቀምበትን የተጠቃሚ ስም ይገልጻል።	መስቀለኛ መንገድ['firezone']['postgresql']['የተጠቃሚ ስም']
ነባሪ['firezone']['ዳታቤዝ']['የይለፍ ቃል']	ውጫዊ ዲቢ የሚጠቀሙ ከሆነ ፋየርዞን ከዲቢ ጋር ለመገናኘት የሚጠቀምበትን የይለፍ ቃል ይገልጻል።	ለውጠኝ'
ነባሪ['firezone']['ዳታቤዝ']['ስም']	Firezone የሚጠቀመው የውሂብ ጎታ። ከሌለ ይፈጠራል።	የእሳት አደጋ ዞን
ነባሪ['firezone']['ዳታቤዝ']['አስተናጋጅ']	Firezone የሚገናኘው የውሂብ ጎታ አስተናጋጅ።	መስቀለኛ መንገድ['firezone']['postgresql']['አድራሻ_ያዳምጡ']
ነባሪ['firezone']['ዳታቤዝ']['ወደብ']	Firezone የሚገናኘው የውሂብ ጎታ ወደብ።	መስቀለኛ መንገድ['firezone']['postgresql']['ወደብ']
ነባሪ['firezone']['ዳታቤዝ']['pool']	የውሂብ ጎታ ገንዳ መጠን Firezone ይጠቀማል።	[10፣ ወዘተ.nprocessors]።ከፍተኛ
ነባሪ['firezone']['ዳታቤዝ']['ssl']	በSSL በኩል ከመረጃ ቋቱ ጋር መገናኘት አለመሆኑ።	FALSE
ነባሪ['firezone']['ዳታቤዝ']['ssl_opts']	በSSL ሲገናኙ ወደ :ssl_opts አማራጭ ለመላክ የሃሽ አማራጮች። ተመልከት Ecto.Adapters.Postgres ሰነዶች.	{}
ነባሪ['firezone']['ዳታቤዝ']['መለኪያዎች']	ከመረጃ ቋቱ ጋር ሲገናኙ ወደ፡ parameters አማራጭ ለመላክ Hash of parameters. ተመልከት Ecto.Adapters.Postgres ሰነዶች.	{}
ነባሪ['firezone']['ዳታቤዝ']['ቅጥያዎች']	ለማንቃት የውሂብ ጎታ ቅጥያዎች።	{ 'plpgsql' => እውነት፣ 'pg_trgm' => እውነት }
ነባሪ['firezone']['ፎኒክስ']['ነቅቷል']	የFirezone ድር መተግበሪያን አንቃ ወይም አሰናክል።	እውነት
ነባሪ['firezone']['ፎኒክስ']['የማዳመጥ_አድራሻ']]	የFirezone ድር መተግበሪያ ማዳመጥ አድራሻ። ይህ የ nginx ፕሮክሲዎችን የሚያቀርበው የላይኛው የማዳመጥ አድራሻ ይሆናል።	127.0.0.1 '
ነባሪ['firezone']['phoenix']['port']	Firezone ድር መተግበሪያ ማዳመጥ ወደብ. ይህ የ nginx ፕሮክሲዎች ወደ ላይ ያለው ወደብ ይሆናል።	13000
ነባሪ['firezone']['phoenix']['log_directory']	Firezone የድር መተግበሪያ ምዝግብ ማስታወሻ ማውጫ።	"#{node['firezone']['log_directory']}/ፊኒክስ
ነባሪ ['firezone']['ፎኒክስ']['log_rotation']['file_maxbytes']	Firezone ድር መተግበሪያ የምዝግብ ማስታወሻ ፋይል መጠን.	104857600
ነባሪ['firezone']['ፎኒክስ']['log_rotation']['num_የሚቆይ']]	የሚቀመጡ የFirezone የድር መተግበሪያ ምዝግብ ማስታወሻ ፋይሎች ብዛት።	10
ነባሪ['firezone']['ፎኒክስ']['ብልሽት_ማወቂያ']['ነቅቷል']	ብልሽት ሲገኝ የFirezone ድር መተግበሪያን ማውረድ አንቃ ወይም አሰናክል።	እውነት
ነባሪ['firezone']['phoenix']['external_trusted_proxies']	እንደ አይፒ እና/ወይም ሲዲአርዎች ድርድር የተቀረጹ የታመኑ የተገላቢጦሽ ፕሮክሲዎች ዝርዝር።	[]
ነባሪ['firezone']['ፎኒክስ']['የግል_ደንበኞች']	የአይፒዎች እና/ወይም ሲዲአርዎች ድርድር የተቀረፀው የግል አውታረ መረብ HTTP ደንበኞች ዝርዝር።	[]
ነባሪ['firezone']['wireguard']['ነቅቷል']	የተጠቀለለ የWireGuard አስተዳደርን አንቃ ወይም አሰናክል።	እውነት
ነባሪ['firezone']['wireguard']['log_directory']	ለጥቅል የWireGuard አስተዳደር የምዝግብ ማስታወሻ ማውጫ።	"#{node['firezone']['log_directory']}/የዋየር ጥበቃ
ነባሪ ['firezone']['wireguard']['log_rotation']['file_maxbytes']	የWireGuard ምዝግብ ማስታወሻ ፋይል ከፍተኛ መጠን።	104857600
ነባሪ['firezone']['wireguard']['log_rotation']['num_የሚቆይ']]	የሚቀመጡ የWireGuard ምዝግብ ማስታወሻዎች ብዛት።	10
ነባሪ['firezone']['wireguard']['interface_name']	የ WireGuard በይነገጽ ስም። ይህን ግቤት መቀየር በቪፒኤን ግንኙነት ላይ ጊዜያዊ ኪሳራ ሊያስከትል ይችላል።	wg-ፋየርዞን'
ነባሪ ['firezone']['wireguard']['port']	WireGuard የመስማት ወደብ።	51820
ነባሪ['firezone']['wireguard']['mtu']	WireGuard በይነገጽ MTU ለዚህ አገልጋይ እና ለመሣሪያ ውቅሮች።	1280
ነባሪ['firezone']['wireguard']['የመጨረሻ ነጥብ']	WireGuard Endpoint የመሣሪያ ውቅረቶችን ለማምረት ያገለግላል። ካልሆነ፣ የአገልጋዩ ይፋዊ አይፒ አድራሻ ነባሪ ነው።	ናይል
ነባሪ['firezone']['wireguard']['dns']	WireGuard ዲ ኤን ኤስ ለተፈጠሩ የመሣሪያ ውቅሮች ለመጠቀም።	1.1.1.1፣ 1.0.0.1′
ነባሪ['firezone']['wireguard']['ተፈቀደው_ip']	WireGuard አይፒዎች ለተፈጠሩ የመሣሪያ ውቅሮች እንዲጠቀሙ ተፈቅዶላቸዋል።	0.0.0.0/0፣ ::/0′
ነባሪ['firezone']['wireguard']['ቀጣይ_ማቆየት']]	ለተፈጠሩ የመሣሪያ ውቅሮች ነባሪ የPersistentKeepalive ቅንብር። የ0 ዋጋ ያሰናክላል።	0
ነባሪ['firezone']['wireguard']['ipv4']['ነቅቷል']	ለWireGuard አውታረ መረብ IPv4 ን አንቃ ወይም አሰናክል።	እውነት
ነባሪ['firezone']['wireguard']['ipv4']['masquerade']	ከIPv4 መሿለኪያ ለወጡ ፓኬቶች ጭምብልን ያንቁ ወይም ያሰናክሉ።	እውነት
ነባሪ['firezone']['wireguard']['ipv4']['አውታረ መረብ']	WireGuard አውታረ መረብ IPv4 አድራሻ ገንዳ.	10.3.2.0/24 ′
ነባሪ['firezone']['wireguard']['ipv4']['አድራሻ']	WireGuard በይነገጽ IPv4 አድራሻ። በWireGuard አድራሻ ገንዳ ውስጥ መሆን አለበት።	10.3.2.1 '
