Dim tun0? Cydweddwch IPsec datgryptiedig yn nftables gyda meta ipsec

Rydych yn disgwyl rhyngwyneb twnnel, rydych yn chwilio am un, ac nid oes dim i'w gydweddu yn y mur tân. Mae hyn yn normal i borth seiliedig ar bolisïau: daw'r cyfnewid amgryptiedig ar y rhyngwyneb ffisegol, a gwelir y pecyn mewnol datgryptiedig sy'n cael ei anfon ymlaen hefyd fel un sy'n cyrraedd yr un rhyngwyneb. Nid oes tun0 oherwydd na chrëodd dim un.

Mae'r cais mewnol yn dal yn becyn ar wahân gyda'i ffynhonnell, ei gyrchfan a'i wasanaeth ei hun, ac mae'r cnewyllyn yn gwybod o ba gymdeithas diogelwch y daeth allan. Y wybodaeth honno yw'r hyn y gall rheol mur tân ei gydweddu.

Dau becyn, un rhyngwyneb

Dychmygwch y cyfeiriad sy'n dod i mewn. Mae pecyn wedi'i amgáu mewn ESP neu UDP yn cyrraedd, mae'r cnewyllyn yn dod o hyd i'r polisi cyfatebol, yn ei ddatgryptio ac yn rhoi'r pecyn clir i'r llwybr anfon ymlaen. Ni all rheol sy'n edrych ar enw'r rhyngwyneb yn unig wahaniaethu'r pecyn hwnnw oddi wrth unrhyw draffig arall sy'n cyrraedd yr un wifren.

Yr hyn sy'n ei wahaniaethu yw cyd-destun y llwybr diogelwch sy'n dod i mewn sydd ynghlwm wrth y pecyn. Mae nftables yn ei ddangos fel meta ipsec exists, sy'n wir pan gyrhaeddodd y pecyn drwy lwybr diogelwch IPsec. Cyfunwch ef â'r pwll cleientiaid, y gyrchfan a'r gwasanaeth, a daw'r rheol yn ddigon penodol i fod yn ddiogel.

Gadael y cyd-destun allan yw'r camgymeriad cyffredin, a chamgymeriad diogelwch ydyw yn hytrach nag un cosmetig. Mae rheol sy'n derbyn unrhyw beth o'r pwll cleientiaid yr un mor barod i dderbyn pecyn ffug o'r rhwydwaith lleol, oherwydd nid yw'r cyfeiriad ffynhonnell yn brawf o unrhyw beth ar ei ben ei hun. Cyd-destun y llwybr diogelwch yw'r ffordd rataf o wneud y ffynhonnell yn ystyrlon. Ysgrifennwch y rheol ag ef o'r cychwyn yn hytrach na'i ychwanegu ar ôl archwiliad.

Ysgrifennwch y rheol anfon ymlaen

Tybiwch fod gwasanaeth mynediad o bell IPv4 wedi'i ddilysu â chleientiaid yn 10.90.0.0/24 ac un gyrchfan gymeradwy yn 203.0.113.40. Mae darn rheol ar gyfer y llif hwnnw'n edrych fel hyn.

meta ipsec exists ip saddr 10.90.0.0/24 \
  ip daddr 203.0.113.40 tcp dport 443 \
  oifname "eth0" counter accept

Mae'r cyfeiriadau a'r rhyngwyneb yn enghreifftiau i'w disodli. Rhowch y cyfwerth a adolygwyd ym mholisi anfon ymlaen cyn y rheol a fyddai fel arall yn gwrthod y llif, a pheidiwch â fflysio set rheolau bresennol i'w osod; nid yw porth yn arbrawf mewn ystafell lân.

Mae'r term oifname yn werth ei gadw. Mae'n dogfennu'r penderfyniad allbwn ac yn atal y rheol rhag cyfateb i gyfeiriad nad oeddech yn bwriadu, sy'n bwysig ar borth sydd â sawl llwybr i'r rhyngrwyd. Ar focs prawf ag un cyswllt allanol mae'r term yn edrych yn ddiangen, a dyna'n union pam y caiff ei ollwng cyn i'r bocs gael ail gyswllt.

Mae caniatadau ar gyfer y cyfnewid allanol ar wahân. Mae llwybr mewnbwn y porth angen y pyrth IKE ac ESP neu amgáu UDP y mae'n eu defnyddio mewn gwirionedd, ac nid yw'r caniatadau hynny'n awdurdodi dim am y pecyn datgryptiedig y tu mewn. Cymysgu'r ddau yw'r ffordd y mae twnnel sy'n gweithio yn gorffen â mur tân sy'n anfon popeth ymlaen.

