IPv6 blokeatzeak WireGuard babesteko host-a hausten du

Helburua arrazoizkoa da: tunel-erabiltzaileek soilik iritsi behar dute makinako zerbitzuetara. Jendeak hartzen duen ezarpena WireGuard ez den guztia baztertzen duen IPv6 sarrera-katea da, eta horrek host-a bere estekari lotuta mantentzen duen trafikoa ere baztertzen du. Bizilagunen aurkikuntza eta bidearen mantentze-mezuak ez dira zerbitzurako sarbidea, eta horiek kentzeak zure politikarekin zerikusirik ez duten arrazoiengatik irisgaitza den makina sortzen du. Tunela altxatzen da, zerbitzuak ondo mugatuta daude, eta estekako beste ezerk ez du funtzionatzen.

Hiru erantzukizun, arau-multzo bat

Lehen erantzukizuna kanpoko sarearen funtzionamendua da: host-ak bere estekari lotuta jarraitu behar du, bizilagunak ebatzi eta esteka horren bide-mugak ezagutu. Bigarrena entzule zifratua da, zuk aukeratutako helbide eta atakan UDP onartzen duena. Hirugarrena tunel-erabiltzaileek iritsi behar duten deskifratutako zerbitzuen multzoa da.

Hiru politika desberdin dira, eta soilik bigarrena eta hirugarrena dira VPNari buruzkoak. Hauek bat balira bezala tratatzen dituen arau-multzoak porrot-modu bat heredatzen du, non aplikazioaren muga estutzeak host-aren lotura isilka hausten duen.

Eduki itzazu kate bereizietan edo gutxienez komentario bereizietan, hurrengo pertsonak ikus dezan zein lerro dagoen zein arrazoirengatik.

Zer egiten duen ICMPv6-k host-arentzat

IPv6-k ICMPv6-rengan du konfiantza oihartzuna baino askoz gehiagorako. Bizilagun-eskaerak eta -iragarpenak ARP ordezkatzen dute eta tokiko entrega lortzeko beharrezkoak dira. Packet Too Big-ek bidearen MTU informazioa darama, eta hura ez ikusteak pakete handitan trabatzen diren transferentziak eragiten ditu. Bideratzailearen iragarpenek bide lehenetsia eta aurrizki-informazioa daramatzate estekak konfigurazio automatikoa erabiltzen duenean.

RFC 4890-ek host-aren iragazkiak baimendu beharreko mezuak administrazio-erabakia diren mezuetatik bereizten ditu, eta sareen artean birbidaltzen duen bideratzailearen arauetatik desberdina den host-atalean egiten du. Birbidaltze-atalea bakarrik irakurtzeak host-ari, babesten duenarentzat, zorrotzegia zaion sarrera-politika ematen du.

Arau praktikoa funtsezko errore- eta konfigurazio-mezuak behar dituen interfazean baimentzea da, mota eta iturriaren arabera mugatuta plataformak baimentzen duenean, eta gainerakoari buruz erabaki esplizitua hartzea.

Hori guztia ICMPv6 baimen orokor batekin ordezteak eskuragarritasun arazoa konpontzen du eta iragazketari uko egiten dio. Drop orokor batekin ordezteak iragazketa arazoa konpontzen du eta host-ari uko egiten dio.

Onartu tunela, gero zerbitzua

Onartu WireGuard garraioa aurreikusitako kanpoko helbidean eta UDP atakan, eta onartu itzulera-trafikoa konexioen jarraipenaren bidez. Gero baimendu aplikazio-zerbitzuak tunel-interfazearen bidez, benetan baimenduta dituzun iturrietatik.

Kanpoko UDP atakaren baimenak ez ditu barneko eskaera deskifratuak baimendutzen. Bereizketa hori da tunel-interfazea zerbitzu-arauetan agertzearen arrazoi osoa.

Irakurri arau-multzoa den bezala, ez fitxategiak deskribatzen duen bezala:

sudo nft list ruleset
ip -6 addr show
ip -6 route show default

Helbide fisiko bateko entzulea tunel-helbideko zerbitzu beraren esposizio bereizia da. Makinak beste makina batera ere birbidaltzen badu trafikoa, hori birbidaltze-kateko erabakia da eta ez sarrera-politika hau, eta bere arrazoibidea behar du.

Probatu esteka, ez soilik tunela

Aldaketaren ondoren funtzionatzen duen tunelak itxuraz baino gutxiago frogatzen du, lehendik dagoen bizilagun-sarrera batek eta ezarritako konexio batek politikak orain baztertzen duen kontrol-mezu bat ezkuta dezaketelako.

Egiaztatu lotura zuzenean, eta egiaztatu gero baztertutako bideak huts egiten duela oraindik:

ip -6 neigh show
ping -6 -c 3 2001:db8:1::1
sudo nft -c -f /etc/nftables.conf

Berrabiarazi ondoren osorik mantentzen den bizilagun-taulak aurkikuntzak oraindik funtzionatzen duela adierazten du. Hustu eta inoiz berriro betetzen ez den taulak iragazi duzula adierazten du. Hirugarren komandoak arau-multzoaren sintaxia baliozkotzen du aplikatu gabe, eta hori egitea merezi du oraindik saio bat duzun bitartean.

Berreskuratu kanporatuta geratu zaren host-a

Zure administrazio-saioa daramaten suebaki-arauak aldatu aurretik, eduki bigarren kanal bat: kontsol bat, serie-konexio bat edo programatutako atzera-egitea, bertan behera uzten ez baduzu arau berriak kenduko dituena.

Aldaketak kanporatzen bazaitu, berreskurapena kanal horren bidez da, eta ez kendu berri duzun sarearen bidez. Leheneratu aurreko arau-multzoa gordetako kopiatik, egiaztatu host-a berriro irisgarria dela, eta orduan soilik aplikatu asmo duzun politika zati txikiagoetan.

Azken politika ez da unibertsala. Helbideratzea, bideratzea eta suebakiaren ezarpena hedapen-sarrerak dira, baina muga bera da leku guztietan: ukatu nahi ez den aplikazio-sarbidea baimendutako tunela daraman kontrol-trafikoa mantenduz.