ነባሪ['firezone']['wireguard']['ipv6']['ነቅቷል']	ለWireGuard አውታረ መረብ IPv6 ን አንቃ ወይም አሰናክል።	እውነት
ነባሪ['firezone']['wireguard']['ipv6']['masquerade']	ከIPv6 መሿለኪያ ለወጡ ፓኬቶች ጭምብልን ያንቁ ወይም ያሰናክሉ።	እውነት
ነባሪ['firezone']['wireguard']['ipv6']['አውታረ መረብ']	WireGuard አውታረ መረብ IPv6 አድራሻ ገንዳ.	fd00::3:2:0/120′
ነባሪ['firezone']['wireguard']['ipv6']['አድራሻ']	WireGuard በይነገጽ IPv6 አድራሻ። በIPv6 አድራሻ ገንዳ ውስጥ መሆን አለበት።	fd00:: 3:2:1"
ነባሪ['firezone']['runit']['svlogd_bin']	Runit svlogd bin መገኛ።	"#{node['firezone']['install_directory']}/የተከተተ/ቢን/svlogd"
ነባሪ['firezone']['ssl']['ማውጫ']	የመነጩ የምስክር ወረቀቶችን ለማከማቸት SSL ማውጫ።	/var/opt/firezone/ssl'
ነባሪ['firezone']['ssl']['ኢሜል_አድራሻ']]	ለራስ የተፈረሙ ሰርተፊኬቶች እና የACME ፕሮቶኮል እድሳት ማሳወቂያዎችን ለመጠቀም የኢሜይል አድራሻ።	you@example.com'
ነባሪ['firezone']['ssl']['acme']['ነቅቷል']	ለራስ-ሰር SSL ሰርተፍኬት አቅርቦት ACMEን ያንቁ። Nginx በፖርት 80 ላይ እንዳያዳምጥ ይህን አሰናክል። ይመልከቱ እዚህ ለተጨማሪ መመሪያዎች።	FALSE
ነባሪ['firezone']['ssl']['acme']['አገልጋይ']	የACME አገልጋይ የምስክር ወረቀት ለመስጠት/እድሳት ለመጠቀም። ማንኛውም ሊሆን ይችላል ትክክለኛ acme.sh አገልጋይ	ፍቀድ ኢንክሪፕት ማድረግን
ነባሪ ['firezone']['ssl']['acme']['የቁልፍ ርዝመት']	ለኤስኤስኤል የምስክር ወረቀቶች የቁልፍ አይነት እና ርዝመት ይግለጹ። ተመልከት እዚህ	ኢ -256
ነባሪ['firezone']['ssl']['ሰርቲፊኬት']	ለእርስዎ FQDN የምስክር ወረቀት ፋይል ዱካ። ከተገለጸ ከላይ ያለውን የACME ቅንብር ይሽራል። ሁለቱም ACME እና ይህ ምንም ካልሆኑ በራስ የተፈረመ ሰርተፍኬት ይፈጠራል።	ናይል
ነባሪ['firezone']['ssl']['ሰርቲፊኬት_ቁልፍ']	ወደ የምስክር ወረቀት ፋይል የሚወስደው መንገድ።	ናይል
ነባሪ ['firezone']['ssl']['ssl_dhparam']	nginx ssl dh_param.	ናይል
ነባሪ['firezone']['ssl']['የአገር_ስም']	በራስ የተፈረመ የምስክር ወረቀት የአገር ስም።	አሜሪካ
ነባሪ['firezone']['ssl']['ግዛት_ስም']	በራስ የተፈረመ የምስክር ወረቀት የግዛት ስም።	CA '
ነባሪ['firezone']['ssl']['አካባቢ_ስም']	በራስ የተፈረመ የምስክር ወረቀት የአካባቢ ስም።	ሳን ፍራንሲስኮ'
ነባሪ['firezone']['ssl']['የኩባንያ_ስም']	የኩባንያ ስም በራስ የተፈረመ የምስክር ወረቀት።	የእኔ ኩባንያ
ነባሪ['firezone']['ssl']['ድርጅት_ዩኒት_ስም']	በራስ የተፈረመ የምስክር ወረቀት የድርጅት ክፍል ስም።	ኦፕሬሽኖች
ነባሪ['firezone']['ssl']['ምስጢሮች']	የኤስ ኤስ ኤል ምስጢሮች ለ nginx ለመጠቀም።	ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-AES256-GCM-SHA384:DHE-RSA-AES128-GCM-SHA256:DHE-DSS-AES128-GCM-SHA256:kEDH+AESGCM:ECDHE-RSA-AES128-SHA256:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA:ECDHE-ECDSA-AES128-SHA:ECDHE-RSA-AES256-SHA384:ECDHE-ECDSA-AES256-SHA384:ECDHE-RSA-AES256-SHA:ECDHE-ECDSA-AES256-SHA:DHE-RSA-AES128-SHA256:DHE-RSA-AES128-SHA:DHE-DSS-AES128-SHA256:DHE-RSA-AES256-SHA256:DHE-DSS-AES256-SHA:DHE-RSA-AES256-SHA:AES128-GCM-SHA256:AES256-GCM-SHA384:AES128-SHA:AES256-SHA:AES:CAMELLIA:DES-CBC3-SHA:!aNULL:!eNULL:!EXPORT:!DES:!RC4:!MD5:!PSK:!aECDH:!EDH-DSS-DES-CBC3-SHA:!EDH-RSA-DES-CBC3-SHA:!KRB5-DES-CBC3-SHA’
ነባሪ['firezone']['ssl']['fips_ciphers']	የኤስኤስኤል ምስጢሮች ለFIPs ሁነታ።	FIPS @ ጥንካሬ::
ነባሪ['firezone']['ssl']['ፕሮቶኮሎች']	ጥቅም ላይ የሚውሉ የTLS ፕሮቶኮሎች።	TLSv1 TLSv1.1 TLSv1.2′
ነባሪ['firezone']['ssl']['session_cache']	የኤስኤስኤል ክፍለ ጊዜ መሸጎጫ።	የተጋራ:SSL:4m'
ነባሪ['firezone']['ssl]]['የክፍለ ጊዜ_ጊዜ አልቋል']	የኤስኤስኤል ክፍለ ጊዜ አልቋል።	5 ሜ '
ነባሪ['firezone']['robots_allow']	nginx ሮቦቶች ይፈቅዳሉ.	/'
ነባሪ['firezone']['robots_disallow']	nginx ሮቦቶች አይፈቀዱም።	ናይል
ነባሪ['firezone']['outbound_email']['ከ']	ከአድራሻ የወጪ ኢሜይል።	ናይል
ነባሪ['firezone']['outbound_email']['አቅራቢ']	የወጪ ኢሜይል አገልግሎት አቅራቢ።	ናይል
ነባሪ['firezone']['outbound_email']['configs']	የወጪ ኢሜይል አቅራቢዎችን ያዋቅራል።	omnibus/የምግብ መፅሃፍቶችን/ፋየርዞን/ባህሪያትን/default.rbን ተመልከት
ነባሪ['firezone']['telemetry']['ነቅቷል']	ስም-አልባ የምርት ቴሌሜትሪ አንቃ ወይም አሰናክል።	እውነት
ነባሪ['firezone']['ግንኙነት_ቼኮች']['ነቅቷል']	የFirezone የግንኙነት ፍተሻ አገልግሎትን አንቃ ወይም አሰናክል።	እውነት
ነባሪ['firezone']['connectivity_checks']['interval']	በሰከንዶች ውስጥ በግንኙነት ፍተሻ መካከል ያለው የጊዜ ክፍተት።	3_600

