Pam nad yw NAT cartref yn amddiffyn eich rhyngwyneb VPN

Mae gliniaduron y tu ôl i lwybrydd cartref heb anfon porth ymlaen yn dal i dderbyn cysylltiadau SSH sy'n cyrraedd dros y VPN. Nid yw hynny'n wrthgyferbyniad, oherwydd mae dau ddyfais wahanol yn barnu dau becyn gwahanol. Mae'r llwybrydd yn anfon y cludiant amgryptiedig ymlaen, a'r gwesteiwr yn penderfynu beth i'w wneud â'r pecyn dadgryptiedig sy'n cyrraedd ei ryngwyneb tiwnel. Cadw'r ddau benderfyniad hynny ar wahân yw'r ymarfer cyfan.

Mae'r llwybrydd yn anfon y tiwnel ymlaen, mae'r gwesteiwr yn barnu'r pecyn

Drafftiwch y llwybr o'r ffynhonnell bell i'r gwasanaeth cyn i chi edrych ar unrhyw reol. Y goes allanol yw'r cludiant VPN, a drinnir gan y llwybrydd a'r porth. Mae'r goes fewnol yn dechrau pan fo'r pennod yn tynnu'r haen tiwnel ac mae'r gwesteiwr yn derbyn pecyn wedi'i gyfeirio at ei gyfeiriad VPN.

Cyfunwch y ddwy goes honno ac mae'r llwybrydd yn cael clod am benderfyniad y mae'r gwesteiwr yn ei wneud. Mae tudalen anfon porth ymlaen neu gofnod llwybrydd yn disgrifio sgyrsiau allanol yn unig, ac nid yw'r un ohonynt yn dweud pa draffig dadgryptiedig y bydd y gwesteiwr yn ei dderbyn. Mae'r gwesteiwr yn cymhwyso ei bolisi mewnbwn ei hun i'r pecyn mewnol, yn yr un modd ag y gwnaethai i unrhyw becyn sy'n cyrraedd rhyngwyneb. Yn y polisi hwnnw y caiff cwestiwn yr amlygiad ei setlo mewn gwirionedd.

Nid yw gwrandäwr cardotyn yn wasanaeth cyhoeddus

Ar Linux, mae rhwymo i INADDR_ANY yn golygu pob cyfeiriad lleol, felly gall gwasanaeth ateb ar ryngwyneb tiwnel na chafodd ei enwi erioed. Mae'r cyfeirlyfr soced IP yn disgrifio'r rhwymiad hwnnw, ac mae'n werth ei ddarllen cyn tynnu casgliadau o restr gwrandawyr. Mae cofnod cardotyn yn ffaith am y soced, nid yn haeriad am gyrhaeddedd.

Mae'r ddwy linell isod yr un gwasanaeth mewn dau rwymiad gwahanol, a'r gwahaniaeth yw'r ateb cyfan i ba un a yw'r rhyngwyneb yn bwysig. Darllenwch ar ba gyfeiriad y mae'r soced yn eistedd cyn unrhyw beth arall.

ss -lntp "sport = :22"
LISTEN 0 4096 0.0.0.0:22 0.0.0.0:* users:(("sshd",pid=812,fd=3))
LISTEN 0 4096 10.8.0.6:22 0.0.0.0:* users:(("sshd",pid=812,fd=4))

Enwch y trefniad a allai gyrraedd y porth

Mae tri threfniad yn rhoi pecyn ar y rhyngwyneb hwnnw, ac mae ganddynt berchnogion gwahanol. Mae enwi'r un iawn yn penderfynu pwy sydd â rhaid newid polisi.

Nid yw canlyniad porwr sy'n dangos cyfeiriad allan cyhoeddus yn dweud dim am unrhyw un o'r tri, oherwydd mae'n disgrifio sut y mae traffig allan yn gadael yn hytrach na beth a ganiateir i draffig i mewn. Gweithiwch yn ôl o'r gwrandäwr a'r cyfeiriad ffynhonnell yng nghofnod y gwasanaeth. Os y ffynhonnell yw peer tiwnel arall, y polisi porth yw'r ddogfen ddiddorol. Os yw'n gyfeiriad a gyfieithwyd, darganfyddwch y cyfieithiad cyn newid rheol.

Cwmpaswch y gwasanaeth i'r llwybr a fwriadwyd

Os mai dim ond o lwybr rheoli y mae angen SSH, ysgrifennwch y llwybr hwnnw fel ystod ffynhonnell ynghyd â rhyngwyneb. Yna cwmpaswch reolau mewnbwn y gwesteiwr yn ôl rhyngwyneb, cyrchfan a ffynhonnell yn hytrach nag yn ôl enw rhwydwaith, gan y gall enw sy'n edrych yn breifat sefyll dros unrhyw gyfeiriad. Cadwch lwybr i mewn ar gyfer y person a fydd yn datrys y broblem nesaf.

nft add rule inet filter input iifname "tun0" ip saddr 10.8.0.0/24 tcp dport 22 accept
nft list chain inet filter input

Mae rheol sy'n enwi rhyngwyneb y tiwnel a'r ystod rheoli yn datgan y bwriad mewn un man. Cymharwch hi â rheol a ysgrifennwyd ar gyfer y rhwydwaith Wi-Fi, nad yw'n dweud dim am draffig tiwnel dadgryptiedig. Pan fo'r ddwy haen yn anghytuno, y polisi gwesteiwr yw'r un y mae'r pecyn yn ei gyfarfod.

Gadewch fewngofnodi a chlytio yn union lle maent; nid oedd cyrraedd porth erioed yr un peth â chael caniatâd i'w ddefnyddio. Cofnodwch y teulu cyfeiriad a'r amser ar gyfer unrhyw ffynhonnell anghyfarwydd, ac ymchwiliwch cyn beio nodwedd neu fregusrwydd. Mae rheol sy'n derbyn pob peer tiwnel yn ddyluniad gwahanol i un sy'n derbyn is-rwydwaith rheoli, ac ni fydd unrhyw linell gofnod yn dweud pa un a fwriadwyd.

Derbyniwch y gwelliant gydag un llwyddiant ac un gwrthodiad

Profwch y ddwy hanner: mae un cysylltiad a gymeradwywyd yn llwyddo ac mae un llwybr a eithriwyd yn cael ei wrthod. Y gwrthodiad yw'r hanner y mae pobl yn ei hepgor, a dyna'r un sy'n dangos bod y rheol yn gwneud gwaith yn hytrach nag eistedd wrth ymyl rhagosodiad caniataol. Profwch o'r ochr a eithriwyd yn hytrach na rhesymu amdani.

Ailadroddwch y pâr ar ôl ailgysylltu, oherwydd gall tiwnel sy'n dychwelyd ag enw rhyngwyneb gwahanol osgoi'n dawel reol a gwmpesir i'r hen un. Y ffin sy'n cyfrif yw'r un y mae'r gwesteiwr yn ei chymhwyso i becynnau y mae'n eu derbyn mewn gwirionedd.