SSH eta VPN sarrerako arauak: zer kontrolatzen duen benetan baimenduen zerrendak

Jarraitu konexio bat bezerotik ostalarira: zein kako zeharkatzen duen, zergatik zintzilik egoteak eta ukapenak arau desberdinak esan nahi dituzten eta zergatik ukapena ez den inoiz politika bat.

Konektatu behin arau bat aldatu aurretik eta idatzi bezeroa zintzilik geratzen den edo berehala ukatzen den. Alde bakun horrek esaten dizu zein erabakik bota zuen paketea eta ordu bat aurrezten du politika fitxategiak irakurtzen. Ibilbidearen gainerakoa laburra da: paketeak kako bat zeharkatzen du, arau batekin bat egiten du eta entzule batera iristen da edo ez. Baimenduen zerrenda hiru gertaera horien inguruko kontabilitatea besterik ez da.

Jarraitu SSH saiakera bat sarrerako kakoraino

Bezeroak SYN bat bidaltzen dio ostalariaren helbideari 22 portuan, eta kernelak erabakitzen du pakete hori tokiko zerbitzu batentzat den. Bada, sarrera-bidea exekutatzen da eta arau-multzoak paketea onartzen edo baztertzen du. Isiltasunak esan nahi du SYN-a entzuleak ikusi baino lehen hil zela, eta ukapen azkarrak, berriz, zerbait berrezarpen batekin erantzun zuela. Arau desberdinen epai desberdinak dira, eta biak dira emaitza zilegiak.

Ondoren egiaztatu entzulea, ez baitago zerbitzurik ez dagoena salbatuko duen araurik. Exekutatu ss -ltnp eta egiaztatu zerbait espero duzun portu eta helbide-familiari lotuta dagoela, gero irakurri ssh -v bezeroan non gelditzen den ikusteko.

Birbidalketa erabaki bereizia da

VPN zerbitzari batean kako interesgarriena forward da, bezeroaren trafikoa makinatik bideratzen baita, hari entregatu beharrean. Bere VPN bezeroa soilik exekutatzen duen ostalariak askoz arau-multzo txikiagoa behar du beste batzuen paketeak birbidaltzen dituenak baino. Bi diseinuak makina bakarrean nahasteak ondo diruditen eta ezer pasatzen ez duten arauak sortzen ditu.

Idatzi barne-politika galdera bereizi gisa: zein bezero-helbidek zein helmugara irits daitezkeen tunelaren bidez. Mantendu bide administratiboa, adibidez SSH, sarrera-bidean bere iturburu-murrizketarekin. Probetan zehar gehitutako forward arau permisiboa proba baino gehiago bizi den akats klasikoa da, beraz, aldaketaren ondoren berrikusi arau-multzo osoa eta ez editatu duzun lerroa. Tunelaren entzulea irekitzea ez da konektatutako bezero bakoitzak ostalaria administratzeko baimena.

Baztertzea eta ukatzea ekintzak dira, ez politikak

Oinarrizko katearen politikak onartu edo baztertu egiten du, eta hori da aukeren zerrenda osoa, nftables erreferentziak dioen bezala. Ukapenak hautatutako erantzuna duen arau-ekintza gisa existitzen da, eta horregatik politika gisa idazteak huts egiten du bai nftablesen eta bai iptablesen. Praktikan drop batek ez dio bezeroari informaziorik ematen, reject batek, berriz, landu dezakeen errore bat ematen dio.

table inet admin {
    chain input {
        type filter hook input priority filter; policy drop;
        ct state established,related accept
        ip saddr 203.0.113.0/28 tcp dport 22 accept
        udp dport 51820 accept
        icmp type { destination-unreachable, time-exceeded } accept
    }
}

Irakurri zirriborro hori erabaki baten forma gisa, ez itsasteko fitxategi gisa, helbide-tarteak adibideak baitira. SSH portuan reject esplizitu batek baimenik gabeko bezeroa segundo batean hutsarazten du denbora-muga itxaron beharrean, eta horrek zure arazketa laburtzen du. Isiltasunak ausazko eskaneatzea uxatzen du eta erabiltzaile baimenduari ez dio ezer esaten. Aukeratu zerbitzuko eta idatzi zergatia, bestela hurrengo pertsonak atzera aldatuko du.

Mantendu benetan behar duzun kontrol-trafikoa

ICMP guztia blokeatzea bideko MTU aurkikuntza hausten duen balio lehenetsi ezaguna da, eta sintoma ezartzen den eta gero pakete handiagoetan trabatzen den konexioa da. IPv6-ko bizilagunen aurkikuntza bere ICMPv6 moten mende dago, eta horiek baztertzeak esteka hausten du edozein TCP arau kontsultatu baino lehen. Biak baimenduen zerrendan sartu behar dira menpeko izendatu gisa, baimen orokor gisa ez. Aurkikuntza isilki hausten duen politika diagnostiko-trafiko pixka bat onartzen duena baino okerragoa da.

Baimendu established eta related egoerak zuk hasitako konexioetarako, eta utzi egoera kontuan hartzen duen motorrari erantzunak kudeatzen. Gero egiaztatu erantzun-bidea ez dagoela blokeatuta urrunago, kanporako soilik den murrizketa batek goian hostari egotzi behar zenion denbora-muga bera sortzen baitu.

Frogatu berreskuratzea bide zaharra erretiratu aurretik

Mantendu kontsolako saio bat irekita, aplikatu aldaketa eta ireki kudeaketa-konexio erabat berri bat beste terminal batetik. Dagoen saio batek ez du ezer frogatzen, hasierako saio bakoitza blokeatzen duen arau bat bizirik iraun baitezake, eta horrek suebaki-laneko positibo faltsurik sinesgarriena bihurtzen du. Monitorizazio-sistema batek ostalaria egiaztatzen badu, gehitu haren iturburu-helbidea aldaketaren aurretik, ez lehen alertaren ondoren. Gero probatu pakete handi bat eta txiki bat aurkikuntzak oraindik funtzionatzen duela frogatzeko.

VPN zerbitzu baterako, errepikatu inoiz konektatu ez den bezero batetik, berreskuratutako saio batek berri batek negoziatu behar duen egoera berrerabil baititzake. Idatzi pasatu zen arau-multzo zehatza, kontrol-batukin edo kopiarekin, geroagoko edizioa asmatu beharrean alderatu ahal izateko. Koordinatu arauen ordenaren jabearekin, lehenago dagoen arau batek isilki irabazten baitio zuk gehitutakoari.

Erlazionatutako artikuluak