Linux çıxışını elə kilidləyin ki, VPN düşəndə heç nə sızmasın

Ev xəttində yalnız tunel vasitəsilə internetə çıxmalı olan bir media qutusu təsəvvür edin. Tunel düşəndə tətbiq fiziki interfeys üzərindən sakitcə davam etmək əvəzinə dayanmalıdır. Bu davranışı almaq marşrutlaşdırma deyil, firewall məsələsidir və fərq vacibdir, çünki marşrut demonun yenidən başladılması ilə əvəzlənə bilər, filtr isə qoyduğunuz yerdə qalır. Bundan sonra paket yolunun əslində necə qərar verdiyi və tuneli yenidən qoşulmada saxlayan istisnaların necə məhdudlaşdırılacağı gəlir.

Yerli çıxış yönləndirmədən fərqli bir qarmaqdır

Qutudakı tətbiqdən çıxan paket çıxış qarmağından keçir; qutunun başqa host üçün yönləndirdiyi paket isə yönləndirmə qarmağından. Yalnız forward qeyd edən siyasət ikincini məhdudlaşdırır və birincini tam açıq qoyur, buna görə də bir çox çıxış kilidi düzgün görünür və heç nə etmir. İnterfeys uyğunlaşdırması eyni qaydaya aiddir: oifname "tun0" accept artıq tuneldən yönləndirilmiş trafiki keçirir. Marşrutlaşdırma və filtrləmə də ayrı qərarlar olaraq qalır, yəni filtr paketi rədd edərkən yuxarı xətt marşrutu mövcud ola bilər. Siz məhz bu ayrılığa güvənirsiniz.

Digər cihazlar üçün yönləndirən şlüz hər iki qarmağa ehtiyac duyur. Yalnız çıxışı kilidləmək qutunun özünü qoruyur və hər aşağı axın müştərisini sızmaqda sərbəst qoyur.

İstisna siyahısını son nöqtədən bayıra doğru yazın

Tunelin son nöqtəsindən başlayın: bir təyinat ünvanı və ya kiçik təsdiqlənmiş çoxluq, nəql protokolu və təyinat portu, məsələn udp dport 1194 ip daddr 203.0.113.7 accept. Əgər müştəri host adını həll edirsə, ilkin DNS mübadiləsi öz qaydasına ehtiyac duyur; həll ediciyə və 53 portuna məhdudlaşdırılmalıdır, həmin həlledicinin ünvanına ümumi icazə deyil. Hər istisna mövcud olma səbəbini adlandırmalıdır. VPN portuna bütün UDP trafikinə icazə, nəzərdə tutduğunuz tək autentifikasiyalı xidmətdən qat-qat çoxunu əhatə edir.

İlkin həll adətən kilidlərin çürüdüyü yerdir. Taymerlə yenilənən ünvan çoxluğu, yeniləmə uğursuz olduqda müəyyən edilmiş davranışa ehtiyac duyur və bu davranış uğur qazanana qədər yuxarı xətti açmaq ola bilməz. Tunel qalxanda yeniləməni tuneldən keçirin, əks halda son bilinən sağlam son nöqtəyə qayıdın.

Yerli idarəetmə də eyni rəftara ehtiyac duyur. İdarəetmə alt şəbəkəsi ünvanları şəxsi olduğu üçün etibarlı deyil və ona güvənən qayda kilidin ətrafında ikinci yol dəvət edir.

İnterfeys uyğunlaşdırması sağlam tunelin sübutu deyil

tun0 interfeysindən çıxan hər şeyi qəbul edən qaydalar, həmin interfeysdəki paketin tuneldən gəldiyini fərz edir. İnterfeys adları yenidən yaradılır və ad kriptoqrafik kimlik deyil. Həm də interfeys qalxılı qalarkən qarşı tərəf getmiş ola bilər, bu da qaydayı çox inandırıcı bir boş əməliyyata çevirir.

Bağlantı izləmə buna aid bir tələ qurur. Geniş qurulmuş bağlantı qaydası, axının əvvəl aldığı icazəni təkrar oynadır, yəni tunel düşməzdən əvvəl başlayan sessiya sonra da işləməyə davam edir. Vəziyyətə əsaslanan qəbulu həqiqətən nəzərdə tutduğunuz interfeys və ünvanlarla məhdudlaşdırın, əks halda özünü açan bir kilid qurmusunuz. Giriş və çıxış qaydaları da fərqli suallara cavab verir və birini sərtləşdirib digərini unutmaq qutunu düşünmədiyiniz istiqamətdə əlçatan qoyur.

Demon qəzasından nə qalır

Tunel qalxdıqdan sonra işləyən skriptin quraşdırdığı filtr tunellə birlikdə yox olur, lap ona ehtiyac duyulan anda. Kilidi açılışda yükləyin və demonun yalnız öz istisnalarını idarə etməsinə icazə verin.

Standart marşrutu silmək də əvəz deyil. Marşrut demonun sahib olduğu və yenidən yazdığı vəziyyətdir və onun silinməsi yenidən qoşulmaq üçün lazım olan yolu götürə bilər. IPv6 öz planına ehtiyac duyur, çünki qonşu kəşfi və marşrutlaşdırıcı reklamları adi trafik bloklanarkən işləməyə davam etməli olan keçid xidmətləridir. DHCP də eyni kateqoriyaya aiddir. Bunları sonradan kəsintilər kimi kəşf etmək əvəzinə məqsədi olan istisnalar kimi yazın.

Yerləşdirmədən əvvəl bərpa yolu

Kilidi uğursuz olacağı kimi sınayın: tunelsiz açılış, demonu öldürmək, son nöqtəni dəyişmək və yenidən qoşulmaq. Hər hal tətbiqləri dayandırmalı və bərpa kanalını işlək saxlamalıdır. Bunu konsoldan edin, çünki uzaq shell öz qaydanızla ən çox kilidlənəcək sessiyadır.

Sonra adi bir tətbiqin hara çata bildiyini yoxlayın: zərərsiz bir təyinat və təsdiqləyə biləcəyiniz bir sorğu ilə. İstədiyiniz nəticə yuxarı xətdə rədd və tuneldən keçən uğurdur, hər ikisini ifadə edə bilən qeyri-müəyyən bir gözləmə deyil. Qayda dəstini bütün cədvəli shell skriptindən əvəz etmək əvəzinə firewallun qalan hissəsi ilə eyni sahibin altında saxlayın. Hər icazənin özünü əsaslandıra bildiyi siyasət, heç kimin izah edə bilmədiyi uzun qayda dəstindən daha dəyərlidir.