________________________________________________________________

ፋይል እና ማውጫ ቦታዎች

ከተለመደው የFirezone ጭነት ጋር የሚዛመዱ የፋይሎች እና ማውጫዎች ዝርዝር እዚህ ያገኛሉ። እነዚህ በማዋቀር ፋይልዎ ላይ በሚደረጉ ለውጦች ላይ በመመስረት ሊለወጡ ይችላሉ።

ዱካ	መግለጫ
/var/opt/firezone	ለFirezone ጥቅል አገልግሎቶች ውሂብ እና የመነጨ ውቅር የያዘ ከፍተኛ ደረጃ ማውጫ።
/opt/firezone	በFirezone የሚፈለጉ የተገነቡ ቤተ-መጻሕፍት፣ ሁለትዮሽ እና የአሂድ ጊዜ ፋይሎችን የያዘ ከፍተኛ ደረጃ ማውጫ።
/usr/bin/firezone-ctl	የFirezone ጭነትዎን ለማስተዳደር firezone-ctl utility።
/etc/systemd/system/firezone-runsvdir-start.አገልግሎት	የFirezone runsvdir ተቆጣጣሪ ሂደትን ለመጀመር systemd unit ፋይል።
/ወዘተ/Firezone	Firezone ውቅር ፋይሎች.

__________________________________________________________

የፋየርዎል አብነቶች

ይህ ገጽ በሰነዶች ውስጥ ባዶ ነበር።

_____________________________________________________________

የNftables ፋየርዎል አብነት

የሚከተሉት nftables ፋየርዎል አብነት Firezoneን የሚያሄደውን አገልጋይ ደህንነቱን ለመጠበቅ ጥቅም ላይ ሊውል ይችላል። አብነት አንዳንድ ግምቶችን ያደርጋል; ለአጠቃቀም ሁኔታዎ ደንቦቹን ማስተካከል ሊያስፈልግዎ ይችላል፡-

