Rheolau mynediad SSH a VPN: beth mae’r rhestr caniatáu yn ei reoli mewn gwirionedd

Cysylltwch unwaith cyn i chi newid rheol a nodwch a yw’r cleient yn hongian neu’n cael ei wrthod ar unwaith. Mae’r un gwahaniaeth hwnnw’n dweud wrthych pa benderfyniad a ollwng y pecyn ac yn arbed awr o ddarllen ffeiliau polisi. Mae gweddill y daith yn fyr: mae’r pecyn yn croesi bach, yn cyfateb i reol, ac naill ai’n cyrraedd gwrandäwr neu beidio. Nid yw rhestr caniatáu ond cyfrifo o amgylch y tri ffaith hynny.

Dilynwch un ymgais SSH at y bach mewnbwn

Mae cleient yn anfon SYN i gyfeiriad y gwesteiwr ar borth 22, ac mae’r cnewyllyn yn penderfynu a yw’r pecyn hwnnw ar gyfer gwasanaeth lleol. Os ydyw, mae’r llwybr mewnbwn yn rhedeg ac mae’r set reolau naill ai’n derbyn y pecyn neu’n ei daflu. Mae distawrwydd yn golygu bod y SYN wedi marw cyn i’r gwrandäwr ei weld, tra bod gwrthodiad cyflym yn golygu bod rhywbeth wedi ateb ag ailosodiad. Barn wahanol o reolau gwahanol yw’r rhain, ac mae’r ddau yn ganlyniadau dilys.

Cadarnhewch y gwrandäwr nesaf, oherwydd ni all unrhyw reol achub gwasanaeth nad yw yno. Rhedwch ss -ltnp a gwiriwch fod rhywbeth wedi’i rwymo i’r porth a’r teulu cyfeiriadau rydych yn ei ddisgwyl, yna darllenwch ssh -v ar y cleient i weld ble mae’n stopio.

Mae anfon ymlaen yn benderfyniad ar wahân

Ar weinydd VPN y bach mwy diddorol yw forward, oherwydd mae traffig y cleient yn cael ei lwybro trwy’r peiriant yn hytrach na’i gyflwyno iddo. Mae gwesteiwr sy’n rhedeg dim ond ei gleient VPN ei hun yn gwefru set reolau lawer llai na’r un sy’n anfon pecynnau pobl eraill ymhellach. Mae cymysgu’r ddau ddyluniad ar un blwch yn cynhyrchu rheolau sy’n edrych yn gywir ac nad ydynt yn pasio dim.

Ysgrifennwch y polisi mewnol fel cwestiwn ar wahân: pa gyfeiriadau cleient all gyrraedd pa gyrchfannau trwy’r twnnel. Cadwch y llwybr gweinyddol, fel SSH, ar y llwybr mewnbwn gyda’i gyfyngiad ffynhonnell ei hun. Rheol forward ganiataol a ychwanegir yn ystod profi yw’r diffyg clasurol sy’n goroesi’r prawf, felly adolygwch y set reolau gyfan ar ôl newid yn lle’r llinell a olygwyd gennych. Nid yw agor gwrandäwr y twnnel yn ganiatâd i bob cleient cysylltiedig weinyddu’r gwesteiwr.

Gweithredoedd yw gollwng a gwrthod, nid polisïau

Mae polisi cadwyn sylfaenol yn derbyn neu’n gollwng, a dyna’r rhestr gyfan o ddewisiadau, fel y dywed cyfeirlyfr nftables. Mae gwrthod yn bodoli fel gweithred reol ag ateb a ddewiswyd, a dyna pam mae ei ysgrifennu fel polisi yn methu ar nftables ac iptables ill dau. Yn ymarferol, nid yw drop yn rhoi unrhyw wybodaeth i’r cleient, tra mae reject yn rhoi gwall iddo y gall weithredu arno.

table inet admin {
    chain input {
        type filter hook input priority filter; policy drop;
        ct state established,related accept
        ip saddr 203.0.113.0/28 tcp dport 22 accept
        udp dport 51820 accept
        icmp type { destination-unreachable, time-exceeded } accept
    }
}

Darllenwch y braslun hwnnw fel siâp penderfyniad yn hytrach na ffeil i’w phastio, gan fod yr ystodau cyfeiriadau yn enghreifftiau. Mae reject penodol ar y porth SSH yn gwneud i gleient anawdurdodedig fethu mewn eiliad yn lle aros am derfyn amser, sy’n byrhau eich dadfygio eich hun. Mae distawrwydd yn digalonni sganio achlysurol ac yn dweud dim o gwbl wrth ddefnyddiwr awdurdodedig. Dewiswch fesul gwasanaeth ac ysgrifennwch pam, neu bydd y person nesaf yn ei newid yn ôl.

Cadwch y traffig rheoli sydd ei wir angen arnoch

Mae blocio pob ICMP yn ddiffyg poblogaidd sy’n torri darganfyddiad MTU llwybr, a’r symptom yw cysylltiad sy’n sefydlu ac yna’n tagu ar becynnau mwy. Mae darganfod cymdogion ar IPv6 yn dibynnu ar ei fathau ICMPv6 ei hun, ac mae gollwng y rheini yn torri’r cyswllt cyn i unrhyw reol TCP gael ei hystyried. Mae’r ddau yn perthyn i’r rhestr caniatáu fel dibyniaethau a enwir yn hytrach nag fel caniatadau gorchuddiol. Mae polisi sy’n torri darganfyddiad yn ddistaw yn waeth nag un sy’n derbyn ychydig o draffig diagnostig.

Caniatéwch y cyflwr established a related ar gyfer cysylltiadau a gychwynnwyd gennych, a gadewch i’r peiriant cyflwr drin yr atebion. Yna cadarnhewch nad yw’r llwybr ateb wedi’i flocio ymhellach allan, oherwydd mae cyfyngiad allan yn unig i fyny’r afon yn cynhyrchu’r un terfyn amser yr oeddech ar fin ei feio ar y gwesteiwr.

Profwch adferiad cyn i chi roi’r llwybr hen yn ysbys

Cadwch sesiwn consol ar agor, cymhwyswch y newid, ac agorwch gysylltiad rheoli hollol newydd o derfynell wahanol. Nid yw sesiwn bresennol yn profi dim, oherwydd gall oroesi rheol sy’n blocio pob mewngofnod newydd, sy’n ei gwneud y positif ffug mwyaf darbwyllol mewn gwaith mur cadarn. Os yw system fonitro yn gwirio’r gwesteiwr, ychwanegwch ei gyfeiriad ffynhonnell cyn y newid yn hytrach nag ar ôl y rhybudd cyntaf. Yna profwch un pecyn mawr ac un pecyn bach i brofi bod darganfyddiad yn dal i weithio.

Ar gyfer gwasanaeth VPN, ailadroddwch o gleient nad yw erioed wedi cysylltu, gan y gall sesiwn a ailddechreuwyd ailddefnyddio cyflwr y mae’n rhaid i un newydd ei drafod. Cofnodwch yr union set reolau a basiodd, gyda swm gwirio neu gopi, fel y gellir cymharu golygiad diweddarach yn hytrach na dyfalu. Cydlynwch â phwy bynnag sy’n berchen ar drefn y rheolau, oherwydd mae rheol gynharach yn curo’n ddistaw ar yr un a ychwanegoch.