Transmission ar Linux: gorfodi llwybr allan yn ôl perchennog y broses

Nid yw blocio porth fewnol Transmission yn bolisi VPN. Mae cleient torrent yn agor cysylltiadau allan i gymheiriaid a thracwyr, yn datrys enwau ac yn gallu datgelu gwrandäwr rheoli o bell, a gall pob un o’r rhain fynd allan trwy ryngwyneb nad oeddech wedi’i fwriadu. Ewch trwy’r pum gwiriad mewn trefn a thriniwch y rheol wal dân, nid gosodiadau’r cleient, fel y ffin. Y ddau wiriad olaf yw’r rhai y mae pobl yn eu hepgor, a nhw sy’n penderfynu a yw’r warant yn dal pan fydd y twnnel yn cwympo.

Enwi’r broses sy’n berchen ar y trosglwyddiad

Mae’r rhaglen bwrdd gwaith a daemon y system yn rhedeg o dan gyfrifon gwahanol, ac mae rheol sy’n seiliedig ar berchennog yn dilyn y cyfrif yn hytrach nag enw’r rhaglen. Darganfyddwch pa un ohonynt sy’n rhedeg cyn ysgrifennu unrhyw reol. Mae cyfrif gwasanaeth penodol yn rhoi pwnc manwl i’r polisi, tra bod defnyddiwr bwrdd gwaith yn rhannu ei hunaniaeth â phorwyr, golygyddion a phopeth arall yn y sesiwn. Cadarnhewch yr UID yn lle tybio mai enw cyfrif y pecyn yw’r un a ddefnyddir.

systemctl status transmission-daemon
ps -o user=,pid=,cmd= -C transmission-daemon

Os nad yw’r cyfrif yn bodoli eto, crëwch ef at y diben hwn a pheidiwch â rhoi dim arall iddo redeg. Ysgrifennwch y cyfrif a’r UID yng nghylch y rheol, oherwydd rheol heb bwnc yw rheol na all neb ei golygu’n ddiogel.

Gwahanu meysydd y gwrandäwr oddi wrth y llwybr

Mae Transmission 4.x yn dogfennu cyfeiriadau gwrando cyfoedion ar wahân i rpc-bind-address, ac mae’r gwahaniaeth yn bwysig. Dim ond y gwrandäwr rheoli o bell y mae gosodiad RPC yn ei reoli, felly nid yw ei newid yn dewis llwybr ar gyfer traffig cyfoedion. Darllen y ddau osodiad fel un yw’r rheswm mwyaf cyffredin pam mae cyfluniad sy’n edrych yn ofalus yn dal i ollwng. Mae’r un ddogfennaeth yn disgrifio cwymp yn ôl pan fydd cyfeiriad gwrando cyfoedion yn annilys, felly mae cyfeiriad sydd ddim ar gael yn achos cwymp yn ôl wedi’i ddogfennu, nid yn wrthodiad gwarantedig.

grep -E '"(peer-port|rpc-bind-address|bind-address-ipv4)"' /var/lib/transmission-daemon/.config/transmission-daemon/settings.json

Defnyddiwch reolyddion y cleient am yr hyn ydynt, a rhowch y warant yn y wal dân. Gall gosodiad gwrandäwr fod yn werth ei ddefnyddio o hyd, ond nid yw’n sefydlu bod cysylltiad â thracwyr, darganfyddiad lleol neu edrychiad dirprwyol i gyd yn mynd allan trwy’r twnnel. Pan fydd y ddau yn anghytuno, y wal dân sy’n penderfynu.