የWireGuard በይነገጽ wg-firezone ይባላል። ይህ ትክክል ካልሆነ፣ የDEV_WIREGUARD ተለዋዋጭ ከነባሪው['firezone']['wireguard']['interface_name'] ውቅረት አማራጭ ጋር ይቀይሩት።
እያዳመጠ ያለው WireGuard ወደብ 51820 ነው። ነባሪውን ወደብ ካልተጠቀምክ የWIREGUARD_PORT ተለዋዋጭ ለውጥ።
የሚከተለው የመግቢያ ትራፊክ ብቻ ወደ አገልጋዩ ይፈቀዳል፡-
- ኤስኤስኤች (TCP ወደብ 22)
- HTTP (TCP ወደብ 80)
- HTTPS (TCP ወደብ 443)
- WireGuard (UDP ወደብ WIREGUARD_PORT)
- UDP traceroute (UDP ወደብ 33434-33524፣ መጠን በ 500/ሴኮንድ የተገደበ)
- ICMP እና ICMPv6 (የፒንግ/ፒንግ ምላሾች መጠን በ2000/ሰከንድ የተገደበ)
ከአገልጋዩ የሚከተለው የወጪ ትራፊክ ብቻ ነው የሚፈቀደው፡-
- ዲ ኤን ኤስ (UDP እና TCP ወደብ 53)
- HTTP (TCP ወደብ 80)
- NTP (UDP ወደብ 123)
- HTTPS (TCP ወደብ 443)
- SMTP ማስገባት (TCP ወደብ 587)
- UDP traceroute (UDP ወደብ 33434-33524፣ መጠን በ 500/ሴኮንድ የተገደበ)
ተመጣጣኝ ያልሆነ ትራፊክ ይመዘገባል. ለመመዝገብ የሚያገለግሉት ደንቦች ትራፊክን ለመጣል ከህጎች የተለዩ እና የተገደቡ ናቸው። አግባብነት ያለው የምዝግብ ማስታወሻ ደንቦችን ማስወገድ በትራፊክ ላይ ተጽዕኖ አይኖረውም.

Firezone የሚተዳደሩ ህጎች</s>

Firezone በድር በይነገጽ ውስጥ ወደተዋቀሩ መዳረሻዎች ትራፊክን ለመፍቀድ/ ውድቅ ለማድረግ እና ወደ ውጪ NAT ለደንበኛ ትራፊክ ለመቆጣጠር የራሱን nftables ደንቦችን ያዋቅራል።

ከዚህ በታች ያለውን የፋየርዎል አብነት በሂደት ላይ ባለው አገልጋይ (በቡት ሰአት ሳይሆን) መተግበሩ የFirezone ህጎች እንዲጸዱ ያደርጋል። ይህ የደህንነት አንድምታ ሊኖረው ይችላል።

በዚህ ዙሪያ ለመስራት የፎኒክስ አገልግሎትን እንደገና ያስጀምሩ፡-

firezone-ctl ፊኒክስን እንደገና ያስጀምሩ

ቤዝ ፋየርዎል አብነት</s>

#!/usr/sbin/nft -f

## ሁሉንም ነባር ደንቦች አጽዳ/አጥራ

መፍሰስ ደንቦች

ተለዋዋጮች ######################## ############

## የበይነመረብ / ዋን በይነገጽ ስም

DEV_WAN = eth0 ን ይግለጹ

## WireGuard በይነገጽ ስም

DEV_WIREGUARD = wg-firezoneን ይግለጹ

## WireGuard የመስማት ወደብ

WIREGUARD_PORT = ይግለጹ 51820

#########################################ተለዋዋጮች መጨረሻ ################# ##########

# ዋና የኢኔት ቤተሰብ ማጣሪያ ጠረጴዛ

የጠረጴዛ ኢኔት ማጣሪያ {

# የተላለፈ ትራፊክ ህጎች

# ይህ ሰንሰለት ከFirezone ወደፊት ሰንሰለት በፊት ነው የሚሰራው።

ሰንሰለት ወደፊት {

ዓይነት ማጣሪያ መንጠቆ ወደፊት ቅድሚያ ማጣሪያ - 5; ፖሊሲ መቀበል

}

# የግቤት ትራፊክ ህጎች

ሰንሰለት ግቤት {

አይነት ማጣሪያ መንጠቆ ግብዓት ቅድሚያ ማጣሪያ; የፖሊሲ ውድቀት

## ወደ loopback በይነገጽ የሚያስገባ ትራፊክ ፍቀድ

iif lo \

ተቀበል \

አስተያየት "ከ loopback በይነገጽ ሁሉንም ትራፊክ ፍቀድ"

## የተቋቋሙ እና ተዛማጅ ግንኙነቶችን ይፍቀዱ

ct ሁኔታ ተመስርቷል፣ተዛመደ

ተቀበል \

አስተያየት "የተመሰረቱ/የተያያዙ ግንኙነቶችን ፍቀድ"

## ወደ ውስጥ የሚገባ የWireGuard ትራፊክ ፍቀድ

አይፍ $DEV_WAN udp dport $WIREGUARD_PORT \

ቆጣሪ \

ተቀበል \

አስተያየት "ወደ ውስጥ የሚያስገባ የWireGuard ትራፊክ ፍቀድ"

## አዲስ የTCP SYN ያልሆኑ ፓኬጆችን ይመዝገቡ እና ይጣሉ

tcp ባንዲራዎች!= synct state new \\

ገደብ መጠን 100/ ደቂቃ ፍንዳታ 150 ጥቅሎች \

የምዝግብ ማስታወሻ ቅድመ ቅጥያ "IN - አዲስ !SYN:" \

አስተያየት የSYN TCP ባንዲራ ለሌላቸው አዳዲስ ግንኙነቶች የግምገማ ደረጃ ገደብ

tcp ባንዲራዎች!= synct state new \\

ቆጣሪ \

ጣል \

አስተያየት "የ SYN TCP ባንዲራ የሌላቸውን አዳዲስ ግንኙነቶችን ጣል"

## የTCP ፓኬጆችን ያስገቡ እና ልክ ያልሆነ የፊን/ሲን ባንዲራ ያዘጋጁ

tcp ባንዲራዎች እና (ፊን|syn) == (ፊን|ሲን) \

ገደብ መጠን 100/ ደቂቃ ፍንዳታ 150 ጥቅሎች \

የምዝግብ ማስታወሻ ቅድመ ቅጥያ “IN – TCP FIN|SIN፡” \

አስተያየት "ልክ ያልሆነ የፊን/ሲን ምልክት ባንዲራ አዘጋጅ ለTCP ፓኬቶች የመግቢያ ገደብ"

tcp ባንዲራዎች እና (ፊን|syn) == (ፊን|ሲን) \

ቆጣሪ \

ጣል \

አስተያየት "የ TCP ፓኬጆችን ልክ ያልሆነ የፊን/ሲን ምልክት ባንዲራ አዘጋጅ"

