Nid yw rheolau wal dân NEW yn unig yn cau pob llwybr WAN

Mae gwrthod cysylltiadau allan newydd ar y WAN yn edrych fel polisi cau-ar-fethiant, ond mae’n addewid decach nag y mae’n ymddangos. Nid yw pecynnau sy’n perthyn i ffrydiau sy’n bodoli eisoes yn cyfateb iddo, nac ychwaith lawer o atebion. Mae’r bwlch yn hawdd i’w golli oherwydd mae’r rheol yn darllen fel petai’n gorchuddio’r rhyngwyneb yn hytrach nag un cyflwr cysylltiad arno. A darllen y cyfateb cyflwr fel dedfryd sy’n creu teimlad ffug o gau.

Cyflwr yw amod cyfateb, nid dedfryd

Mae tracio cysylltiadau yn dosbarthu pecynnau yn ôl yr hyn y mae’r wal dân eisoes wedi’i weld, nid yn ôl yr hyn y mae’r rhaglen yn credu. Mae ffrwd a welwyd i’r ddau gyfeiriad yn sefydledig, ac mae ei phecynnau diweddarach yn aros yn sefydledig hyd yn oed pan fydd y llwybr oddi tani’n newid o dwnnel i’r cyswllt i fyny arferol. Gall ateb i gysylltiad sy’n dod i mewn fod yn draffig sefydledig hefyd. Nid yw’r pecynnau hynny byth yn newydd eto.

Dyna pam na all rheol sy’n gymwys i gysylltiadau newydd yn unig brofi bod pob pecyn gwarchodedig wedi’i rwystro. Mae’n gadael y cyflwr eraill i’r hyn bynnag y mae gweddill y set rheolau yn ei wneud â nhw, a allai fod yn ganiataiad wedi’i osod yn gynharach yn y gadwyn.

Darllenwch y rheol yn ei hamgylchedd

Mae caniataiad eang ar gyfer traffig sefydledig a chysylltiedig a osodir o flaen y bloc yn gadael pecyn drwodd cyn i’r bloc gael ei werthuso o gwbl. Ni fydd tynnu’r amod cyflwr o reol ddiweddarach yn newid hynny, oherwydd ni fydd y gwerthusiad byth yn cyrraedd ati. Trefn sy’n penderfynu’r canlyniad, a’r cyfateb cyflwr sy’n penderfynu pa becynnau sy’n cyrraedd y drefn honno.

Archwiliwch y set rheolau effeithiol yn hytrach na’r ffeil y gwnaethoch ei golygu, gan gynnwys neidiau i gadwynau eraill a phopeth y mae’r platfform yn ei gynhyrchu. Ar lwybrydd sy’n cael ei reoli gan iptables, mae rhestru’r gadwyn yn dangos diffiniadau’r rheolau, ac mae’n rhaid dilyn y cadwynau y mae’n cyfeirio atynt hefyd. Mae angen i system nftables frodorol archwilio ei set rheolau a blaenoriaethau bachyn ei hun, oherwydd anaml y mae firmware yn cynhyrchu cadwynau unfath.

Mae cyfrifwyr yn dweud pa reol a gyfatebodd mewn gwirionedd, ac fel arfer maent yn fwy addysgiadol na chipio pecynnau a gymerwyd ar ôl y penderfyniad. Nid yw rheol â chyfrifydd sero wedi’i chyrraedd, beth bynnag y mae ei safle’n ei awgrymu.

Mynegwch y gwaharddiad yn annibynnol ar gyflwr

Os na chaiff grŵp o gleientiaid byth gyrraedd y rhyngrwyd y tu allan i’r twnnel, dywedwch hynny’n uniongyrchol yn lle ei amcangyfrif ag un cyflwr. Rhaid i’r rheol ddewis yn ôl ffynhonnell, allanfa a chyrchfan heb ddibynnu ar gyflwr cysylltiad, a rhaid iddi eistedd lle na all unrhyw ganiataiad cynharach ei hosgoi. Yna mae mynediad rheoli ac eithriadau’r rhwydwaith lleol yn cael eu rheolau penodol eu hunain, felly mae’r bwriad yn weladwy yn y polisi.

Mae dewis reject yn lle drop yn newid sut mae’r traffig cyfatebol yn methu, ac nid yw’n ehangu’r set o becynnau y mae’r rheol yn eu dewis. Mae cysylltiad a wrthodwyd a therfyn amser tawel yn symptomau gwahanol sy’n cyfeirio at yr un dewis.

Mae polisi sy’n caniatáu’n fwriadol atebion i fynediad a gychwynnir o bell dros y WAN yn amddiffynadwy. Rhaid yn unig ei ddisgrifio felly yn hytrach na’i gyflwyno fel ynysu llwyr trwy’r twnnel yn unig.

Gwiriwch pwy sydd mewn gwirionedd o fewn y grŵp

Mae’r enghraifft yn cwmpasu traffig IPv4 blaenfonol o un rhagddodiad allan o un rhyngwyneb. Nid yw’n dweud dim am IPv6, ail gyswllt i fyny, na thraffig y mae’r llwybrydd ei hun yn ei gychwyn. Mae llwybrydd sy’n gweithredu fel datryswr DNS yn anfon ei ymholiadau i fyny ei hun, ac nid yw’r rheini’n mynd trwy’r gadwyn forward o gwbl.

Cadarnhewch fod y cleientiaid gwarchodedig yn dal i fod â chyfeiriadau o fewn y rhagddodiad a ddewiswyd, oherwydd mae dyfais sydd wedi symud allan ohono yn uniongyrchol ar ddamwain yn hytrach nag yn ôl polisi. Mae ehangu’r bloc i’r LAN gyfan heb adolygu dyluniad yr eithriadau hefyd yn tueddu i dynnu eich llwybr gweinyddol eich hun.

iptables -S FORWARD
iptables -L FORWARD -v -n
cat /proc/net/nf_conntrack | grep -c ESTABLISHED

Yna rhowch gynnig ar ffrwd hen ochr yn ochr ag un newydd. Mae ymgais cysylltiad ffres a throsglwyddiad dau gyfeiriadol sydd eisoes yn weithredol yn ymddwyn yn wahanol o dan y rheol hon, a dim ond profi’r ddau sy’n dangos pa bolisi sydd gennych mewn gwirionedd.