WireGuard-ı kilidləmək üçün IPv6-nı bloklamaq hostu sındırır

Məqsəd ağlabatandır: bu maşındakı xidmətlərə yalnız tunel istifadəçiləri çatmalıdır. İnsanların əl atdığı tətbiq WireGuard-dan başqa hər şeyi rədd edən IPv6 giriş zənciridir və o, hostu öz linkinə bağlı saxlayan trafiki də rədd edir. Qonşu aşkarı və yol baxımı mesajları xidmət girişi deyil və onların silinməsi siyasətinizlə əlaqəsi olmayan səbəblərdən əlçatmaz maşın yaradır. Tunel qalxır, xidmətlər düzgün əhatələnir və linkdə başqa heç nə işləmir.

Üç məsuliyyət, bir qayda dəsti

Birinci məsuliyyət xarici şəbəkə işidir: host öz linkinə bağlı qalmalı, qonşuları həll etməli və həmin linkin yol hədlərini öyrənməlidir. İkincisi seçdiyiniz ünvan və portda UDP qəbul edən şifrələnmiş dinləyicidir. Üçüncüsü tunel istifadəçilərinin çatmasını istədiyiniz deşifrə olunmuş xidmətlər toplusudur.

Bunlar üç fərqli siyasətdir və yalnız ikincisi və üçüncüsü VPN ilə bağlıdır. Onları bir kimi qəbul edən qayda dəsti, tətbiq sərhədinin sərtləşdirilməsinin host bağlantısını səssizcə pozduğu bir nasazlıq rejimini miras alır.

Onları ayrı zəncirlərdə və ya heç olmasa ayrı şərhlərdə saxlayın ki, növbəti şəxs hansı sətrin hansı səbəbdən olduğunu görsün.

ICMPv6 host üçün nə edir

IPv6 ICMPv6-ya ekodan qat-qat çox şey üçün güvənir. Qonşu sorğusu və elanı ARP-ni əvəz edir və yerli çatdırılma üçün tələb olunur. Packet Too Big yol MTU məlumatını daşıyır və ona məhəl qoymamaq böyük paketlərdə dayanan ötürmələr yaradır. Link avtomatik konfiqurasiya işlətdikdə marşrut ikinci elanları standart marşrutu və prefiks məlumatını daşıyır.

RFC 4890 host filtrinin icazə verməli olduğu mesajları inzibati seçim olanlardan ayırır və bunu şəbəkələr arasında yönləndirən marşrutlaşdırıcının qaydalarından fərqli bir host bölməsində edir. Yalnız yönləndirmə bölməsini oxumaq qoruduğu host üçün həddindən artıq sərt giriş siyasəti yaradır.

Praktik qayda, zəruri xəta və konfiqurasiya mesajlarına ehtiyac duyan interfeysdə icazə vermək, platforma imkan verdikdə növ və mənbə üzrə məhdudlaşdırmaq və qalanı barədə açıq qərar verməkdir.

Bütün bunları hər şeyə icazə verən ICMPv6 ilə əvəz etmək əlçatanlıq problemini həll edir və filtrləmədən imtina edir. Onu hər şeyi rədd edən qayda ilə əvəz etmək filtrləmə problemini həll edir və hostdan imtina edir.

Tunelə icazə verin, sonra xidmətə

WireGuard nəqliyyatını nəzərdə tutulan xarici ünvanda və UDP portunda qəbul edin və geri trafiki əlaqə izləmə vasitəsilə qəbul edin. Sonra tətbiq xidmətlərinə tunel interfeysindən, həqiqətən səlahiyyət verdiyiniz mənbələrdən keçməyə icazə verin.

Xarici UDP portuna icazə onun içindəki deşifrə olunmuş sorğulara səlahiyyət vermir. Bu fərq tunel interfeysinin xidmət qaydalarında görünməsinin bütün səbəbidir.

Qayda dəstini faylın təsvir etdiyi kimi deyil, olduğu kimi oxuyun:

sudo nft list ruleset
ip -6 addr show
ip -6 route show default

Fiziki ünvandakı dinləyici tunel ünvanındakı eyni xidmətdən ayrı bir məruz qalmadır. Qutu trafiki başqa maşına da yönləndirirsə, bu giriş siyasəti deyil, yönləndirmə zənciri qərarıdır və öz əsaslandırmasını tələb edir.

Linki yoxlayın, yalnız tuneli deyil

Dəyişiklikdən sonra işləyən tunel göründüyündən azını sübut edir, çünki mövcud qonşu qeydi və qurulmuş əlaqə siyasətin artıq rədd etdiyi nəzarət mesajını gizlədə bilər.

Bağlantını birbaşa yoxlayın, sonra xaric edilmiş yolun hələ də uğursuz olduğunu yoxlayın:

ip -6 neigh show
ping -6 -c 3 2001:db8:1::1
sudo nft -c -f /etc/nftables.conf

Yenidən başlatmadan sonra tam qalan qonşu cədvəli aşkarın hələ də işlədiyinin siqnalıdır. Boşalıb heç vaxt dolmayan cədvəl onu filtrlədiyinizin siqnalıdır. Üçüncü əmr qayda dəstinin sintaksisini tətbiq etmədən yoxlayır və bunu hələ sessiyanız varkən etməyə dəyər.

Özünüzü çöldə qoyduğunuz hostu bərpa edin

Öz inzibati sessiyanızı daşıyan firewall qaydalarını dəyişməzdən əvvəl ikinci kanal saxlayın: konsol, serial əlaqə və ya ləğv etməsəniz yeni qaydaları silən planlaşdırılmış geri qaytarma.

Dəyişiklik həqiqətən sizi çöldə qoyarsa, bərpa yeni sildiyiniz şəbəkədən deyil, həmin kanaldan olur. Əvvəlki qayda dəstini saxlanmış nüsxədən bərpa edin, hostun yenidən əlçatan olduğunu təsdiqləyin və yalnız bundan sonra nəzərdə tutulan siyasəti kiçik hissələrlə tətbiq edin.

Son siyasət universal deyil. Ünvanlama, marşrutlaşdırma və firewall tətbiqi yerləşdirmə girişləridir, lakin sərhəd hər yerdə eynidir: icazəli tuneli daşıyan nəzarət trafikini saxlayaraq nəzərdə tutulmayan tətbiq girişini rədd edin.