Firewall-regels allinnich foar NEW slute net elk WAN-paad

It wegerjen fan nije útgeande ferbiningen op ’e WAN liket in belied fan by fout sluten, mar it is in smeller tasizzing as it liket. Pakketten dy’t by al besteande streamen hearre, komme dêr net mei oerien, en in protte antwurden ek net. Dat gat is maklik te missen, om’t de regel lêzen wurdt as soe er it ynterface dekke en net ien ferbiningstastân dêrop. En it lêzen fan ’e tastân-oerienkomst as in oardiel is wat in falsk gefoel fan slettenens bringt.

Tastân is in oerienkomstbetingst, gjin oardiel

Ferbiningsopspoaring klassifisearret pakketten nei wat de firewall al sjoen hat, net nei wat de applikaasje leaut. In stream dy’t yn beide rjochtingen waarnommen is, is festige, en syn lettere pakketten bliuwe festige sels as de rûte dêrûnder fan in tunnel nei de gewoane opgeande ferbining feroaret. Ek it antwurd op in ynkommende ferbining kin festige ferkear wêze. Dy pakketten wurde nea wer nij.

Dêrom kin in regel dy’t allinnich op nije ferbiningen rjochte is net fêststelle dat elk beskerme pakket blokkearre wurdt. Hy lit de oare tastannen oan wat de rest fan ’e regelset dermei docht, en dat kin in talitting wêze dy’t earder yn ’e keatling pleatst is.

Lês de regel yn syn omjouwing

In brede talitting foar festige en besibbe ferkear pleatst foar de blokkade lit in pakket troch foardat de blokkade ea beoardiele wurdt. It fuortheljen fan ’e tastânbetingst út in lettere regel sil dat net feroarje, om’t de beoardieling der nea berikt. De folchoarder beslút it resultaat, en de tastân-oerienkomst beslút hokker pakketten dy folchoarder berikke.

Undersykje de effektive regelset ynstee fan it bestân dat jo bewurke hawwe, ynklusyf springen nei oare keatlingen en alles wat it platfoarm generearret. Op in troch iptables beheard rûter lit it opsommen fan ’e keatling de regelemdefinysjes sjen, en de keatlingen dêr’t it nei ferwiist moatte ek folge wurde. In lânseigen nftables-systeem freget om eigen regelset en hook-prioriteiten te ûndersykjen, om’t firmware selden identike keatlingen generearret.

Tellers fertelle hokker regel eins oerienkaam, en se binne meastentiids ynformative as in pakketopname dy’t nei it beslút nommen is. In regel mei in teller fan nul is net berikt, wat syn posysje ek suggerearret.

Utter it ferbod ûnôfhinklik fan tastân

As in groep kliïnten nea bûten de tunnel it ynternet berikke mei, sis dat direkt ynstee fan it mei ien tastân te benaderjen. De regel moat op boarne, útgong en bestimming selektearje sûnder fan ferbiningstastân ôfhinklik te wêzen, en hy moat stean wêr’t gjin eardere talitting him omgean kin. Dan krije beheartagong en útsûnderings foar it lokale netwurk har eigen eksplisite regels, sadat de bedoeling yn it belied sichtber is.

Reject boppe drop kieze feroaret hoe’t it oerienkommende ferkear mislearret, en it ferbreedt net de set pakketten dy’t de regel selektearret. In wegere ferbining en in stille tiidferrin binne ferskillende symptomen dy’t nei deselde seleksje wize.

In belied dat mei opsetsin antwurden talit op op ôfstân begûn tagong oer de WAN is ferdigenber. It moat gewoan sa beskreaun wurde ynstee fan it foar te stellen as folsleine isolaasje allinnich troch de tunnel.

Kontrolearje wa’t eins yn ’e groep sit

It foarbyld beslacht trochstjoerd IPv4-ferkear fan ien foarheaksel út ien ynterface. It seit neat oer IPv6, in twadde opgeande ferbining, of ferkear dat de rûter sels begjint. In rûter dy’t as DNS-oplosser wurket, stjoert syn eigen opgeande fragen, en dy geane hielendal net troch de forward-keatling.

Befêstigje dat de beskerme kliïnten noch adressen binnen it keazen foarheaksel hawwe, om’t in apparaat dat derbûten ferhuze is by tafal direkt is en net neffens belied. It blok útwreidzje nei it hiele LAN sûnder it útsûnderingsûntwerp te besjen hellet ek yn ’t algemien jo eigen bestjoerlike paad fuort.

iptables -S FORWARD
iptables -L FORWARD -v -n
cat /proc/net/nf_conntrack | grep -c ESTABLISHED

Besykje dan in âlde stream njonken in nije. In farske ferbiningspoging en in al aktive twarjochting-oerdracht gedrage har oars ûnder dizze regel, en allinnich beide testen lit sjen hokker belied jo wier hawwe.