Miks nftables ei näe OpenVPN-i klientidevahelist liiklust

Kaks klienti ühel serveril vahetavad faile, ülekanne õnnestub ja iga edastusreegel, mille suunate tunnelile, teatab null paketti. Reeglid ei ole katki ja kett ei ole vales kohas. Kui võrdõiguslike sõlmede vaheline edastus on lubatud, toimetatakse pakett serveriprotsessi sees ja hosti virn ei saa kunagi ruuteriks, seega tuuma tulemüüril ei ole midagi loendada. Selle jaotuse mõistmine otsustab, kas jätate lühitee alles või ehitate tee uuesti läbi tuuma.

Jälgige ühte paketti läbi serveri

Marsruuditud tunnelis annab deemon iga kliendi dekrüpteeritud paketi tunneliseadmele. Sealt marsruudib host selle, edastuskonks jookseb ja tunneliseadmega sobiv reegel saab liiklust loendada või maha visata. See on tee, mida enamik tulemüüri näiteid eeldab.

Lühitee eemaldab hosti keskelt. Ühe seansi dekrüpteeritud pakett antakse deemonis teisele seansile ja sisemine pakett ei väljastata kunagi tunneliseadmele ega marsruudita hosti poolt. Kapseldatud liiklus ületab endiselt füüsilise liidese, seega väline püüdmine näeb hõivatud välja, samal ajal kui sisemised reeglid vaikivad. Tunneliseadmel tehtud püüdmine ei näita üldse midagi, mis üllatab kõiki, kes loodavad seal ülekannet jälgida. See asümmeetria on kiireim viis lühiteed deemonist väljastpoolt ära tunda.

Loenduritest, mis otsustab, milline tee läbiti

Kinnitage loendur reeglile, mis peaks kehtima, käivitage ülekanne kahe kliendi vahel, mille see reegel peaks blokeerima, ja lugege seejärel loendurit.

sudo nft list ruleset
sudo nft add rule inet filter forward iifname "tun0" oifname "tun0" counter accept
sudo nft list chain inet filter forward

Kui ülekanne õnnestub ja loendur jääb nulli, ei käsitlenud tuum neid pakette kunagi ja ükski reeglite muutmine ei aita. Korrake sama testi serveril endal oleva teenuse vastu, sest see voog läbib tõesti hosti virna ja selle loendur liigub. Kahe tulemuse võrdlemine annabki vastuse.

Kaks detaili hoiavad ära vale lugemise. Keti silti kirjutatud liidese nimi ei filtreeri iseenesest midagi, sest sobivus toimub reeglite sees olevatel liidese väljadel. Ja sillatud 2. kihi lahendus käitub jälle teisiti: seal jagavad kliendid üht leviedastusdomeeni, seega võrdõiguslike sõlmede avastamine on oodatav, mitte marsruutimise viga.

Lüliti ei ole juurdepääsuloend

See on osa, mis maksab ühe pärastlõuna. Võrdõiguslike sõlmede vaheline edastus on üks sees või väljas säte, ja kui see on sees, on deemon ainus edastuspunkt. Hosti tulemüür ei saa väljendada, kes kelle juurde pääseb, ja kliendipõhised failid ei muuda lülitit poliitikamaatriksiks.

Kui vajate reegleid sõlmede kaupa, on valik lühiteest loobumise ja juhtimisvahendina hosti tulemüürist loobumise vahel. Selle väljalülitamine taastab tuuma edastuse, mis nõuab serveril IP-edastuse lubamist ja selgesõnalisi reegleid soovitud voogude jaoks. Sees hoidmine tähendab, et poliitika elab deemon konfiguratsioonis, mis praktikas on kas kõik sõlmed või mitte ükski.

Eraldi serveriprotsessid oma aadressibasseinide ja portidega on teostatav kesktee. Iga protsess kannab täpselt üht juurdepääsuotsust, seega kaks rühma saavad erinevad reeglid ilma poliitikamaatriksita. Host saab basseinide vahel marsruudida, kui see on kavatsetud, ja siis näeb tulemüür neid vooge, sest need ületavad hosti. Hind on lisapordid, lisasertifikaadid ja profiil rühma kohta.

Edastuspunkti valimine

Valige tuuma edastus, kui tulemüür on poliitikamootor, kui vajate logimist voo kaupa või kui arvestus loeb. Hind on läbilaskevõime läbi hosti virna ja rohkem reegleid, mida hooldada. Kasu on see, et iga olemasolev tööriist, loenduritest vooeksportijateni, kirjeldab liiklust jälle. Väikesel serveril on see hind nähtamatu; koormatud releel mitte.

Valige protsessisisene edastus, kui sõlmedevaheline liiklus on kas täielikult lubatud või täielikult keelatud ja server on selle jaoks dimensioneeritud. Hind on see, et loendurid, järjekorradistsipliinid ja ühenduste jälgimine ei kirjelda enam sisemisi vooge; see on vastuvõetav ainult siis, kui keegi hiljem neile ei looda.

Mida iganes valite, kirjutage see tulemüüri reeglite kõrvale. Reeglistik, mis näib sõlmedevahelisele liiklusele luba andvat, samal ajal kui deemon otsustab niikuinii, eksitab järgmist inimest, kes ebaõnnestunud ülekannet silub. Igaüks, kes loeb ainult reegleid, eeldab, et tuum on värav.

Mida kontrollida enne reeglite muutmist

Lugege konfiguratsiooni, mille server tegelikult laadis, mitte faili, mille te mäletate olevat muutnud, ja veenduge, kas sõlmede valik on olemas. Kui muutsite seda, veenduge, et teenus laadis uuesti, mitte ainult ei kirjutanud faili kettale üle.

Seejärel korrake testi kliendilt serverile suunduva vooga, et tõestada, et reegel üldse sobib, ja kontrollige lükatud marsruute, sest puuduv marsruut näeb kliendi poolelt täpselt tulemüüri blokeeringuna. Muutke reeglite järjekorda alles siis, kui teate, milline edastuspunkt otsust omab.