SSH və VPN giriş qaydaları: icazə siyahısı əslində nəyə nəzarət edir

Bir qaydanı dəyişməzdən əvvəl bir dəfə qoşulun və müştərinin donduğunu, yoxsa dərhal rədd edildiyini qeyd edin. Bu tək fərq paketi hansı qərarın atdığını deyir və siyasət fayllarını oxuyarkən bir saatınıza qənaət edir. Gəzintinin qalanı qısadır: paket bir qarmaqdan keçir, bir qaydaya uyğun gəlir və ya dinləyiciyə çatır, ya da çatmır. İcazə siyahısı bu üç faktın ətrafında sadəcə uçotdur.

Bir SSH cəhdini giriş qarmağına qədər izləyin

Müştəri hostun ünvanına 22 portundan SYN göndərir və nüvə bu paketin yerli xidmət üçün olub-olmadığını qərarlaşdırır. Əgər belədirsə, giriş yolu işləyir və qayda dəsti paketi ya qəbul edir, ya da atır. Sükut SYN-in dinləyici onu görməmişdən əvvəl öldüyünü bildirir, sürətli rədd isə nəyinsə reset ilə cavab verdiyini. Bunlar fərqli qaydalardan gələn fərqli hökmlərdir və hər ikisi qanuni nəticədir.

Sonra dinləyicini təsdiqləyin, çünki orada olmayan xidməti heç bir qayda xilas edə bilməz. ss -ltnp işə salın və gözlədiyiniz porta və ünvan ailəsinə nəyinsə bağlandığını yoxlayın, sonra müştəridə ssh -v oxuyun ki, harada dayandığını görəsiniz.

Yönləndirmə ayrı bir qərardır

VPN serverində daha maraqlı qarmaq forward-dır, çünki müştəri trafiki maşına çatdırılmaq əvəzinə onun içindən yönləndirilir. Yalnız öz VPN müştərisini işlədən host, başqalarının paketlərini ötürən hostdan qat-qat kiçik qayda dəstinə ehtiyac duyur. İki dizaynı bir qutuda qarışdırmaq düzgün görünən və heç nə keçirməyən qaydalar yaradır.

Daxili siyasəti ayrı bir sual kimi yazın: hansı müştəri ünvanları tunel vasitəsilə hansı təyinat nöqtələrinə çata bilər. İnzibati yolu, məsələn SSH-i, öz mənbə məhdudiyyəti ilə giriş yolunda saxlayın. Sınaq zamanı əlavə edilən icazəli forward qaydası sınaqdan uzun yaşayan klassik qüsurdur, ona görə dəyişiklikdən sonra redaktə etdiyiniz sətri deyil, bütün qayda dəstini nəzərdən keçirin. Tunel dinləyicisini açmaq hər qoşulmuş müştəriyə hostu idarə etmək icazəsi deyil.

Atmaq və rədd etmək əməliyyatlardır, siyasət deyil

Baza zəncir siyasəti qəbul edir və ya atır və seçimlərin bütün siyahısı budur, nftables sənədi bunu məhz belə təsvir edir. Rədd seçilmiş cavabı olan bir qayda əməliyyatı kimi mövcuddur, buna görə onu siyasət kimi yazmaq həm nftables, həm də iptables üzərində uğursuz olur. Praktikada atmaq müştəriyə heç bir məlumat vermir, rədd isə ona üzərində işləyə biləcəyi bir xəta verir.

table inet admin {
    chain input {
        type filter hook input priority filter; policy drop;
        ct state established,related accept
        ip saddr 203.0.113.0/28 tcp dport 22 accept
        udp dport 51820 accept
        icmp type { destination-unreachable, time-exceeded } accept
    }
}

Bu eskizi yapışdırılacaq fayl kimi deyil, qərarın forması kimi oxuyun, çünki ünvan aralıqları nümunədir. SSH portunda açıq rədd icazəsiz müştərini taym-autu gözləmək əvəzinə bir saniyə içində uğursuz edir və bu, öz sazlamağınızı qısaldır. Sükut təsadüfi skanı çəkindirir və icazəli istifadəçiyə heç nə demir. Hər xidmət üçün seçin və səbəbini yazın, yoxsa növbəti adam onu geri dəyişəcək.

Həqiqətən lazım olan nəzarət trafikini saxlayın

Bütün ICMP-ni bloklamaq yol MTU kəşfini pozan məşhur standartdır və simptom qurulan, sonra daha böyük paketlərdə dayanan bağlantıdır. IPv6-da qonşu kəşfi öz ICMPv6 tiplərindən asılıdır və onları atmaq hər hansı TCP qaydasına baxılmadan əvvəl əlaqəni pozur. Hər ikisi ümumi icazə kimi deyil, adlandırılmış asılılıq kimi icazə siyahısına aiddir. Kəşfi səssizcə pozan siyasət bir az diaqnostik trafikə yol verən siyasətdən pisdir.

Başlatdığınız bağlantılar üçün established və related vəziyyətinə icazə verin və cavabları vəziyyəti izləyən mühərrikə buraxın. Sonra cavab yolunun daha uzaqda bloklanmadığını təsdiqləyin, çünki yuxarıda yalnız çıxışa icazə verən məhdudiyyət hostu günahlandırmaq üzrə olduğunuz eyni taym-autu yaradır.

Köhnə yolu təqaüdə çıxarmazdan əvvəl bərpanı sübut edin

Bir konsol sessiyasını açıq saxlayın, dəyişikliyi tətbiq edin və başqa terminaldan tamamilə yeni idarəetmə bağlantısı açın. Mövcud sessiya heç nə sübut etmir, çünki hər yeni girişi bloklayan qaydadan sağ qala bilər və bu onu firewall işində ən inandırıcı yalançı müsbət edir. Monitorinq sistemi hostu yoxlayırsa, mənbə ünvanını ilk xəbərdarlıqdan sonra deyil, dəyişiklikdən əvvəl əlavə edin. Sonra bir böyük və bir kiçik paket sınaqdan keçirin ki, kəşfin hələ işlədiyini sübut edəsiniz.

VPN xidməti üçün heç vaxt qoşulmamış bir müştəridən təkrarlayın, çünki davam etdirilən sessiya yeni sessiyanın razılaşmalı olduğu vəziyyəti təkrar istifadə edə bilər. Keçən dəqiq qayda dəstini yoxlama məbləği və ya surəti ilə qeyd edin ki, sonrakı redaktə təxmin edilmək əvəzinə müqayisə olunsun. Qayda sırasının sahibi ilə koordinasiya edin, çünki əvvəlki qayda sizin əlavə etdiyinizin üzərində səssizcə qalib gəlir.