Nid yw cyd-destun sy'n dod i mewn yn gyd-destun allbwn

Mae'r un teulu o ymadroddion yn cynnwys y cyfeiriad arall gyda rt ipsec, sy'n disgrifio'r gymdeithas ddiogelwch allbwn a ddefnyddir gan becyn. Mae'n ateb cwestiwn gwahanol: nid o ble y daeth y pecyn hwn, ond a fydd yn cael ei amddiffyn ar ei goes nesaf.

Mae'r gwahaniaeth hwnnw'n bwysig ar borth sy'n terfynu un twnnel ac yn anfon ymlaen i un arall ar yr un pryd. Gall pecyn gyrraedd yn ddatgryptiedig ac eto fod angen iddo adael yn amgryptiedig, ac nid yw derbyniad a ysgrifennwyd ar gyfer y cyd-destun sy'n dod i mewn yn unig yn dweud dim am y gofyniad allbwn. Os yw'r polisi'n gofyn am yr amddiffyniad hwnnw, dylai'r set rheolau ei fynegi yn hytrach na thybio y bydd y llwybro'n ymdopi ag ef.

Cadwch y ddau gwestiwn mewn rheolau ar wahân fel y gall y darllenydd weld pa un sy'n cael ei orfodi. Mae un rheol glyfar sy'n gwirio'r ddau yn anoddach ei hadolygu ac yn llawer anoddach ei dadbudo pan fydd un hanner ohoni'n peidio â chyfateb. Mae dwy reol â chyfrifwyr hefyd yn dweud wrthych pa ofyniad sy'n methu, rhywbeth na fydd un rheol gyfunol byth yn ei wneud.

Nid yw NAT yn benderfyniad mur tân

Mae traffig tuag at y rhyngrwyd o bwll cleientiaid preifat fel arfer angen cyfieithu ffynhonnell fel y gall yr ateb ddod o hyd i'w ffordd yn ôl. Ond mae'n rhaid i draffig a ddewiswyd ar gyfer polisi IPsec allbwn arall gadw ei eithriad gofynnol, ac mae cuddio pob ffynhonnell breifat heb feddwl am y penderfyniad amddiffyn nesaf yn torri hynny.

Nid yw derbyniad y tu mewn i gadwyn NAT yn ganiatâd cyffredinol chwaith. Mae gan NAT a hidlo swyddi gwahanol, ac nid yw cadwyn NAT yn archwilio pob pecyn diweddarach o lif sefydledig, a dyna'n union pam mae dibynnu arni ar gyfer diogelwch yn cynhyrchu rheolau sy'n ymddangos yn gweithio mewn prawf ac yn methu o dan lwyth.

Mae'r gwrthwyneb hefyd yn wir ac yn dal pobl allan: nid yw derbyniad yn rhywle mewn un gadwyn hidlo sylfaenol yn pwyso dim yn erbyn gwrthodiad diweddarach mewn cadwyn arall sy'n berthnasol. Trefn ac amrediad y gadwyn sy'n penderfynu'r canlyniad, nid presenoldeb derbyniad yn y ffeil.

Gwiriwch y gwasanaeth mewnol union

Profwch y gyrchfan a'r porth penodol a awdurdodwyd gennych, o gleient go iawn, a chadarnhewch fod yr ateb yn dod yn ôl. Yna profwch rywbeth na chawsoch ei awdurdodi a gwiriwch nad yw'n mynd drwodd, oherwydd mae rheol rhy eang yn pasio'r prawf cyntaf yr un mor dda â rheol gywir. Nid yw cais nad yw byth yn gadael y cleient yn ganlyniad mur tân chwaith, felly darllenwch y cyfrifwyr i weld a gafodd y pecyn ei werthuso o gwbl. Bydd dau brawf ac un darlleniad cyfrifydd yn dweud mwy wrthych na hanner diwrnod o ddarllen y set rheolau.

Mae cyfeirlyfr nftables yn dogfennu meta ipsec, rt ipsec a'r ymadroddion sy'n benodol i gyfeiriad, a dyna'r lle i wirio cystrawen yn erbyn eich fersiwn sydd wedi'i osod. A chadwch yr amrediad yn glir: enghraifft IPv4 yw hon, nid yw'n dweud dim am IPv6, ac nid yw'n troi anfon pyrth cyhoeddus mympwyol yn rhan o'r gwasanaeth VPN.