デジタルモード限定・アマチュア局の遠隔操作に対応する その3 ファイアウォール設定編
これまでにVPNとDNSを設定しました。外部に向けて開いているのはWireGuardの51820番ポートのUDPパケットだけですが、それでもルータのファイアウォールだけに頼るのは正直不安がない訳ではありません。
となればファイアウォールを立てるしかないですよね。
※表題画像はChatGPTに生成させました。無線風味がありませんね。
※26/03/21追記: ポリシーを一部修正しました。
ufw
一昔前は難解なiptablesで個別にポートを開閉していましたが、今時はufwでサクッと設定できちゃいます。
方針
SSH 22番
WireGuard 51820番 UDP
LAN (192.168.10.0/24) からのDNS 53番 TCP/UDP
VPN (10.0.0.0/24) からのDNS 53番 TCP/UDP
ルーティング (VPN <-> LAN, VPN <-> VPN)
設定
$ sudo ufw default deny incoming
$ sudo ufw default allow outgoing
$ sudo ufw default deny routed
$ sudo ufw allow 22/tcp
$ sudo ufw allow 51820/udp
$ sudo ufw allow in on eth0 from 192.168.10.0/24 to any port 53 proto udp
$ sudo ufw allow in on eth0 from 192.168.10.0/24 to any port 53 proto tcp
$ sudo ufw allow in on wg0 from 10.0.0.0/24 to any port 53 proto udp
$ sudo ufw allow in on wg0 from 10.0.0.0/24 to any port 53 proto tcp
$ sudo ufw route allow in on wg0 out on eth0
$ sudo ufw route allow in on eth0 out on wg0
$ sudo ufw route allow in on wg0 out on wg0今回の設定では、LAN内と同様にVPN内では自由に通信ができます。いわゆるゼロトラスト的な設定を導入し、必要最小限の通信のみを許可することで、より強固なセキュリティを確保できます。が。今回はパス。
有効化・確認
$ sudo ufw enable
Command may disrupt existing ssh connections. Proceed with operation (y|n)? y
Firewall is active and enabled on system startup
$ sudo ufw status verbose
Status: active
Logging: on (low)
Default: deny (incoming), allow (outgoing), deny (routed)
New profiles: skip
To Action From
-- ------ ----
22/tcp ALLOW IN Anywhere
53/udp on eth0 ALLOW IN 192.168.10.0/24
53/tcp on eth0 ALLOW IN 192.168.10.0/24
53/udp on wg0 ALLOW IN 10.0.0.0/24
53/tcp on wg0 ALLOW IN 10.0.0.0/24
51820/udp ALLOW Anywhere
22/tcp (v6) ALLOW IN Anywhere (v6)
51820/udp (v6) ALLOW Anywhere (v6)
Anywhere on eth0 ALLOW FWD Anywhere on wg0
Anywhere on wg0 ALLOW FWD Anywhere on eth0
Anywhere on wg0 ALLOW FWD Anywhere on wg0
Anywhere (v6) on eth0 ALLOW FWD Anywhere (v6) on wg0
Anywhere (v6) on wg0 ALLOW FWD Anywhere (v6) on eth0
Anywhere (v6) on wg0 ALLOW FWD Anywhere (v6) on wg0ルーティングの設定がないと、ネットワーク間の疎通に失敗します。忘れず設定しましょう。
なお、設定は自動的に永続化されますので、設定ファイルに記述する必要はありません。
改善
もうちょっとだけ続くんじゃ。
