Blokeatu helmuga barruti bat VPN bezeroen multzo bakoitzeko

Arau batek onartutako VPN multzo bat helmuga barrutitik kanpo eduki dezake, atebideak egiten duen beste ezer asaldatu gabe. Araua bera laburra da; funtzionatzen duen ala ez erabakitzen duten zatiak bizi den hooka eta katean duen posizioa dira. Bi horiek gaizki asmatzen badituzu, zuzena dirudien eta modu koherentean jokatzen ez duen suhesia lortuko duzu. Hasi paketeak araua ikusten duenean egiten duen horretatik.

Zer parekatzen duen arauak benetan

Arauak hiru gauza parekatzen ditu aldi berean: sarrerako interfazea, iturburu aurrizkia eta helmuga aurrizkia. Hirurak egiazkoak izan behar dute drop aplikatu aurretik, eta horrek estuan mantentzen du. Esaldi bakar gisa irakurtzea errazagoa da hiru politika bereizi gisa baino.

Interfazearen parekatzeak bereizten du birbidalitako bezero trafikoa atebidearen beraren konexioetatik. Hori gabe, iturburu multzoa baino ez duena aipatzen duen arau batek atebideak berak helbide horretatik sortzen dituen paketeei ere eragingo lieke, inoiz egiten badu. Iturburu aurrizkiak politika onartutako bezeroetara mugatzen du, eta helmuga aurrizkiak barruti bakarrera. Irakurri araua ebakidura gisa, ez zerrenda gisa.

Idatzi hiru balioak ezer editatu aurretik: tunel interfazearen izena, zerbitzariak banatzen duen multzoa, eta ukatu nahi duzun aurrizkia. Horietako edozeinetan akats bat eginez gero, garbi parsatzen den eta ezer babesten ez duen araua sortzen da. Gorde hiru balio horiek aldaketaren erregistroan, arauaren ondoan.

Hookak erabakitzen du norentzat balio duen arauak

netfilter kate bat hook bati lotuta dago, eta hookak erabakitzen du kateak zein pakete ikusten dituen. forward hookak atebidetik bideratutako trafikoa ikusten du, eta hori da hain zuzen bezerotik helmugara trafikoa. Kateko beste guztia beste hartzaile batzuetara zuzenduta dago.

input hookak atebideari berari zuzendutako trafikoa ikusten du, beraz han jarritako arau batek bere zerbitzuetarako sarbidea arautzen du, ez trantsitua. output hookak atebideak sortzen duen trafikoa ikusten du, eta hori bezero multzo baten politikak behar duenaren kontrakoa da. Kate izenak erregelak idatzi zituenak aukeratutako etiketa arbitrarioak dira, beraz ez ondorioztatu hooka izenetik. Egiazta ezazu non dagoen katea lotuta, zer parekatu dezakeen suposatu aurretik.

Lotura irakurtzea lerro bakarreko egiaztapena da, eta arau bat paketea inoiz ikusten ez duen kate batean eror dadin eragozten du.

Jarri araua accept zabalaren aurretik

Arauak ordenan ebaluatzen dira, eta lehen epaia nagusitzen da. Katean lehenago dagoen accept zabal batek bere parekatzen dituen paketeen ebaluazioa amaitzen du, beraz geroago gehitutako drop bat ez da inoiz haientzat exekutatzen. Ordena arau hori da itxuraz zuzena den arau batek inolako efekturik ez izatearen arrazoi osoa.

Txertatu araua acceptaren aurretik, ez gehitu amaieran. Kateak tunel interfazerako accept orokor bat badu jada, arau berriak hura baino lehenago egon behar du, bestela apaingarria baino ez da. Egiaztatu emaitzazko ordena, editatu duzun fitxategia ez, hainbat fitxategitik osatutako erregelak ez baitira agian inongo fitxategirekin bat etorriko. Ondoren berretsi multzoko proba pakete batekin.

sudo nft list chain inet filter forward
sudo nft insert rule inet filter forward iifname "tun0" ip saddr 10.90.0.0/24 ip daddr 198.51.100.0/24 drop
sudo nft -c -f /etc/nftables.conf

Hirugarren komandoak fitxategia aplikatu gabe parsatzen du, eta horrek sintaxi akatsak harrapatzen ditu etenaldia bihurtu aurretik. Aplikatu itzultzeko plan batekin, forward kate bateko arau oker batek lanean ari zaren tunela moztu bait dezake.

Lehendik dauden fluxuek ez diote zure arau berriari kasurik egiten

Araua existitu aurretik sortutako conntrack sarrera batek lehenagoko acceptarekin bat egiten jarraitzen du. Horregatik drop berri batek batzuetan konexio berrientzat funtzionatzen duela dirudi eta probatzen ari denarentzat ezer ez duela egiten.

Irakurri egoera parekatzea katearen goikaldean. Zure arauaren aurretik established eta related trafikoa onartzen badu, jada martxan dagoen fluxu bakoitzak isurtzen jarraitzen du itxi arte. Normalean hori da larrialdiko arau baterako nahi duzun portaera, eta nahasgarria da berehalako mozketa espero duzunean. Erabaki zein efektu nahi duzun zabaldu aurretik. Konexio ireki bat berrerabiltzen duen proba batek istorio okerra kontatuko dizu.

sudo conntrack -L -s 10.90.0.14 -d 198.51.100.20
sudo nft list ruleset | grep -n -A3 'ct state'

Lehen komandoak fluxua badagoen erakusten du, eta bigarrenak hasierako egoera arau batek onartzen jarraitzen duen. Biak irakurtzeko soilik dira eta seguruak intzidentzia batean.

Zer ez den arau hau

Araua ez da domeinuen zerrenda beltza, IPv6 politika bat, ez eta aplikazio kontu bakar baten murrizketa.

Horietako bakoitzak bere mekanismoa behar du. Domeinu blokeo batek izenak ebatzi behar ditu, pakete iragazki batek egiten ez duena. IPv6 trafikoak bere parekatzea behar du, ip esaldi batek ezer esaten ez baitu ip6 paketeei buruz. Aplikazio mailako murrizketa zerbitzuarena edo proxy autentifikatuarena da, ez aurrizki parekatzearena. Baldintza horiek bereizita edukitzeak eragozten du arau estu bati lau lan egitea eskatzea.

Arau honek ematen duen kontratua zehatza da: onartutako multzo batetik helmuga aurrizki baterako trafikoa ukatzen da, eta atebidearen trafiko erlazionatu gabeak bere politika mantentzen du. Idatzi esaldi hori arauaren ondoan, eta hurrengo pertsonak jakingo du zertarako zen.