Nola blokeatu Linuxen irteera, VPN-a erortzean ezer ez filtza dadin

Imajinatu etxeko konexio batean dagoen multimedia-kaxa bat, internetera tunel baten bidez soilik iritsi behar duena. Tunela erortzen denean, aplikazioak gelditu beharko luke, interfaze fisikoaren gainetik isilka jarraitu beharrean. Portaera hori lortzea suebakiaren arazoa da, ez bideratzearena, eta bereizketa garrantzitsua da, bidea daemonaren berrabiaraztearekin ordezkatu baitaiteke, iragazkia jarri zenuen tokian geratzen den bitartean. Hurrengoak azaltzen du nola erabakitzen duen benetan paketearen bideak, eta gero nola mugatu tunela berriz konektatzen duten salbuespenak.

Irteera lokala birbidaltzearen kako desberdina da

Makinako aplikazio batetik irteten den paketea irteera-kakotik pasatzen da; makinak beste ostalari batentzat bideratzen duen paketea birbidaltzetik pasatzen da. forward soilik aipatzen duen politikak bigarrena mugatzen du eta lehena erabat irekita uzten, eta horregatik hainbat irteera-blokeok zuzenak dirudite eta ez dute ezer egiten. Interfazearen parekatzea arau berberean sartzen da: oifname "tun0" accept tunelaren bidez jada bideratutako trafikoa uzten du pasatzen. Bideratzeak eta iragazketak erabaki bereiziak izaten jarraitzen dute, beraz uplink bidea existi daiteke iragazkiak paketea ukatzen duen bitartean. Bereizketa hori da konfiantzan oinarritzen zarena.

Beste gailu batzuentzat birbidaltzen duen ateak bi kakoak behar ditu. Irteera soilik blokeatzeak makina bera babesten du eta beheko bezero bakoitza filtratzeko libre uzten du.

Idatzi salbuespenen zerrenda muturretik kanpora

Hasi tunelaren muturretik: helburuko helbide bat edo onartutako multzo txiki bat, garraio-protokoloa eta helburuko portua, adibidez udp dport 1194 ip daddr 203.0.113.7 accept. Bezeroak ostalari-izena ebazten badu, hasierako DNS trukaketak bere araua behar du, ebaztailearen eta 53 portuaren mugaraino, ez ebaztaile horren helbiderako baimen orokor bat. Salbuespen bakoitzak bere existentziaren arrazoia aipatu beharko luke. VPN porturako UDP trafiko guztiari baimena emateak askoz gehiago estaltzen du buruan zenuen zerbitzu autentikatu bakarra baino.

Hasierako ebazpena da blokeoak normalean usteltzen diren tokia. Tenporizadorearekin freskatzen den helbide-multzo batek portaera definitua behar du freskatzeak huts egiten duenean, eta portaera hori ezin da lotura irekitzea izan lortu arte. Freskatu tunelaren bidez tunela zutik dagoen bitartean, eta bestela itzuli azken mutur on ezagunera.

Tokiko administrazioak tratamendu bera behar du. Kudeaketa-azpisare bat ez da fidagarria bere helbideak pribatuak direlako, eta harekin fidatzen den arauak blokeoaren inguruko bigarren bidea gonbidatzen du.

Interfazearen parekatzeak ez du tunel osasuntsua frogatzen

tun0 uzten duen guztia onartzen duten arauek suposatzen dute interfaze horretako paketea tunelatik etorri dela. Interfaze-izenak birsortu egiten dira, eta izen bat ez da identitate kriptografikoa. Parekidea ere joan daiteke interfazea zutik geratzen den bitartean, eta horrek araua oso sinesgarria den ezer-ez-egite bihurtzen du.

Konexioen jarraipenak antzeko tranpa gehitzen du. Ezarritako konexioetarako arau zabal batek fluxu batek lehenago lortutako baimena errepikatzen du, beraz tunela erori aurretik hasitako saioa geroago ere funtzionatzen jarraitzen du. Mugatu egoeran oinarritutako onarpena benetan nahi dituzun interfaze eta helbideetara, bestela bere burua irekitzen duen blokeo bat eraiki duzu. Sarrera- eta irteera-arauak ere galdera desberdinei erantzuten diete, eta bat gogortzeak bestea baztertuta makina ez zenuen norabidean eskuragarri uzten du.

Zer irteten da daemonaren kraskadutik

Tunela altxatu ondoren exekutatzen den script batek instalatutako iragazkiak tunelarekin batera desagertzen da, behar zen une zehatzean. Kargatu blokeoa abioan eta utzi daemonari bere salbuespenak soilik kudeatzen.

Lehenetsitako bidea ezabatzea ere ez da ordezkoa. Bidea daemonak daukan eta berridazten duen egoera da, eta haren ezabaketak berriz konektatzeko behar den bidea kendu dezake. IPv6-k bere plana behar du, auzokideen aurkikuntza eta router iragarkiak esteka-zerbitzuak baitira, trafiko arrunta blokeatuta dagoen bitartean funtzionatzen jarraitu behar dutenak. DHCP kategoria berean sartzen da. Idatzi hauek helburua duten salbuespen gisa, geroago etendura gisa aurkitu beharrean.

Berreskuratze-bidea ezarri aurretik

Probatu blokeoa huts egingo duen moduan: abiatu tunelik gabe, hil daemona, aldatu muturra eta berriz konektatu. Kasu bakoitzak aplikazioak gelditu eta berreskuratze-kanala funtzionatzen utzi beharko luke. Egin kontsola batetik, urruneko shell-a zure arauak kanporatzeko probabilitate handiena duen saioa baita.

Gero egiaztatu zer irits dezakeen oraindik aplikazio arrunt batek, helburu kaltegabe batekin eta egiazta dezakezun eskaera batekin. Nahi duzun emaitza uplink-ean ukoa eta tunelaren bidez arrakasta da, biak esan ditzakeen denbora-muga anbiguoa ez. Mantendu arau-multzoa suebakiaren gainerakoaren jabe beraren pean, shell script batetik taula osoa ordezkatu beharrean. Baimen bakoitzak bere burua justifika dezakeen politika bat gehiago balio du inork azaldu ezin duen arau-multzo luze bat baino.