## የTCP ፓኬጆችን ያስገቡ እና ልክ ያልሆነ የሲን/መጀመሪያ ባንዲራ ያዘጋጁ

tcp ባንዲራዎች እና (syn|መጀመሪያ) == (syn|መጀመሪያ) \

ገደብ መጠን 100/ ደቂቃ ፍንዳታ 150 ጥቅሎች \

የምዝግብ ማስታወሻ ቅድመ ቅጥያ "IN - TCP SYN|RST:" \

አስተያየት "ልክ ያልሆነ የሲን/መጀመሪያ ባንዲራ ከተዘጋጀው ለTCP ጥቅሎች የመግቢያ ገደብ"

tcp ባንዲራዎች እና (syn|መጀመሪያ) == (syn|መጀመሪያ) \

ቆጣሪ \

ጣል \

አስተያየት "የ TCP ፓኬጆችን ልክ ያልሆነ የሲን/መጀመሪያ ባንዲራ አዘጋጅ"

## ልክ ያልሆኑ የTCP ባንዲራዎችን ይመዝገቡ እና ይጣሉ

tcp ባንዲራዎች እና (ፊን|syn|rst|psh|ack|urg) < (ፊን) \

ገደብ መጠን 100/ ደቂቃ ፍንዳታ 150 ጥቅሎች \

የምዝግብ ማስታወሻ ቅድመ ቅጥያ "IN - FIN:" \

አስተያየት "ልክ ላልሆኑ የTCP ባንዲራዎች (fin|syn|rst|psh|ack|urg)" (ፊን) መግባት ደረጃ ገደብ"

tcp ባንዲራዎች እና (ፊን|syn|rst|psh|ack|urg) < (ፊን) \

ቆጣሪ \

ጣል \

አስተያየት "የTCP ፓኬጆችን ባንዲራዎች (ፊን| syn|rst|psh|ack|urg) <(ፊን) ጣል"

## ልክ ያልሆኑ የTCP ባንዲራዎችን ይመዝገቡ እና ይጣሉ

tcp flags & (fin|syn|rst|psh|ack|urg) == (ፊን|psh|urg) \

ገደብ መጠን 100/ ደቂቃ ፍንዳታ 150 ጥቅሎች \

የምዝግብ ማስታወሻ ቅድመ ቅጥያ "IN - FIN | PSH | URG:" \

አስተያየት "ልክ ላልሆኑ የTCP ባንዲራዎች (fin|syn|rst|psh|ack|urg) == (ፊን|psh|urg) መግባት ደረጃ ገደብ"

tcp flags & (fin|syn|rst|psh|ack|urg) == (ፊን|psh|urg) \

ቆጣሪ \

ጣል \

አስተያየት "TCP ፓኬቶችን ባንዲራዎች (ፊን| syn|rst|psh|ack|urg) == (ፊን|psh|urg) ጣል"

## ትራፊክን ልክ ባልሆነ የግንኙነት ሁኔታ ጣል ያድርጉ

ልክ ያልሆነ \\

ገደብ መጠን 100/ ደቂቃ ፍንዳታ 150 ጥቅሎች \

ሎግ ባንዲራዎች ሁሉንም ቅድመ ቅጥያ "IN - ልክ ያልሆነ:" \

አስተያየት "ልክ ያልሆነ የግንኙነት ሁኔታ ላለው ትራፊክ መግቢያ የደረጃ ገደብ"

ልክ ያልሆነ \\

ቆጣሪ \

ጣል \

አስተያየት "ትራፊክን ልክ ባልሆነ የግንኙነት ሁኔታ ጣል"

## የ IPv4 ፒንግ/ፒንግ ምላሾችን ይፍቀዱ ነገር ግን የዋጋ ገደብ እስከ 2000 ፒፒኤስ

ip ፕሮቶኮል icmp icmp አይነት { echo-reply, echo-request} \

ገደብ መጠን 2000/ሁለተኛ \

ቆጣሪ \

ተቀበል \

አስተያየት "በ4 ፒፒኤስ የተገደበ የ IPv2000 echo (ፒንግ) ፍቀድ"

## ሁሉንም ወደ ውስጥ የሚገቡ IPv4 ICMP ፍቀድ

ip ፕሮቶኮል icmp

ቆጣሪ \

ተቀበል \

አስተያየት ሁሉንም ሌሎች IPv4 ICMP ፍቀድ

## የ IPv6 ፒንግ/ፒንግ ምላሾችን ይፍቀዱ ነገር ግን የዋጋ ገደብ እስከ 2000 ፒፒኤስ

icmpv6 አይነት {echo-reply, echo-request} \

ገደብ መጠን 2000/ሁለተኛ \

ቆጣሪ \

ተቀበል \

አስተያየት "በ6 ፒፒኤስ የተገደበ የ IPv2000 echo (ፒንግ) ፍቀድ"

## ሁሉንም ወደ ውስጥ የሚገቡ IPv6 ICMP ፍቀድ

meta l4proto {icmpv6} \

ቆጣሪ \

ተቀበል \

አስተያየት ሁሉንም ሌሎች IPv6 ICMP ፍቀድ

## ወደ ውስጥ የሚገቡ traceroute UDP ወደቦች ፍቀድ ግን እስከ 500 ፒፒኤስ ድረስ ይገድቡ

udp dport 33434-33524

ገደብ መጠን 500/ሁለተኛ \

ቆጣሪ \

ተቀበል \

አስተያየት "በ500 ፒፒኤስ የተገደበ የ UDP መፈለጊያ መንገድ ፍቀድ"

## ወደ ኤስኤስኤች እንዲገባ ፍቀድ

tcp dport SSH ct አዲስ

ቆጣሪ \

ተቀበል \

አስተያየት "ወደ ውስጥ የኤስኤስኤች ግንኙነቶችን ፍቀድ"

