Transmission Linuxen: irteera prozesuaren jabearen arabera behartu

Transmissionen sarrerako ataka blokeatzea ez da VPN politika bat. Torrent bezero batek irteerako konexioak irekitzen ditu pareetara eta trackerretara, izenak ebazten ditu eta urrutiko kontrol-entzule bat erakus dezake, eta horietako bakoitzak aurreikusi ez zenuen interfaze batetik irten daiteke. Bost egiaztapenak ordenan egin eta suebakiaren araua, ez bezeroaren ezarpenak, hartu mugatzat. Azken bi egiaztapenak jendeak saltatzen dituenak dira, eta haiek erabakitzen dute bermea mantentzen den tunela erortzen denean.

Transferentziaren jabe den prozesua izendatu

Mahaigaineko aplikazioa eta sistemaren daemona kontu desberdinetan exekutatzen dira, eta jabean oinarritutako arau batek kontuari jarraitzen dio, ez programaren izenari. Jakin ezazu zein ari den exekutatzen edozein arau idatzi aurretik. Zerbitzu-kontu dedikatu batek subjektu zehatza ematen dio politikari, mahaigaineko erabiltzaile batek bere identitatea partekatzen duen bitartean nabigatzaileekin, editoreekin eta saioan dagoen guztiarekin. Berretsi UIDa, paketearen kontu-izena erabiltzen dena dela suposatu beharrean.

systemctl status transmission-daemon
ps -o user=,pid=,cmd= -C transmission-daemon

Kontua oraindik existitzen ez bada, sortu helburu horretarako eta ez eman beste ezer exekutatzeko. Idatzi kontua eta UIDa arauaren iruzkinean, izan ere, subjekturik gabeko araua inork segurtasunez editatu ezin duen araua da.

Entzule-eremuak bidetik bereizi

Transmission 4.xek pareen entzun-helbideak rpc-bind-address(e)tik bereizita dokumentatzen ditu, eta aldea garrantzitsua da. RPC ezarpenak urrutiko kontrol-entzulea soilik kontrolatzen du, beraz haren aldaketak ez du pareen trafikoarentzako biderik aukeratzen. Bi ezarpenak bat bezala irakurtzea ohikoa da itxuraz zaindua den konfigurazioak isurtzen jarraitzearen arrazoia. Dokumentazio berak atzera-egite bat deskribatzen du pareen entzun-helbidea baliogabea denean, beraz eskuragarri ez dagoen helbidea atzera-egite kasu dokumentatua da, ez ukapen bermatua.

grep -E '"(peer-port|rpc-bind-address|bind-address-ipv4)"' /var/lib/transmission-daemon/.config/transmission-daemon/settings.json

Erabili bezeroaren kontrolak diren bezala, eta jarri bermea suebakian. Entzule-ezarpen batek merezi dezake oraindik, baina ez du ezartzen trackerren kontaktua, tokiko aurkikuntza edo ebazpen delegatu bat denak tunelaren bidez irteten direnik. Biak ados ez daudenean, suebakiak erabakitzen du.

Idatzi jabearen bat-etortzea kate egokian

Netfilterren jabearen bat-etortzeari buruzko eskuliburuak azaltzen du nola esleitzen zaizkien tokian tokiko paketeek socket fitxategiaren jabe den erabiltzaileari edo taldeari. Esleipen hori ez da birbidalitako trafikora hedatzen, eta talde gehigarrien bat-etortzeak aukera esplizitua behar du. Irakurri erabiltzen ari zaren luzapenaren eskuliburua, aurkitzen duzun lehen adibidea beharrean.

iptables -A OUTPUT -m owner --uid-owner transmission -o tun0 -j ACCEPT
iptables -A OUTPUT -m owner --uid-owner transmission -j REJECT
ip6tables -A OUTPUT -m owner --uid-owner transmission -o tun0 -j ACCEPT
ip6tables -A OUTPUT -m owner --uid-owner transmission -j REJECT

Ordenak bat-etortzeak adina balio du. Katean goizegi dagoen onarpen zabal batek geroagoko ukatze zehatz bat indargabetzen du, beraz berrikusi kate osoa, arau bat gehituta espero beharrean. Sartu bi helbide-familiak hostak IPv6 exekutatzen badu, v4 soilik den politika batek inork zaintzen ez duen bide bat irekita uzten baitu. Mantendu arauak instalatuta bezeroaren eta tunelaren berrabiarazteen zehar.

Erabaki zer gertatzen den tun0 desagertzen denean

Hutsegite-politika da ariketa honen muina. Tunela desagertu eta hook berak arauak kentzen baditu, bezeroak interfaze fisikoa erabiltzeko askatasuna du beste zerbait gelditzen duen arte. Diseinu seguruak arauak mantentzen ditu eta ukatzen uzten die, eta horrek egiten du muga tunelaren osasunarekiko independente. Arauak ezabatzen dituen desmuntatze-hook bat hutsegite-politika baten kontrakoa da.

ip link show tun0
iptables -S OUTPUT

Probatu nahita: gelditu tunela, hasi uztea segurua den transferentzia bat eta behatu ea ezer irteten den. Gero itzuli tunela eta berretsi aurreikusitako bideak berriro funtzionatzen duela.

Arauak ikusten ez dituen bideak estali

Izenen ebazpena resolutzaile prozesu bereizi batek kudea dezake, eta namespace edo gateway dedikatu batek beste muga bat eman dezake haren partekatze- eta abiarazte-bideak horretarako diseinatuta badaude. Erabaki zein osagairen jabea den DNSa eta ea irteera-arau bera jarraitzen duen. Gero begiratu RPCari: rpc-whitelist erabiltzen bada, onartutako kudeaketa-sarea kontratuaren parte da, eta RFC1918 barruti zabal bat ez.

ss -tunp | grep -i transmission

Interfaze-kontagailuek behaketa bat berretsi dezakete, baina ezin dute frogatu zein prozesuk sortu zituen byteak. Egin uzteko baimena duzun transferentzia bat: lehenik funtzionatzen duen bidean, gero tunelik gabe abiaraztean, eta ondoren etendura, berriz konektatze eta berriki sortutako interfaze baten bidez. Probatu saiakera berri bat zein jada irekita zegoen konexio bat, araua agian ez zaiolako socket zaharrari aplikatu. Idatzi data, kontua eta emaitza probarekin batera.

Kate osoa husten duen adibide bat itsasteak zulo bat hainbatengatik trukatzen du, beraz gehitu arauak, ezabatu beharrean. Bost egiaztapenak pasatzen direnean, bermea esplizitua da: bezeroaren trafikoa tunelaren bidez irteten da edo ez da batere irteten, eta hori behartzen duen arauak tunelaren beraren hutsegitea gainditzen du.