Vain NEW-yhteydet sallivat palomuurisäännöt eivät sulje kaikkia WAN-polkuja

Uusien lähtevien yhteyksien hylkääminen WANissa näyttää sulkeutuvan virheen käytännöltä, mutta on kapeampi lupaus kuin miltä näyttää. Paketit, jotka kuuluvat jo olemassa oleviin vuotoihin, eivät vastaa sitä, eivätkä monet vastauksetkaan. Tämä aukko on helppo jättää huomaamatta, koska sääntö luetaan kuin se kattaisi rajapinnan eikä yhtä yhteyden tilaa siinä. Ja tilan täsmäytyksen lukeminen tuomioksi on se, mikä synnyttää väärän tunteen sulkeutumisesta.

Tila on täsmäytysehto, ei tuomio

Yhteyksien seuranta luokittelee paketit sen mukaan, mitä palomuuri on jo nähnyt, ei sen mukaan, mitä sovellus uskoo. Molempiin suuntiin havaittu vuo on vakiintunut, ja sen myöhemmät paketit pysyvät vakiintuneina, vaikka alla oleva reitti vaihtuu tunnelista tavalliseen ylävirran linkkiin. Myös saapuvaan yhteyteen annettu vastaus voi olla vakiintunutta liikennettä. Nuo paketit eivät koskaan muutu uudelleen uusiksi.

Siksi sääntö, joka rajoittuu uusiin yhteyksiin, ei voi osoittaa, että jokainen suojattu paketti estetään. Se jättää muut tilat sille, mitä muu sääntökokonaisuus tekee niiden kanssa, ja se voi olla ketjussa aiemmin sijoitettu hyväksyntä.

Lue sääntö ympäristössään

Ennen estoa sijoitettu laaja hyväksyntä vakiintuneelle ja siihen liittyvälle liikenteelle päästää paketin läpi ennen kuin estoa edes arvioidaan. Tilan ehdon poistaminen myöhemmästä säännöstä ei muuta sitä, koska arviointi ei koskaan yllä sinne. Järjestys ratkaisee tuloksen, ja tilan täsmäytys ratkaisee, mitkä paketit yltävät siihen järjestykseen.

Tarkastele voimassa olevaa sääntökokonaisuutta äläkä muokkaamaasi tiedostoa, mukaan lukien hypyt muihin ketjuihin ja kaikki, mitä alusta tuottaa. iptablesin hallitsemassa reitittimessä ketjun listaaminen näyttää sääntöjen määritelmät, ja myös ketjut, joihin se viittaa, on seurattava. Natiivi nftables-järjestelmä vaatii oman sääntökokonaisuutensa ja koukkujen prioriteettien tarkastelun, koska laiteohjelmisto tuottaa harvoin identtisiä ketjuja.

Laskurit kertovat, mikä sääntö todella täsmäsi, ja ne ovat yleensä valaisevampia kuin päätöksen jälkeen otettu pakettikaappaus. Sääntö, jonka laskuri on nolla, ei ole yltänyt, mitä sen sijainti sitten vihjaakin.

Ilmaise kielto tilasta riippumatta

Jos asiakasryhmä ei saa koskaan päästä internetiin tunnelin ulkopuolelle, sano se suoraan sen sijaan että lähentelisit sitä yhdellä tilalla. Säännön on valittava lähteen, lähdön ja kohteen perusteella riippumatta yhteyden tilasta, ja sen on sijaittava siellä, missä mikään aiempi hyväksyntä ei voi ohittaa sitä. Silloin hallintayhteys ja lähiverkon poikkeukset saavat omat nimenomaiset sääntönsä, joten tarkoitus näkyy käytännössä.

Rejectin valitseminen dropin sijaan muuttaa sitä, miten täsmäävä liikenne epäonnistuu, eikä se laajenna sitä pakettijoukkoa, jonka sääntö valitsee. Hylätty yhteys ja hiljainen aikakatkaisu ovat eri oireita, jotka osoittavat samaan valintaan.

Käytäntö, joka tarkoituksella sallii vastaukset WANin yli etäältä aloitettuun yhteyteen, on puolustettavissa. Se on vain kuvattava niin sen sijaan, että se esitettäisiin täydellisenä vain tunnelin kautta tapahtuvana eristyksenä.

Tarkista, ketkä todella ovat ryhmässä

Esimerkki kattaa välitetyn IPv4-liikenteen yhdestä etuliitteestä yhden rajapinnan kautta. Se ei kerro mitään IPv6:sta, toisesta ylävirran linkistä tai liikenteestä, jonka reititin itse aloittaa. DNS-ratkaisijana toimiva reititin lähettää omat ylävirran kyselynsä, eivätkä ne kulje forward-ketjun kautta lainkaan.

Varmista, että suojatuilla asiakkaille on edelleen osoitteita valitun etuliitteen sisällä, koska sen ulkopuolelle siirtynyt laite on suora vahingossa eikä käytännön mukaan. Eston laajentaminen koko lähiverkkoon poikkeusten suunnittelua tarkistamatta tapaa myös poistaa oman hallintapolkusi.

iptables -S FORWARD
iptables -L FORWARD -v -n
cat /proc/net/nf_conntrack | grep -c ESTABLISHED

Kokeile sitten vanhaa vuota uuden rinnalla. Tuore yhteysyritys ja jo aktiivinen kaksisuuntainen siirto käyttäytyvät eri tavoin tämän säännön alla, ja vain molempien testaaminen näyttää, mikä käytäntö sinulla todella on.