Ysgrifennu’r cyfatebiaeth perchennog yn y gadwyn iawn

Mae llawlyfr Netfilter ar gyfatebiaeth perchennog yn esbonio sut mae pecynnau a gynhyrchir yn lleol yn cael eu priodoli i’r defnyddiwr neu’r grŵp sy’n berchen ar ffeil y soced. Nid yw’r priodoliad hwnnw’n ymestyn i draffig a anfonir ymlaen, ac mae angen opsiwn penodol ar gyfer cyfateb grwpiau atodol. Darllenwch lawlyfr yr estyniad rydych chi’n ei ddefnyddio mewn gwirionedd yn lle’r enghraifft gyntaf a ddowch o hyd iddi.

iptables -A OUTPUT -m owner --uid-owner transmission -o tun0 -j ACCEPT
iptables -A OUTPUT -m owner --uid-owner transmission -j REJECT
ip6tables -A OUTPUT -m owner --uid-owner transmission -o tun0 -j ACCEPT
ip6tables -A OUTPUT -m owner --uid-owner transmission -j REJECT

Mae trefn yr un mor bwysig â’r gyfatebiaeth. Mae derbyniad eang yn gynharach yn y gadwyn yn gwrthweithio gwrthodiad manwl yn ddiweddarach, felly adolygwch y gadwyn gyfan yn lle ychwanegu rheol a gobeithio. Cynhwyswch y ddwy deulu cyfeiriad os yw’r gwesteiwr yn rhedeg IPv6, oherwydd mae polisi v4 yn unig yn gadael llwybr ar agor nad oes neb yn ei wylio. Cadwch y rheolau wedi’u gosod ar draws ailgychwyn y cleient a’r twnnel.

Penderfynu beth sy’n digwydd pan fydd tun0 yn diflannu

Polisi methiant yw pwynt yr ymarfer. Os bydd y twnnel yn diflannu ac mae’r un bachyn yn tynnu’r rheolau, mae’r cleient yn rhydd i ddefnyddio’r rhyngwyneb corfforol nes bod rhywbeth arall yn ei atal. Mae’r dyluniad diogel yn cadw’r rheolau ac yn gadael iddynt wrthod, a dyna sy’n gwneud y ffin yn annibynnol ar iechyd y twnnel. Mae bachyn dymchwel sy’n dileu’r rheolau hefyd yn groes i bolisi methiant.

ip link show tun0
iptables -S OUTPUT

Profwch ef yn fwriadol: stopiwch y twnnel, cychwynnwch drosglwyddiad y mae’n ddiogel ei adael, a gwyliwch a oes unrhyw beth yn mynd allan. Yna dychwelwch y twnnel a chadarnhau bod y llwybr arfaethedig yn gweithio eto.

Gorchuddio’r llwybrau na all y rheol eu gweld

Gall proses datryswr ar wahân drin datrys enwau, a gall enwofod neu borth gweinydd penodol ddarparu ffin arall os yw ei lwybrau rhannu a chychwyn wedi’u cynllunio ar gyfer hynny. Penderfynwch pa gydran sy’n berchen ar DNS ac a yw’n dilyn yr un rheol allan. Yna edrychwch ar RPC: os defnyddir rpc-whitelist, mae’r rhwydwaith rheoli cymeradwy yn rhan o’r contract, ac nid yw ystod RFC1918 eang.

ss -tunp | grep -i transmission

Gall cownteri rhyngwyneb ategu arsylwad, ond ni allant brofi pa broses a gynhyrchodd y byteau. Cynhaliwch drosglwyddiad y cewch ei adael: yn gyntaf ar y llwybr sy’n gweithio, yna heb dwnnel wrth gychwyn, ac yna trwy ymyrraeth, ailgysylltiad a rhyngwyneb sydd newydd ei greu. Profwch ymgais newydd yn ogystal â chysylltiad a oedd eisoes ar agor, oherwydd efallai na chafodd y rheol ei chymhwyso i’r soced hŷn. Cofnodwch y dyddiad, y cyfrif a’r canlyniad gyda’r prawf.

Mae gludo enghraifft sy’n fflysio’r gadwyn gyfan yn cyfnewid un twll am nifer, felly ychwanegwch reolau yn lle eu clirio. Pan fydd y pum gwiriad yn pasio, mae’r warant yn glir: mae traffig y cleient yn gadael trwy’r twnnel neu ddim o gwbl, ac mae’r rheol sy’n gorfodi hynny yn goroesi methiant y twnnel ei hun.