## ወደ ውስጥ ለመግባት HTTP እና HTTPS ፍቀድ

tcp dport {http, https } ct አዲስ ሁኔታ

ቆጣሪ \

ተቀበል \

አስተያየት "የመግቢያ HTTP እና HTTPS ግንኙነቶችን ፍቀድ"

## ማንኛውም ያልተዛመደ ትራፊክ ይመዝገቡ ነገር ግን የመግቢያ መጠን ገደብ ቢበዛ 60 መልእክት / ደቂቃ

## ነባሪው ፖሊሲ ባልተዛመደ ትራፊክ ላይ ይተገበራል።

ገደብ መጠን 60/ ደቂቃ ፍንዳታ 100 ጥቅሎች \

የምዝግብ ማስታወሻ ቅድመ ቅጥያ "ውስጥ - ጣል:" \

አስተያየት "ያልተዛመደ ትራፊክ ይመዝገቡ"

## የማይመሳሰል ትራፊክ ይቁጠሩ

ቆጣሪ \

አስተያየት "ያልተዛመደ ትራፊክ ይቁጠሩ"

}

# የውጤት ትራፊክ ህጎች

የሰንሰለት ውጤት {

አይነት ማጣሪያ መንጠቆ ውፅዓት ቅድሚያ ማጣሪያ; የፖሊሲ ውድቀት

## ወደ loopback በይነገጽ የሚወጣ ትራፊክ ፍቀድ

ኦፍ ሎ

ተቀበል \

አስተያየት "ሁሉንም ትራፊክ ወደ loopback በይነገጽ ፍቀድ"

## የተቋቋሙ እና ተዛማጅ ግንኙነቶችን ይፍቀዱ

ct ሁኔታ ተመስርቷል፣ተዛመደ

ቆጣሪ \

ተቀበል \

አስተያየት "የተመሰረቱ/የተያያዙ ግንኙነቶችን ፍቀድ"

## ከመጥፎ ሁኔታ ጋር ግንኙነቶችን ከመጣልዎ በፊት ወደ ውጭ የሚወጣ የWireGuard ትራፊክ ፍቀድ

oif $DEV_WAN udp ስፖርት $WIREGUARD_PORT \

ቆጣሪ \

ተቀበል \

አስተያየት "WireGuard ወደ ውጭ ትራፊክ ፍቀድ"

## ትራፊክን ልክ ባልሆነ የግንኙነት ሁኔታ ጣል ያድርጉ

ልክ ያልሆነ \\

ገደብ መጠን 100/ ደቂቃ ፍንዳታ 150 ጥቅሎች \

ሎግ ባንዲራዎች ሁሉንም ቅድመ ቅጥያ "ውጣ - ልክ ያልሆነ:" \

አስተያየት "ልክ ያልሆነ የግንኙነት ሁኔታ ላለው ትራፊክ መግቢያ የደረጃ ገደብ"

ልክ ያልሆነ \\

ቆጣሪ \

ጣል \

አስተያየት "ትራፊክን ልክ ባልሆነ የግንኙነት ሁኔታ ጣል"

## ሁሉንም ወደ ውጭ የሚላኩ IPv4 ICMP ፍቀድ

ip ፕሮቶኮል icmp

ቆጣሪ \

ተቀበል \

አስተያየት ሁሉንም የ IPv4 ICMP ዓይነቶች ፍቀድ

## ሁሉንም ወደ ውጭ የሚላኩ IPv6 ICMP ፍቀድ

meta l4proto {icmpv6} \

ቆጣሪ \

ተቀበል \

አስተያየት ሁሉንም የ IPv6 ICMP ዓይነቶች ፍቀድ

## ወደ ውጭ የሚሄዱ የዱካ አቅጣጫ UDP ወደቦችን ይፍቀዱ ግን እስከ 500 ፒፒኤስ ድረስ ይገድቡ

udp dport 33434-33524

ገደብ መጠን 500/ሁለተኛ \

ቆጣሪ \

ተቀበል \

አስተያየት "በ500 ፒፒኤስ የተገደበ የ UDP መፈለጊያ መንገድ ፍቀድ"

## ወደ ውጭ መላክ HTTP እና HTTPS ግንኙነቶችን ፍቀድ

tcp dport {http, https } ct አዲስ ሁኔታ

ቆጣሪ \

ተቀበል \

አስተያየት "የወጪ ኤችቲቲፒ እና HTTPS ግንኙነቶችን ፍቀድ"

## ወደ ውጪ SMTP ማስገባትን ፍቀድ

tcp dport ማስረከቢያ ct አዲስ ሁኔታ

ቆጣሪ \

ተቀበል \

አስተያየት "ወደ ውጪ SMTP ማስገባትን ፍቀድ"

## ወደ ውጪ የዲ ኤን ኤስ ጥያቄዎችን ፍቀድ

udp dport 53 \

ቆጣሪ \

ተቀበል \

አስተያየት "ወደ ውጪ የ UDP ዲ ኤን ኤስ ጥያቄዎችን ፍቀድ"

tcp dport 53 \

ቆጣሪ \

ተቀበል \

አስተያየት "የወጪ የTCP ዲኤንኤስ ጥያቄዎችን ፍቀድ"

## ወደ ውጭ የሚደረጉ የNTP ጥያቄዎችን ፍቀድ

udp dport 123 \

ቆጣሪ \

ተቀበል \

አስተያየት "ወደ ውጪ የNTP ጥያቄዎችን ፍቀድ"

## ማንኛውም ያልተዛመደ ትራፊክ ይመዝገቡ ነገር ግን የመግቢያ መጠን ገደብ ቢበዛ 60 መልእክት / ደቂቃ

## ነባሪው ፖሊሲ ባልተዛመደ ትራፊክ ላይ ይተገበራል።

ገደብ መጠን 60/ ደቂቃ ፍንዳታ 100 ጥቅሎች \

የምዝግብ ማስታወሻ ቅድመ ቅጥያ "ውጣ - ጣል:" \

አስተያየት "ያልተዛመደ ትራፊክ ይመዝገቡ"

