NEW soilik onartzen duten suebakiko arauek ez dute WAN bide guztia ixten

WAN-ean irteerako konexio berriak baztertzeak itxita huts egiteko politikak dirudi, baina itxurak dioen baino promes estuagoa da. Dagoeneko existitzen diren fluxuetako paketeak ez datoz bat harekin, eta erantzun asko ere ez. Arraildura erraza da oharkabean pasatzen, araua interfazea estaltzen duela irakurtzen delako, eta ez haren gaineko konexio-egoera bat. Eta egoera-bat-etortzea epaitzat irakurtzeak sortzen du itxitasun-sentsazio faltsua.

Egoera bat-etortze baldintza da, ez epaia

Konexioen jarraipenak paketeak suebakiak jada ikusi duenaren arabera sailkatzen ditu, aplikazioak sinesten duenaren arabera eta ez. Bi norabideetan ikusitako fluxua ezarrita dago, eta haren ondorengo paketeak ezarrita jarraitzen dute nahiz eta azpiko ibilbidea tunel batetik ohiko goranzko estekara aldatzen den. Sarrerako konexio bati emandako erantzuna ere ezarritako trafikoa izan daiteke. Pakete horiek ez dira inoiz berriro berri bihurtzen.

Horregatik, konexio berriei soilik begiratzen dien arau batek ezin du frogatu pakete babestu guztiak blokeatuta daudela. Beste egoerak arau-multzoaren gainerakoak haiekin egiten duenaren esku uzten ditu, eta hori katean lehenago jarritako onarpen bat izan daiteke.

Irakurri araua bere ingurunean

Blokeoa baino lehenago jarritako ezarritako eta erlazionatutako trafikoarentzako onarpen zabal batek pakete bat igarotzen uzten du blokeoa ebaluatu aurretik. Geroagoko arau batetik egoera-baldintza kentzeak ez du hori aldatuko, ebaluazioak ez duelako inoiz hara iristen. Ordenak erabakitzen du emaitza, eta egoera-bat-etortzeak erabakitzen du zein paketek iristen den ordena horretara.

Aztertu indarrean dagoen arau-multzoa, ez editatu duzun fitxategia, beste kate batzuetarako jauziak eta plataformak sortzen duen guztia barne. iptables-ek kudeatutako bideratzaile batean, katea zerrendatzeak arauen definizioak erakusten ditu, eta erreferentzia egiten dizkien kateak ere jarraitu behar dira. nftables sistema natiboak bere arau-multzoa eta kakoen lehentasunak aztertu behar ditu, firmwareak oso gutxitan sortzen baititu kate berdinak.

Kontagailuek esaten dute zein arau bat etorri zen zehazki, eta normalean erabakiaren ondoren hartutako pakete-kaptura baino argigarriagoak dira. Kontagailua zero duen araua ez da iritsi, haren posizioak zer iradokitzen duen kontuan hartu gabe.

Adierazi debekua egoerarekiko independenteki

Bezero-talde batek sekula ez badu tunelaren kanpoko internetera iritsi behar, esan hori zuzenean, egoera bakar batekin hurbildu beharrean. Arauak iturri, irteera eta helmugan hautatu behar du konexio-egoeraren menpe egon gabe, eta lehenagoko onarpen batek saihestu ezin dezakeen lekuan egon behar du. Orduan kudeaketa-sarbideek eta sare lokaleko salbuespenek beren arau esplizituak jasotzen dituzte, eta asmoa ikusgai geratzen da politikan.

drop-en ordez reject hautatzeak aldatzen du nola huts egiten duen bat datozen trafikoak, eta ez du handitzen arauak hautatzen dituen paketeen multzoa. Ukatutako konexio bat eta isilgabeko denbora-muga sintoma desberdinak dira, hautaketa berberari begira.

WAN bidez urrunetik hasitako sarbideari erantzunak berariaz uzten dizkion politika defendagarria da. Bakarrik horrela deskribatu behar da, tunel bakarreko isolamendu oso gisa aurkeztu beharrean.

Egiaztatu nor dagoen taldean

Adibideak interfaze batetik aurrizki batetik birbidalitako IPv4 trafikoa hartzen du. Ez du ezer esaten IPv6ri, bigarren goranzko estekari edo bideratzaileak berak sortzen duen trafikoari buruz. DNS ebazle gisa diharduen bideratzaile batek bere goranzko kontsultak bidaltzen ditu, eta horiek ez dira inoiz forward katean zehar pasatzen.

Berretsi bezero babestuek oraindik hautatutako aurrizkiaren barruan dituztela helbideak, handik kanpora mugitu den gailua istripuz baitago zuzen, ez politikagatik. Blokeoa LAN osora hedatzeak salbuespenen diseinua berrikusi gabe zure administrazio-bidea kentzeko joera du halaber.

iptables -S FORWARD
iptables -L FORWARD -v -n
cat /proc/net/nf_conntrack | grep -c ESTABLISHED

Ondoren, probatu fluxu zahar bat berri baten ondoan. Konexio-saiakera berri bat eta jada aktibo dagoen norabide biko transferentzia desberdin jokatzen dute arau honen pean, eta biak probatzeak soilik erakusten du zein politika duzun benetan.