Mae blocio IPv6 i gloi WireGuard yn torri’r gwesteiwr

Mae’r nod yn rhesymol: dim ond defnyddwyr y twrnel ddylai gyrraedd y gwasanaethau ar y peiriant hwn. Y gweithrediad y mae pobl yn ei ddefnyddio yw cadwyn fewnbwn IPv6 sy’n gollwng popeth heblaw WireGuard, ac mae hynny hefyd yn gollwng y traffig sy’n cadw’r gwesteiwr ynghlwm wrth ei gyswllt ei hun. Nid yw darganfod cymdogion a negeseuon cynnal y llwybr yn fynediad at wasanaethau, ac mae eu tynnu’n cynhyrchu peiriant sy’n anhygyrch am resymau sy’n ddigyswllt â’ch polisi. Daw’r twrnel i fyny, mae’r gwasanaethau wedi’u cwmpasu’n gywir, ac nid oes unrhyw beth arall ar y cyswllt yn gweithio.

Tri chyfrifoldeb, un set o reolau

Y cyfrifoldeb cyntaf yw gweithrediad y rhwydwaith allanol: rhaid i’r gwesteiwr aros ynghlwm wrth ei gyswllt, datrys cymdogion a dysgu terfynau llwybr y cyswllt hwnnw. Yr ail yw’r gwrandäwr wedi’i amgryptio, sy’n derbyn UDP ar y cyfeiriad a’r porth a ddewiswyd gennych. Y trydydd yw’r set o wasanaethau wedi’u dadgryptio yr hoffech i ddefnyddwyr y twrnel eu cyrraedd.

Mae’r rhain yn dri pholisi gwahanol, a dim ond yr ail a’r trydydd sydd yn ymwneud â’r VPN. Mae set o reolau sy’n eu trin fel un yn etifeddu dull methiant lle mae tynhau’r ffin rhaglen yn torri ymlyniad y gwesteiwr yn dawel.

Cadwch hwy mewn cadwynau ar wahân neu o leiaf mewn sylwadau ar wahân, fel y gall y person nesaf weld pa linell sy’n bodoli am ba reswm.

Beth mae ICMPv6 yn ei wneud i’r gwesteiwr

Mae IPv6 yn dibynnu ar ICMPv6 am lawer mwy nag eco. Mae cais a hysbysiad cymydog yn disodli ARP ac maent yn angenrheidiol ar gyfer cyflwyno lleol. Mae Packet Too Big yn cario gwybodaeth MTU y llwybr, ac mae ei anwybyddu’n cynhyrchu trosglwyddiadau sy’n tagu ar becynnau mawr. Mae hysbysiadau llwybrydd yn cario’r llwybr diofyn a gwybodaeth rhagddodiad pan fo’r cyswllt yn defnyddio cyfluniad awtomatig.

Mae RFC 4890 yn gwahanu’r negeseuon y mae’n rhaid i hidlydd gwesteiwr eu caniatáu oddi wrth y rhai sy’n ddewis gweinyddol, ac mae’n gwneud hynny mewn adran gwesteiwr sy’n wahanol i’r rheolau ar gyfer llwybrydd sy’n anfon ymlaen rhwng rhwydweithiau. Mae darllen adran yr anfon ymlaen yn unig yn cynhyrchu polisi mewnbwn sy’n rhy lym i’r gwesteiwr y mae’n ei warchod.

Y rheol ymarferol yw caniatáu’r negeseuon gwall a chyfluniad hanfodol ar y rhyngwyneb sydd eu hangen, wedi’u cyfyngu yn ôl math a ffynhonnell lle mae’r platfform yn caniatáu, a gwneud penderfyniad penodol am y gweddill.

Mae disodli hyn i gyd â chaniatâd ICMPv6 cyffredinol yn datrys y broblem argaeledd ac yn rhoi’r gorau i hidlo. Mae ei ddisodli â gollwng cyffredinol yn datrys y broblem hidlo ac yn rhoi’r gorau i’r gwesteiwr.

Derbyniwch y twrnel, yna’r gwasanaeth

Derbyniwch gludiant WireGuard ar y cyfeiriad allanol bwriedig a’r porth UDP, a derbyniwch y traffig dychwelyd drwy olrhain cysylltiadau. Yna caniatäwch y gwasanaethau rhaglen drwy ryngwyneb y twrnel, o’r ffynonellau rydych yn eu hawdurdodi mewn gwirionedd.

Nid yw caniatâd ar gyfer y porth UDP allanol yn awdurdodi’r ceisiadau wedi’u dadgryptio y tu mewn iddo. Y gwahaniaeth hwnnw yw’r rheswm cyfan dros ymddangos rhyngwyneb y twrnel yn y rheolau gwasanaeth.

Darllenwch y set o reolau fel y mae, nid fel y mae’r ffeil yn ei disgrifio:

sudo nft list ruleset
ip -6 addr show
ip -6 route show default

Mae gwrandäwr ar gyfeiriad ffisegol yn amlygiad ar wahân i’r un gwasanaeth ar gyfeiriad y twrnel. Os yw’r blwch hefyd yn anfon traffig ymlaen i beiriant arall, penderfyniad cadwyn anfon ymlaen yw hwnnw yn hytrach na’r polisi mewnbwn hwn, ac mae angen ei resymu ei hun.

Profwch y cyswllt, nid y twrnel yn unig

Mae twrnel sy’n gweithio ar ôl y newid yn profi llai nag y mae’n ymddangos, oherwydd gall cofnod cymydog presennol a chysylltiad sefydledig guddio neges reoli y mae’r polisi nawr yn ei gollwng.

Gwiriwch yr ymlyniad yn uniongyrchol, yna gwiriwch fod y llwybr a eithriwyd yn dal i fethu:

ip -6 neigh show
ping -6 -c 3 2001:db8:1::1
sudo nft -c -f /etc/nftables.conf

Mae tabl cymdogion sy’n aros yn gyflawn ar ôl ailgychwyn yn arwydd bod darganfod yn dal i weithio. Mae tabl sy’n gwagio ac na fydd byth yn ail-lenwi yn arwydd eich bod wedi’i hidlo allan. Mae’r trydydd gorchymyn yn dilysu cystrawen y set reolau heb ei chymhwyso, sy’n werth ei wneud tra bo gennych sesiwn o hyd.

Adferwch westeiwr rydych wedi’ch cloi allan ohono

Cyn newid rheolau mur cadarn sy’n cario eich sesiwn weinyddol eich hun, cadwch ail sianel: consol, cysylltiad cyfresol, neu adferiad wedi’i amserlennu sy’n tynnu’r rheolau newydd os na fyddwch yn ei ganslo.

Os bydd newid yn eich cloi allan, trwy’r sianel honno y daw’r adferiad, ac nid trwy’r rhwydwaith a dynnwyd gennych. Adferwch y set reolau flaenorol o gopi wedi’i gadw, cadarnhewch fod y gwesteiwr yn cyrraedd eto, ac yna’n unig ailosodwch y polisi bwriedig mewn darnau llai.

Nid yw’r polisi terfynol yn gyffredinol. Mae cyfeirio, llwybro a gweithrediad y mur cadarn yn fewnbynnau defnyddio, ond mae’r ffin yr un fath ym mhob man: gwadwch fynediad rhaglen anfwriadol tra’n cadw’r traffig rheoli sy’n cario’r twrnel awdurdodedig.