## የማይመሳሰል ትራፊክ ይቁጠሩ

ቆጣሪ \

አስተያየት "ያልተዛመደ ትራፊክ ይቁጠሩ"

}

# ዋና የ NAT ማጣሪያ ጠረጴዛ

ሠንጠረዥ inet nat {

# የNAT ትራፊክ ቅድመ-መንገድ ህጎች

ሰንሰለት ቅድመ ዝግጅት {

አይነት nat መንጠቆ prerouting ቅድሚያ dstnat; ፖሊሲ መቀበል

}

# ለ NAT ትራፊክ ድህረ-ራውት ህጎች

# ይህ ሰንጠረዥ ከFirezone ድህረ-ራውቲንግ ሰንሰለት በፊት ነው የሚሰራው።

ሰንሰለት ማስተላለፍ {

አይነት nat መንጠቆ postrouting ቅድሚያ srcnat – 5; ፖሊሲ መቀበል

}

አጠቃቀም</s>

ፋየርዎል እየሄደ ላለው የሊኑክስ ስርጭት በተዛማጅ ቦታ መቀመጥ አለበት። ለዴቢያን/ኡቡንቱ ይህ /etc/nftables.conf እና ለ RHEL ይህ /etc/sysconfig/nftables.conf ነው።

nftables.አገልግሎት በቡት ላይ ለመጀመር (ካልሆነ) ማዋቀር ያስፈልገዋል፡-

systemctl nftables.አገልግሎትን አንቃ

በፋየርዎል አብነት ላይ ማናቸውንም ለውጦች ካደረጉ የቼክ ትዕዛዙን በማስኬድ አገባብ ሊረጋገጥ ይችላል፡-

nft -f /path/to/nftables.conf -c

በአገልጋዩ ላይ በሚሰራው ልቀት ላይ በመመስረት የተወሰኑ nftables ባህሪያት ላይገኙ ስለሚችሉ የፋየርዎል ስራዎችን እንደተጠበቀው ማረጋገጥዎን እርግጠኛ ይሁኑ።

_______________________________________________________________

ቴለሜትር

ይህ ሰነድ የቴሌሜትሪ ፋየርዞን በራስዎ ካስተናገደው ምሳሌ እና እንዴት እንደሚያሰናክሉት አጠቃላይ እይታን ያቀርባል።

ለምን Firezone ቴሌሜትሪ ይሰበስባል</s>

ፋየርዞን ይተማመናል በቴሌሜትሪ ለፍኖተ ካርታችን ቅድሚያ ለመስጠት እና ፋየር ዞንን ለሁሉም ሰው የተሻለ ለማድረግ ያለንን የምህንድስና ግብአቶችን ለማመቻቸት።

የምንሰበስበው ቴሌሜትሪ የሚከተሉትን ጥያቄዎች ለመመለስ ያለመ ነው።

ምን ያህል ሰዎች Firezoneን ሲጭኑ፣ ሲጠቀሙ እና ሲያቆሙ?
የትኞቹ ባህሪያት በጣም ዋጋ ያላቸው ናቸው, እና የትኛው ምንም ጥቅም የማይታይባቸው?
የትኛው ተግባር የበለጠ መሻሻል ያስፈልገዋል?
አንድ ነገር ሲሰበር ለምን ተበላሽቷል እና ወደፊት እንዳይከሰት እንዴት መከላከል እንችላለን?

ቴሌሜትሪ እንዴት እንደምንሰበስብ</s>

በFirezone ውስጥ ቴሌሜትሪ የሚሰበሰብባቸው ሦስት ዋና ዋና ቦታዎች አሉ።

የጥቅል ቴሌሜትሪ. እንደ መጫን፣ ማራገፍ እና ማሻሻል ያሉ ክስተቶችን ያካትታል።
CLI ቴሌሜትሪ ከ firezone-ctl ትዕዛዞች።
የምርት ቴሌሜትሪ ከድር ፖርታል ጋር የተያያዘ።

በእያንዳንዳቸው በእነዚህ ሶስት አውድ ውስጥ፣ ከላይ ባለው ክፍል ውስጥ ያሉትን ጥያቄዎች ለመመለስ አስፈላጊ የሆነውን አነስተኛውን የውሂብ መጠን እንይዛለን።

የአስተዳዳሪ ኢሜይሎች የሚሰበሰቡት ለምርት ዝማኔዎች በግልፅ መርጠው ከገቡ ብቻ ነው። ያለበለዚያ ፣ በግል ሊለይ የሚችል መረጃ ነው። ፈጽሞ ተሰብስቧል።

ፋየርዞን ቴሌሜትሪዎችን በራሱ በሚስተናገድ የPostHog ምሳሌ በግል የኩበርኔትስ ክላስተር ውስጥ እየሮጠ፣ በFirezone ቡድን ብቻ የሚገኝ። ከእርስዎ የFirezone ምሳሌ ወደ ቴሌሜትሪ አገልጋያችን የተላከ የቴሌሜትሪ ክስተት ምሳሌ ይኸውና፡

{

"መታወቂያ": “0182272d-0b88-0000-d419-7b9a413713f1”,

"የጊዜ ማህተም": “2022-07-22T18:30:39.748000+00:00”,

"ክስተት": "fz_http_ጀምሯል",

"የተለየ_መታወቂያ": “1ec2e794-1c3e-43fc-a78f-1db6d1a37f54”,

"ንብረቶች"፦ {

"$ geoip_city_ስም": "አሽበርን",

"$ geoip_continent_code": "NA",

"$ geoip_continent_ስም": "ሰሜን አሜሪካ",

"$ geoip_country_code": “አሜሪካ”,

"$ geoip_country_ስም": "ዩናይትድ ስቴት",

"$ geoip_latitude": 39.0469,

"$ geoip_longitude": -77.4903,

"$ geoip_postal_code": "20149",

"$ geoip_subdivision_1_code": "ቪኤ",

"$ geoip_subdivision_1_ስም": "ቨርጂኒያ",

"$ geoip_time_zone": "አሜሪካ/ኒው ዮርክ",

"$ ip": "52.200.241.107",

"$plugins_የዘገየ": []

"$plugins_failed": []

