IPv6 blokeerimine WireGuardi turvamiseks rikub hosti

Eesmärk on mõistlik: selle masina teenustele peaksid pääsema ainult tunnelikasutajad. Lahendus, mille poole inimesed sirutavad, on IPv6 sisendahel, mis dropib kõik peale WireGuardi, ja see dropib ka liikluse, mis hoiab hosti tema enda lingil. Naabrite avastamine ja teehoolduse teated ei ole teenusele juurdepääs, ja nende eemaldamine annab masina, mis on kättesaamatu põhjustel, millel pole teie poliitikaga midagi pistmist. Tunnel tõuseb, teenused on õigesti piiratud ja lingil ei tööta miski muu.

Kolm vastutust, üks reeglistik

Esimene vastutus on välisvõrgu töö: host peab püsima oma lingil, lahendama naabreid ja õppima selle lingi tee piirid. Teine on krüpteeritud kuulaja, mis võtab UDP-i vastu teie valitud aadressil ja pordil. Kolmas on dekrüpteeritud teenuste kogum, kuhu soovite tunnelikasutajad pääsema.

Need on kolm erinevat poliitikat ja ainult teine ja kolmas puudutavad VPN-i. Reeglistik, mis kohtleb neid ühena, pärib rikkerežiimi, kus rakenduse piiri pingutamine katkestab hosti ühendatuse vaikselt.

Hoidke neid eraldi ahelates või vähemalt eraldi kommentaarides, et järgmine inimene näeks, milline rida mis põhjusel olemas on.

Mida ICMPv6 hosti heaks teeb

IPv6 tugineb ICMPv6-le palju enam kui kaja jaoks. Naabri päring ja teadaanne asendavad ARP-i ja on kohalikuks kohaletoimetamiseks vajalikud. Packet Too Big kannab tee MTU teavet ja selle eiramine annab ülekanded, mis suurte pakettide juures takerduvad. Ruuteri teadaanded kannavad vaiketeed ja prefiksi teavet, kui link kasutab automaatset seadistust.

RFC 4890 eraldab sõnumid, mida hosti filter peab lubama, nendest, mis on halduslik valik, ja teeb seda hosti-jaotises, mis erineb võrke edastava ruuteri reeglitest. Ainult edastusjaotise lugemine annab sisendpoliitika, mis on kaitstava hosti jaoks liiga range.

Praktiline reegel on lubada olulised vea- ja seadistusteated liidesel, mis neid vajab, piiratud tüübi ja allika järgi seal, kus platvorm seda lubab, ning otsustada ülejäänu kohta selgelt.

Kõige selle asendamine üldise ICMPv6 loaga lahendab kättesaadavuse probleemi ja loobub filtreerimisest. Selle asendamine üldise dropiga lahendab filtreerimise probleemi ja loobub hostist.

Lase tunnel sisse, siis teenus

Võtke WireGuardi transport vastu kavandatud välisaadressil ja UDP-pordil ning tagasiliiklus ühenduste jälgimise kaudu. Seejärel lubage rakendusteenused tunneliliidese kaudu, allikatest, millele te tegelikult volituse annate.

Välise UDP-pordi luba ei volita selle sees olevaid dekrüpteeritud päringuid. Just see erinevus on kogu põhjus, miks tunneliliides teenusereeglites esineb.

Lugege reeglistikku nii, nagu see on, mitte nii, nagu fail seda kirjeldab:

sudo nft list ruleset
ip -6 addr show
ip -6 route show default

Füüsilisel aadressil kuulaja on eraldi paljastus samast teenusest tunneli aadressil. Kui masin edastab liiklust ka teisele masinale, on see edastusahela otsus, mitte see sisendpoliitika, ja see vajab oma põhjendust.

Testige linki, mitte ainult tunnelit

Pärast muudatust töötav tunnel tõestab vähem, kui tundub, sest olemasolev naabrikirje ja loodud ühendus võivad varjata juhtteate, mille poliitika nüüd dropib.

Kontrollige ühendatust otse ja seejärel kontrollige, et välistatud tee ikka ebaõnnestub:

ip -6 neigh show
ping -6 -c 3 2001:db8:1::1
sudo nft -c -f /etc/nftables.conf

Naabritabel, mis jääb pärast taaskäivitust täielikuks, on märk, et avastamine töötab endiselt. Tabel, mis tühjeneb ega täitu enam kunagi, on märk, et filtreerisite selle välja. Kolmas käsk valideerib reeglistiku süntaksi ilma seda rakendamata, mida tasub teha, kuni teil veel sessioon on.

Taastage host, millest end välja lukustasite

Enne tulemüürireeglite muutmist, mis kannavad teie enda haldussessiooni, hoidke teist kanalit: konsool, jadauhendus või ajastatud tagasipööramine, mis eemaldab uued reeglid, kui te seda ei tühista.

Kui muudatus teid siiski välja lukustab, toimub taastamine selle kanali kaudu, mitte võrgu kaudu, mille just eemaldasite. Taastage eelmine reeglistik salvestatud koopiast, kinnitage, et host on jälle kättesaadav, ja alles siis rakendage kavandatud poliitika väiksemate tükkidena.

Lõplik poliitika ei ole universaalne. Adresseerimine, marsruutimine ja tulemüüri teostus on juurutamise sisendid, kuid piir on kõikjal sama: keelake soovimatu rakendusepääs, säilitades juhtliikluse, mis kannab volitatud tunnelit.