DNS cavabı niyə vəziyyətsiz VPN kənar firewall-da uğursuz olur

Tunnel işləyir, müştərilər VPN hostuna çata bilir, amma host heç nəyi həll edə bilmir. Onun öz çıxan sorğuları interfeysi təmiz tərk edir, deməli nasazlıq geri yoldadır: hostun indicə göndərdiyini yadda saxlamadan daxil olan trafiki filtrləyən yuxarı kənarda. Tunnel portuna icazə vermək bu mübadiləni heç də təsvir etmir. DNS sorğusuna cavab ayrı bir axındır və kənar vəziyyətsizdirsə, heç nə ona qayıtmaq icazəsi verməmişdir.

İki mübadilə eyni mübadilə deyil

Tuplları yazın və səhv aydın olur. Sorğunun təyinat portu cavabın mənbə portuna çevrilir ki, bu da çoxlarının 53 portu üçün giriş qaydası əlavə edərkən təsəvvür etdiyinin əksidir:

query:  203.0.113.10:53018 -> 198.51.100.53:53
reply:  198.51.100.53:53 -> 203.0.113.10:53018

Təyinat portu 53 tələb edən giriş qaydası hostda işləyən DNS dinləyicisinə ünvanlanmış trafiki təsvir edir ki, bu tamamilə başqa xidmətdir. O ünvanlar sənədləşdirmə nümunələridir və mənbə portu hər sorğu üçün müştəri tərəfindən seçilir, yəni onu qaydaya köçürüb işləməyə davam edəcəyini gözləmək olmaz.

Vəziyyətsiz kənar və vəziyyətli host firewall

Vəziyyətsiz kənar filtri hər daxil olan paketi arxasında heç bir bağlantı cədvəli olmadan öz qayda siyahısına görə qiymətləndirir. Uğurla çıxmış çıxan sorğu öz daxil olan cavabı üçün heç bir icazə yaratmır, çünki cihazda sorğunun heç vaxt baş verdiyinə dair qeyd yoxdur. Vəziyyətli host firewall isə əksidir: onun bağlantı izləməsi icazə verilmiş mübadilənin qayıdış trafikini tanıyır və cavab üçün qayda olmadan onu keçirir. Hər iki sərhəd tipik yolda mövcuddur, və hər ikisi nəzərdə tutulan paketə icazə verməlidir.

Müqayisə vacibdir, çünki iki cihaz fərqli şəkildə sıradan çıxır. Cavabı rədd edən vəziyyətli firewall drop qeyd edir; vəziyyətsiz kənar isə onu səssizcə rədd edir, buna görə host sadəcə vaxt aşımına düşür.

İcazəni port nömrəsi ətrafında deyil, protokol ətrafında qurun

Qaydanı faktiki resolver ünvanlarına, təyinat hostuna və məhsulun dəstəklədiyi qəbul portu siyasətinə görə məhdudlaşdırın. DNS-in TCP yolunu da yadda saxlayın, çünki böyük cavab və ya kəsilmə geri dönüşü mübadiləni TCP-yə keçirir və yalnız UDP qaydası onu əhatə etməyəcək. Kənar müəyyən axın üçün vəziyyətli yoxlamanı dəstəkləyirsə, onu əl ilə yazılmış cavab qaydasına üstün tutun, çünki vəziyyətli yol müştərinin seçdiyi portları avtomatik izləyir.

Sonra yolda hansı məhsulun trafiki həqiqətən filtrlədiyini təsdiqləyin. Sənədləşdirilmiş IPv4 kənar əhatəsi IPv6 siyasəti yaratmır və provayderdaxili trafik heç vaxt həmin filtrdən keçməyə bilər.

Niyə istənilən mənbə portu 53-ə icazə vermək düzəliş deyil

Mənbə portu 53 iddia edən hər şeyi qəbul edən qayda, göndərənin başlıq sahəsinə yazdığı hər şeyi qəbul edən qaydadır. Port nömrəsi göndərəni autentifikasiya etmir və yükün etibarlı cavab olduğunu sübut etmir, buna görə qayda həllin etibarlılığını artırmadan hostun məruz qalmasını genişləndirir. Mənbə məhdudiyyətlərini və müştərinin öz cavab yoxlamalarını, o cümlədən mənbə portu təsadüfiləşdirməsini, giriş siyahısını sadələşdirmək üçün söndürmək əvəzinə saxlayın.

Resolver sizin nəzarət etdiyiniz xidmətdirsə, onun ünvanları ilə məhdudlaşmaq kifayətdir. Açıq resolverdirsə, təsdiqlədiyiniz ünvanlarla məhdudlaşdırın və onları qaydanın şərhində qeyd edin.

Doğru sərhəddə, doğru istiqamətdə yoxlayın

Eyni sorğu üçün hostda və kənarda tutun və paket saylarını deyil, tuplları müqayisə edin. Hər iki tərəfdə görünən, host tərəfində cavabı görünməyən sorğu giriş filtrinə işarə edir; yalnız host tərəfində görünən sorğu marşrutlaşdırmaya və ya resolverin özünə işarə edir. Yalnız UDP icazəniz varsa, TCP sorğusu ilə təkrarlayın, çünki birinci testin görə bilmədiyi boşluq budur.

Bunu düzəltmək hostun həqiqətən ehtiyac duyduğu DNS mübadiləsini tamamlayır. Bu, hostu açıq resolverə çevirmir, yönləndirilmiş VPN axınlarına icazə vermir və DNS-in hansısa əlaqəsiz tunnel probleminin səbəbi olduğunu sübut etmir.