Zergatik etxeko NAT-ak ez duen zure VPN interfazea babesten
Etxeko bideratzaileak tunela birbidaltzen du, baina ostalariak deskriptatutako paketea epaitzen du. Irakurri entzulea, barne-bidea eta sarrerako politika bereizita.
Portu-birbidalketarik gabeko etxeko bideratzaile baten atzeko ordenagailu eramangarriek VPN bidez iristen diren SSH konexioak onartzen jarraitzen dute. Hori ez da kontraesana, bi gailu desberdinek bi pakete desberdin epaitzen dituztelako. Bideratzaileak garraio zifratua birbidaltzen du, eta ostalariak erabakitzen du zer egin tunel-interfazean iristen den pakete deskriptatuarekin. Bi erabaki horiek bereiz mantentzea da ariketa osoa.
Bideratzaileak tunela birbidaltzen du, ostalariak paketea epaitzen du
Marraztu bidea urruneko iturritik zerbitzura, arau bakarrari begiratu aurretik. Kanpoko zatia VPN garraioa da, bideratzaileak eta atebideak kudeatzen dutena. Barneko zatia puntuak tunel-geruza kentzen duenean eta ostalariak bere VPN helbidera zuzendutako paketea jasotzen duenean hasten da.
Batu bi zati horiek eta bideratzaileak ostalariak hartzen duen erabakiaren meritua jasotzen du. Portu-birbidalketa orrialde batek edo bideratzaile erregistro batek kanpoko elkarrizketak soilik deskribatzen dituzte, eta batek ere ez du esaten zein trafiko deskriptatu onartuko duen ostalariak. Ostalariak bere sarrerako politika aplikatzen dio barneko paketeari, interfaze batera iristen den edozein paketeri bezala. Politika horretan erabakitzen da, hain zuzen, esposizioaren auzia.
Komodin-entzule bat ez da zerbitzu publiko bat
Linuxen, INADDR_ANY helbidera lotzeak bertako helbide guztiak esan nahi du, beraz zerbitzu batek inoiz izendatu ez zuen tunel-interfazean erantzun dezake. IP socket erreferentzia estekak lotura hori deskribatzen du, eta merezi du irakurtzea entzule-zerrendatik ondorioak atera aurretik. Komodin-sarrera bat socketari buruzko egitatea da, ez iristeari buruzko baieztapena.
Beheko bi lerroak zerbitzu bera dira bi lotura desberdinetan, eta aldea interfazeak garrantzia duen ala ez erantzuten duen osotasuna da. Irakurri socketak zein helbidetan dagoen ezer baino lehen.
ss -lntp "sport = :22"
LISTEN 0 4096 0.0.0.0:22 0.0.0.0:* users:(("sshd",pid=812,fd=3))
LISTEN 0 4096 10.8.0.6:22 0.0.0.0:* users:(("sshd",pid=812,fd=4))Izenda ezazu portura irits zitekeen antolamendua
Hiru antolamenduk jartzen dute pakete bat interfaze horretan, eta jabe desberdinak dituzte. Egokia izendatzeak erabakitzen du nork aldatu behar duen politika bat.
| Arrangement | What reaches the port | Where the decision lives |
|---|---|---|
| Another permitted VPN peer | A packet from the same tunnel subnet | Gateway forwarding policy and host input rules |
| A deliberate public forward | Traffic the gateway publishes on purpose | Gateway service definition |
| A subnet routed behind the gateway | Client traffic from the far side | Gateway route and host input rules |
Irteerako helbide publiko bat erakusten duen nabigatzaile-emaitzak ez du hiruretako ezer esaten, irteerako trafikoak nola irteten den deskribatzen duelako, eta ez sarrerako trafikoari zer dagoen baimenduta. Lan egin atzerantz entzuleatik eta zerbitzuaren erregistroko iturburu-helbidetik. Iturria beste tunel-kidea bada, atebidearen politika da dokumentu interesgarria. Helbide itzulia bada, aurkitu itzulpena araua aldatu aurretik.
Mugatu zerbitzua nahi zenuen bidera
SSH kudeaketa-bide batetik bakarrik behar bada, idatzi bide hori iturburu-barruti bat gehi interfaze bat bezala. Gero mugatu ostalariaren sarrerako arauak interfazearen, helmugaren eta iturriaren arabera, sare-izenaren arabera beharrean, itxura pribatua duen izen batek edozein helbide adieraz diezaiokeelako. Utzi ibilbide bat hurrengo arazoa konponduko duenarentzat.
nft add rule inet filter input iifname "tun0" ip saddr 10.8.0.0/24 tcp dport 22 accept
nft list chain inet filter inputTunel-interfazea eta kudeaketa-barrutia izendatzen dituen arauak asmoa leku bakarrean adierazten du. Konpara ezazu Wi-Fi sarerako idatzitako arau batekin, tunel-trafiko deskriptatuari buruz ezer esaten ez duena. Bi geruzak bat ez datozenean, ostalariaren politika da paketeak aurkitzen duena.
Utzi saio-hasierak eta adabakiak dauden lekuan bertan; portura iristea ez zen inoiz bera erabiltzeko baimena izatea. Erregistratu helbide-familia eta ordua iturri ezezagun ororentzat, eta ikertu ezaugarri edo ahultasun bati errua egotzi aurretik. Tunel-kide guztiak onartzen dituen araua kudeaketa-azpisare bat onartzen duenaren diseinu desberdina da, eta erregistro-lerro batek ere ez du esango zein zen asmoa.
Onartu konponketa arrakasta batekin eta ukapen batekin
Frogatu bi erdiak: onartutako konexio batek arrakasta du eta baztertutako bide bat ukatua da. Ukapena jendeak saltatzen duen erdia da, eta araua lan egiten ari dela erakusten duena, baimena ematen duen balio lehenetsi baten ondoan egon beharrean. Probatu baztertutako aldetik, horri buruz arrazoitu beharrean.
Errepikatu bikotea berriz konektatu ondoren, interfaze-izen desberdinarekin itzultzen den tunel batek isilki saihestu baitezake zaharrari dagokion araua. Axola duen muga ostalariak benetan jasotzen dituen paketeei aplikatzen diena da.