Docker ataken argitalpena eta VPN iturriak: galtzen dituzun bi bat-etortze

Arauak dio baimendu VPN zerbitzariaren helbidea argitaratutako zerbitzura, eta konexioa erortzen da oraindik. Emaitza hori ohikoa da, eta ez da Docker-en akats bat. Bi bat-etortze bereizi daude gaizki: idatzi zenuen iturria agian ez da ostalariak jasotzen duen iturria, eta idatzi zenuen ataka agian ez da iragazkiak ikusten duen ataka. Biak zuzentzeko paketearen bidea begiratu behar da, zerbitzuaren diagrama ez.

Mitoa: baimendu VPN zerbitzaria eta prest

Bideratutako VPN batek bezeroaren tunelaren helbidea Docker ostalariraino gorde dezake. Iturriaren itzulpena egiten duen ate batek helbide hori berearekin ordezkatu dezake. Bi diseinuak zilegiak dira, eta iturri desberdinak sortzen dituzte erabiltzailearen ekintza bererako.

Beraz, VPN zerbitzariaren IP esaldiak hipotesi bat deskribatzen du, ez behaketa bat. Aurretik zein diseinu duzun jakin arte, araua asmakizun bat da.

Iturria: bezeroen multzoa edo itzulitako atea

Egiaztatu lau gauza hurrenez hurren. Lehena, bezeroen helbide multzoa, adibidez 10.90.0.0/24. Bigarrena, atea multzo hori itzultzen ote duen ostalarira iritsi aurretik. Hirugarrena, ostalariak konexio berri baterako benetan ikusten duen iturria. Laugarrena, aplikazioaren autentifikazioak erabiltzaile indibidualak bereizten ote dituen, helbide itzuli partekatu batek ezin duelako.

Multzoa gordetzen bada, atearen helbide publikoa soilik bat datorren arauak bezero guztiak galtzen ditu. Ateak nahita itzultzen badu, helbide itzulia baimentzeak atzean dagoen erabiltzaile guztiak onartzen ditu, eta hori onargarria izan daiteke bere saio-hasiera duen zerbitzu baterako eta onartezina beste edozertarako.

Ataka: DNATek bat datozen zenbakia aldatzen du

Linux zubi bidezko argitalpen arruntean Docker iptablesekin, ostalariaren 8443tik edukiontziaren 443 atakara bitarteko mapatzea birbidaltze-iragazkia martxan jarri aurretik itzultzen da. Paketea iragazkira iristen da 443 helmuga-atakarekin. Une horretan 8443rekin bat datorren araua ez da inoiz pizten, nahiz eta 8443 izan bezeroak idatzi zuena.

Argitaratutako ataka konexioen jarraipenean existitzen da oraindik, horregatik jatorrizko helmuga bertan bat etor daiteke benetan behar duzunean.

Erabaki zein zenbakik adierazten duen asmoa. Bat etorri DNAT osteko edukiontziaren atakarekin arauak edukiontzi barruko zerbitzua babesten duenean. Bat etorri jatorrizko helmugarekin conntrack aukerarekin arauak bezeroak eskatu zuena deskribatu behar duenean, eta onartu horrekin datozen bat-etortze kostu gehigarria eta arauen ordenaren arreta.

Kate: DOCKER-USER, ez INPUT

Docker-en iptables gidak erabiltzaileen birbidaltze-politika DOCKER-USER katean jartzen du, eta kate hori Docker-en bere birbidaltze-arauen aurretik ebaluatzen da. Ostalari-zerbitzu batetik INPUT katera kopiatutako arauak ostalarira zuzendutako trafikoa iragazten du, ez edukiontzira birbidalitako trafikoa. Akats horrek zuzena dirudien eta edukiontziaren bidean eraginik ez duen araua sortzen du.

Eduki iturri-barrutia, benetako helmuga-ataka, protokoloa eta sarrerako interfazea elkarrekin arau berean. Birbidalitako helmuga bakoitzerako iturri hutseko baimena argitaratutako zerbitzu bakarra baimentzea baino zabalagoa da.

Egiaztatu konexio berriekin

Probatu bi norabideak konexio berriekin: baimendutako VPN bezero bat eta ukatuak jarraitu behar duen iturri bat. Lehendik dagoen konexio-egoerak saioa bizirik eutsi dezake politika aldatu ondoren, beraz konexio zahar batek ez du ezer frogatzen arau berriari buruz. Ondoren egiaztatu erantzunaren bidea, edukiontziak oraindik ikusten duen iturrira atzera bideratu behar duelako.

Docker-en iptables gidak kateen ordena eta ataken itzulpen-portaera dokumentatzen ditu egiaztapen hauen atzean. Irakurri ezazu errezeta bat kopiatu aurretik, eta egiaztatu instalatutako Dockerrek zein backend erabiltzen duen, nftables backendak politika bestela integratzen duelako.