IPv6 blokkearje om WireGuard te befeiligjen sloopt de host

It doel is ridlik: allinnich tunnelbrûkers moatte de tsjinsten op dizze masine berikke. De ymplemintaasje dêr’t minsken nei gripe, is in IPv6-ynfierkeatling dy’t alles behalve WireGuard fuortsmyt, en dy smyt ek it ferkear fuort dat de host oan syn eigen keppeling ferbûn hâldt. Buorljende-ûntdekking en berjochten foar ûnderhâld fan it paad binne gjin tsjinsttagong, en se fuortsmite jout in masine dy’t net te berikken is om redenen sûnder ferbân mei jo belied. De tunnel komt omheech, de tsjinsten binne goed ôfbeakene, en neat oars op de keppeling wurket.

Trije ferantwurdlikheden, ien regelset

De earste ferantwurdlikheid is it wurkjen fan it bûtennetwurk: de host moat oan syn keppeling ferbûn bliuwe, buorlju oplosse en de paadgrinzen fan dy keppeling leare. De twadde is de fersifere listener, dy’t UDP akseptearret op it adres en de poarte dy’t jo keazen hawwe. De tredde is de set ûntsifere tsjinsten dy’t jo tunnelbrûkers berikke litte wolle.

Dat binne trije ferskillende beliedden, en allinnich de twadde en tredde geane oer de VPN. In regelset dat se as ien behannelet, erft in foutmodus wêryn’t it fêstsetten fan de applikaasjegrins de hostferbining stilwei sloopt.

Hâld se yn aparte keatlingen of teminsten aparte kommentaren, sadat de folgjende persoan sjocht hokker rigel om hokker reden bestiet.

Wat ICMPv6 foar de host docht

IPv6 fertrout foar folle mear as echo op ICMPv6. Buorljende-oanfraach en -oankundiging ferfange ARP en binne nedich foar pleatslike levering. Packet Too Big draacht MTU-ynformaasje fan it paad, en it negearjen dêrfan jout oerdrachten dy’t by grutte pakketten fêst komme te stean. Routeroankundigings drage de standertrûte en foarheakselynformaasje as de keppeling automatyske konfiguraasje brûkt.

RFC 4890 skiedt de berjochten dy’t in hostfilter tastean moat fan dy’t in bestjoerlike kar binne, en docht dat yn in hostdiel dat oars is as de regels foar in router dy’t tusken netwurken trochstjoert. Allinnich it trochstjoerdiel lêze jout in ynfierbelied dat te strang is foar de host dy’t it beskermet.

De praktykse regel is om de essinsjele flater- en konfiguraasjeberjochten ta te litten op de ynterface dy’t se nedich hat, beheind nei type en boarne wêr’t it platfoarm dat talit, en in dúdlik beslút oer de rest te nimmen.

Al dat mei in algemien ICMPv6-ferlof ferfange lost it beskikberheidsprobleem op en jout it filterjen op. It mei in algemien fuortsmyt ferfange lost it filterprobleem op en jout de host op.

Lit de tunnel ta, dan de tsjinst

Akseptearje it WireGuard-ferfier op it bedoelde bûtenadres en de UDP-poarte, en akseptearje it weromferkear fia ferbiningstracing. Lit dan de applikaasjetsjinsten troch de tunnelinterface ta, fan de boarnen dy’t jo echt autorisearje.

In ferlof foar de bûtenste UDP-poarte autorisearret net de ûntsifere oanfragen dêr’t yn. Dat ûnderskie is de hiele reden dat de tunnelinterface yn de tsjinstregels foarkomt.

Lês de regelset sa’t er is, net sa’t it bestân him beskriuwt:

sudo nft list ruleset
ip -6 addr show
ip -6 route show default

In listener op in fysyk adres is in aparte bleatstelling fan deselde tsjinst op it tunneladres. As de masine ek ferkear nei in oare masine trochstjoert, is dat in beslút fan de trochstjoerkeatling en net dit ynfierbelied, en it freget syn eigen redenearring.

Test de keppeling, net allinnich de tunnel

In tunnel dy’t nei de feroaring wurket, bewiist minder as it liket, want in besteande buorlju-ynskriuwing en in oprjochte ferbining kinne in kontrôleberjocht ferbergje dat it belied no fuortsmyt.

Kontrolearje de ferbining direkt, en kontrolearje dan dat it útsletten paad noch altyd mislearret:

ip -6 neigh show
ping -6 -c 3 2001:db8:1::1
sudo nft -c -f /etc/nftables.conf

In buorljutabel dy’t nei in werstart folslein bliuwt, is it sinjaal dat ûntdekking noch wurket. In tabel dy’t leechrint en nea wer folt, is it sinjaal dat jo him fuortfiltere hawwe. It tredde kommando falidearret de syntaks fan de regelset sûnder him ta te passen, wat de muoite wurdich is salang’t jo noch in sesje hawwe.

Herstel in host dêr’t jo josels bûten sleaten hawwe

Foardat jo firewallregels feroarje dy’t jo eigen bestjoerssesje drage, hâld in twadde kanaal: in konsole, in seriële ferbining of in plande weromrôljen dy’t de nije regels fuortsmyt as jo it net ôfbrekke.

As in feroaring jo dochs bûten slút, giet it herstel fia dat kanaal en net fia it netwurk dat jo krekt fuortsmiten hawwe. Werstel de foarige regelset út in bewarre kopy, befêstigje dat de host wer berikber is, en pas dan it bedoelde belied yn lytsere stikken ta.

It definitive belied is net universeel. Adressearjen, routing en de ymplemintaasje fan de firewall binne ynfiergegevens foar de útrôl, mar de grins is oeral itselde: wegerje ûnbedoelde applikaasjetagong wylst it kontrôleferkear dat de autorisearre tunnel draacht behâlden bliuwt.