"$plugins_ተሳካላቸው": [

"ጂኦአይፒ (3)"

"የተለየ_መታወቂያ": “1zc2e794-1c3e-43fc-a78f-1db6d1a37f54”,

"fqdn": "awsdemo.firezone.dev",

"የከርነል_ስሪት": ሊኑክስ 5.13.0,

"ስሪት": "0.4.6"

"ንጥረ ነገሮች_ሰንሰለት": ""

}

ቴሌሜትሪን እንዴት ማሰናከል እንደሚቻል</s>

ማስታወሻ

የFirezone ልማት ቡድን ይተማመናል Firezoneን ለሁሉም ሰው የተሻለ ለማድረግ በምርት ትንታኔ ላይ። ቴሌሜትሪ እንደነቃ መተው ለFirezone እድገት ልታደርጉት የምትችሉት ብቸኛው በጣም ጠቃሚ አስተዋጽዖ ነው። ይህ እንዳለ፣ አንዳንድ ተጠቃሚዎች ከፍ ያለ የግላዊነት ወይም የደህንነት መስፈርቶች እንዳላቸው እንረዳለን እና ቴሌሜትሪን ሙሉ በሙሉ ማሰናከልን እንመርጣለን። አንተ ከሆንክ ማንበብህን ቀጥል።

ቴሌሜትሪ በነባሪነት ነቅቷል። የምርት ቴሌሜትሪ ሙሉ ለሙሉ ለማሰናከል የሚከተለውን የውቅር አማራጭ በ /etc/firezone/firezone.rb ውስጥ ወደ ሐሰት ያቀናብሩ እና ለውጦቹን ለማንሳት sudo firezone-ctl reconfigureን ያሂዱ።

ነባሪ['የእሳት አደጋ']['ቴሌሜትሪ']['ነቅቷል'] = የሐሰት

ያ ሁሉንም የምርት ቴሌሜትሪ ሙሉ በሙሉ ያሰናክላል።

Hailbytes VPN ከFirezone ፋየርዎል ሰነድ ጋር

ዝርዝር ሁኔታ

አጅማመር

ለጋራ ውቅረቶች መመሪያዎች

ድጋፍ ያግኙ

ማረጋገጫ

ቆንጆ ዩአርኤሎች

ከታዋቂ የማንነት አቅራቢዎች ጋር ለFirezone ማዋቀር መመሪያዎች

በመደበኛነት እንደገና ማረጋገጥን ያቆዩ

እንደገና ማረጋገጥ

google

የማዋቀር ቅንብሮችን ያግኙ

Firezone ውህደት

Okta

Okta መተግበሪያን ያዋህዱ

Firezoneን ያዋህዱ

ለተወሰኑ ተጠቃሚዎች መዳረሻን ገድብ

አዙር አክቲቭ ማውጫ

የማዋቀር ቅንብሮችን ያግኙ

Firezone ውህደት

እንዴት ማድረግ እንደሚቻል፡ ለተወሰኑ አባላት መዳረሻን መገደብ

አስተዳድር

አዋቅር

መጫኑን ያስተዳድሩ

አሻሽል

ከ<0.5.0 ወደ >=0.5.0 አሻሽል።

የተጠቀለለ Nginx non_ssl_port (ኤችቲቲፒ) ጥያቄዎች ተወግደዋል

የACME ፕሮቶኮል ድጋፍ

ተደራራቢ የ Egress Rule መድረሻዎች

Okta እና Google ኤስኤስኦን አስቀድመው በማዋቀር ላይ

ከ 0.3.x ወደ >= 0.3.16 አሻሽል።

ከ 0.3.1 ወደ >= 0.3.2 አሻሽል።

ከ 0.2.x ወደ 0.3.x አሻሽል

ከ 0.1.x ወደ 0.2.x አሻሽል

ችግርመፍቻ

የግንኙነት ጉዳዮችን ማረም

ዋሻው ሲሰራ የበይነመረብ ግንኙነት ይወድቃል

የደህንነት ከግምት

አገልግሎቶች እና ወደቦች

የምርት ማሰማራት

የ SQL መጠይቆችን ያሂዱ

የተጠቃሚ መመሪያዎች

ተጠቃሚዎችን ያክሉ

የድር UI

መሣሪያዎችን ያክሉ

የአስተዳዳሪ መሣሪያ ውቅር በማመንጨት ላይ

የመውጣት ህጎች

የደንበኛ መመሪያዎች

1. የቤተኛ WireGuard ደንበኛን ይጫኑ

2. የመሳሪያውን ውቅር ፋይል ያውርዱ

3. የደንበኛውን ውቅር አክል

የክፍለ-ጊዜው እንደገና ማረጋገጥ

1. የ VPN ግንኙነትን ያጥፉ

2. እንደገና ያረጋግጡ

ደረጃ 3፡ የቪፒኤን ክፍለ ጊዜ አስጀምር

የአውታረ መረብ አስተዳዳሪ ለሊኑክስ

ማስታወሻ

1. የ WireGuard መሳሪያዎችን ይጫኑ

2. የማውረድ ውቅረት

3. የማስመጣት ቅንብሮች

ማስታወሻ

4. ያገናኙ ወይም ያላቅቁ

ራስ -ሰር ግንኙነት

የብዝሃ-ፋክተር ማረጋገጫ እንዲገኝ አድርግ

የተከፈለ ዋሻ VPN

1. የተፈቀዱ አይፒዎችን ያዋቅሩ

ማስታወሻ

2. የ WireGuard ውቅሮችን ያድሱ

የተገላቢጦሽ ዋሻ

መስቀለኛ መንገድ ወደ መስቀለኛ መንገድ

መሣሪያ ኤ

ቢ መሣሪያ

የአስተዳዳሪ ጉዳይ - ከአንድ እስከ ብዙ አንጓዎች

መሣሪያ A (የአስተዳዳሪ መስቀለኛ መንገድ)

መሣሪያ B

መሣሪያ ሲ

መሣሪያ ዲ

NAT ጌትዌይ

የAWS ምሳሌ

1. የFirezone አገልጋይን ይጫኑ