Yalnız NEW qaydaları hər WAN yolunu bağlamır

WAN üzərində yeni gedən bağlantıları rədd etmək bağlı sxemli siyasət kimi görünür, amma göründüyündən daha dar bir vəddir. Artıq mövcud olan axınlara aid paketlər ona uyğun gəlmir, bir çox cavablar da. Bu boşluğu görməmək asandır, çünki qayda interfeysi deyil, onun üzərindəki bir bağlantı vəziyyətini əhatə etdiyi kimi oxunur. Vəziyyət uyğunluğunu hökm kimi oxumaq yalançı bir bağlılıq hissi yaradır.

Vəziyyət hökm deyil, uyğunluq şərtidir

Bağlantı izləmə paketləri firewall-un artıq gördüyünə görə təsnif edir, tətbiqin inandığına görə deyil. Hər iki istiqamətdə müşahidə olunan axın qurulmuş sayılır və sonrakı paketləri qurulmuş qalır, hətta altındakı marşrut tuneldən adi yuxarı xəttə dəyişəndə belə. Daxil olan bağlantıya verilən cavab da qurulmuş trafik ola bilər. O paketlər heç vaxt yenidən yeni olmur.

Buna görə yalnız yeni bağlantılara aid qayda qorunan hər paketin bloklandığını təsdiqləyə bilməz. Digər vəziyyətləri qaydalar dəstinin onlarla nə etdiyinə buraxır, bu da zəncirdə daha əvvəl yerləşdirilmiş qəbul ola bilər.

Qaydayı ətrafı ilə birlikdə oxuyun

Blokdan əvvəl yerləşdirilmiş, qurulmuş və əlaqəli trafik üçün geniş qəbul paketi blok heç qiymətləndirilməmişdən keçirir. Sonrakı qaydadan vəziyyət şərtini silmək bunu dəyişməyəcək, çünki qiymətləndirmə ona heç çatmır. Nəticəni sıra həll edir, hansı paketlərin həmin sıraya çatdığını isə vəziyyət uyğunluğu.

Redaktə etdiyiniz faylı deyil, faktiki qüvvədə olan qaydalar dəstini yoxlayın; digər zəncirlərə keçidləri və platformanın yaratdığı hər şeyi də daxil edin. iptables ilə idarə olunan marşrutlaşdırıcıda zəncirin siyahılanması qayda təriflərini göstərir və ona istinad edilən zəncirlər də izlənməlidir. Doğma nftables sistemi öz qaydalar dəstini və qoşulma prioritetlərini yoxlamağı tələb edir, çünki proqram təminatı nadir hallarda eyni zəncirləri yaradır.

Sayğaclar hansı qaydanın həqiqətən uyğun gəldiyini göstərir və adətən qərardan sonra alınan paket tutuşundan daha məlumatlıdır. Sayğacı sıfır olan qaydaya çatılmayıb, mövqeyi nə qədər başqa cür görünsə də.

Qadağanı vəziyyətdən asılı olmadan ifadə edin

Əgər bir qrup müştəri tuneldən kənarda heç vaxt internetə çıxmamalıdırsa, bunu bir vəziyyətlə təxmin etmək əvəzinə birbaşa deyin. Qayda mənbə, çıxış və təyinat üzrə seçim etməli, bağlantı vəziyyətindən asılı olmamalı və heç bir əvvəlki qəbulun yan keçə bilməyəcəyi yerdə durmalıdır. Sonra idarəetmə girişi və yerli şəbəkə istisnaları öz açıq qaydalarını alır, beləliklə niyyət siyasətdə görünür.

drop əvəzinə reject seçmək uyğun trafikin necə uğursuz olduğunu dəyişir və qaydanın seçdiyi paketlər çoxluğunu genişləndirmir. Rədd edilmiş bağlantı ilə səssiz fasilə eyni seçimə işarə edən fərqli simptomlardır.

WAN üzərindən uzaqdan başladılan girişə cavablara qəsdən icazə verən siyasət müdafiə oluna bilər. Sadəcə onu tam tunel təcridi kimi təqdim etmək əvəzinə bu cür təsvir etmək lazımdır.

Qrupun içində kimin olduğunu yoxlayın

Nümunə bir interfeysdən bir prefiksdən yönləndirilən IPv4 trafikini əhatə edir. IPv6, ikinci yuxarı xətt və ya marşrutlaşdırıcının özünün yaratdığı trafik barədə heç nə demir. DNS həlledici kimi çıxış edən marşrutlaşdırıcı öz yuxarı sorğularını göndərir və onlar forward zəncirindən heç keçmir.

Qorunan müştərilərin hələ də seçilmiş prefiks daxilində ünvanları olduğunu təsdiqləyin, çünki ondan kənara çıxmış cihaz siyasətə görə deyil, təsadüfən birbaşa olur. Bloku istisna dizaynına baxmadan bütün LAN-a genişləndirmək də öz inzibati yolunuzu silməyə meyllidir.

iptables -S FORWARD
iptables -L FORWARD -v -n
cat /proc/net/nf_conntrack | grep -c ESTABLISHED

Sonra köhnə bir axını yenisinin yanında sınaqdan keçirin. Təzə bağlantı cəhdi ilə artıq aktiv ikitərəfli ötürmə bu qayda altında fərqli davranır və yalnız hər ikisini sınamaq hansı siyasətə malik olduğunuzu göstərir.