SSH- en VPN-yngongsregels: wat de tastiene list echt regelet

Folgje ien ferbining fan klant nei gasthear: hokker heakstúk it krúst, wêrom’t hingjen en wegere ferskillende regels betsjutte en wêrom’t ôfwizen nea in belied is.

Ferbyn jo ien kear foardat jo in regel feroarje en notearje oft de klant hinget of daliks wegere wurdt. Dat iene ferskil fertelt jo hokker beslissing it pakket fuortsmiet en sparret in oere lêzen fan beliedsbestannen. De rest fan ’e tocht is koart: it pakket krúst in heakstúk, past by in regel en berikt in harker of net. In tastiene list is gewoan boekhâlding om dy trije feiten hinne.

Folgje ien SSH-poging oant it yngongsheakstúk

In klant stjoert in SYN nei it adres fan ’e gasthear op poarte 22, en de kearn beslút oft dat pakket foar in pleatslike tsjinst is. As dat sa is, rint it yngongspaad en de regelset akseptearret it pakket of smyt it fuort. Stilte betsjut dat de SYN stoar foardat de harker it seach, wylst in flugge wegering betsjut dat eat mei in reset antwurde. Dat binne ferskillende oardielen fan ferskillende regels, en beide binne legitime útkomsten.

Befêstigje dêrnei de harker, want gjin regel rêdt in tsjinst dy’t der net is. Rin ss -ltnp en kontrolearje oft eat ferbûn is oan ’e poarte en adresfamylje dy’t jo ferwachtsje, lês dan ssh -v op ’e klant om te sjen wêr’t it stoppet.

Trochstjoere is in aparte beslissing

Op in VPN-tsjinner is it nijsgjirriger heakstúk forward, want klantferkear wurdt troch de masine rûte ynstee fan oan har besoarge. In gasthear dy’t allinnich syn eigen VPN-klant rint, hat in folle lytser regelset nedich as ien dy’t pakketten fan oare minsken trochstjoert. It mingjen fan ’e twa ûntwerpen op ien masine produsearret regels dy’t korrekt lykje en neat trochlitte.

Skriuw it ynterne belied as in eigen fraach: hokker klantadressen meie hokker bestimmings troch de tunnel berikke. Hâld it bestjoerlike paad, lykas SSH, op it yngongspaad mei syn eigen boarnebeheining. In tastienende forward-regel dy’t by it testen tafoege is, is it klassike defekt dat de test oerlibbet, dus neigje nei in feroaring de hiele regelset ynstee fan ’e iene rigel dy’t jo bewurke hawwe. It iepenjen fan ’e tunnelharker is gjin tastimming foar elke ferbûne klant om de gasthear te behearjen.

Fuortsmiten en ôfwizen binne aksjes, gjin belied

It belied fan in basiskeatling akseptearret of smyt fuort, en dat is de hiele list fan karren, sa’t de nftables-referinsje seit. Ôfwizen bestiet as in regelaksje mei in keazen antwurd, en dêrom mislearret it skriuwen derfan as belied sawol op nftables as op iptables. Yn ’e praktyk jout in drop de klant gjin ynformaasje, wylst in reject him in flater jout dêr’t er op hanje kin.

table inet admin {
    chain input {
        type filter hook input priority filter; policy drop;
        ct state established,related accept
        ip saddr 203.0.113.0/28 tcp dport 22 accept
        udp dport 51820 accept
        icmp type { destination-unreachable, time-exceeded } accept
    }
}

Lês dy skets as de foarm fan in beslissing ynstee fan in bestân om te plakken, want de adresberikken binne foarbylden. In eksplisite reject op ’e SSH-poarte lit in net-tastiene klant yn in sekonde mislearje ynstee fan in time-out ôf te wachtsjen, wat jo eigen debuggen ferkoartet. Stilte ûntmoediget tafallich scanjen en fertelt in tastiene brûker hielendal neat. Kies per tsjinst en skriuw op wêrom, want oars feroaret de folgjende persoan it werom.

Hâld it kontrôleferkear dat jo echt nedich hawwe

It blokkearjen fan alle ICMP is in populêre standert ynstelling dy’t paad-MTU-ûntdekking brekt, en it symptoom is in ferbining dy’t opboud wurdt en dan fêstrint op gruttere pakketten. Buorlju-ûntdekking op IPv6 hinget fan syn eigen ICMPv6-typen ôf, en it fuortsmiten dêrfan brekt de keppeling foardat hokker TCP-regel dan ek rieplachte wurdt. Beide hearre yn ’e tastiene list as neamde ôfhinklikheden ynstee fan as algemiene tastimmingen. In belied dat ûntdekking stil brekt, is minder as ien dat in bytsje diagnostysk ferkear talit.

Lit de steaten established en related ta foar ferbiningen dy’t jo sels begûn binne, en lit de steatbewuste masine de antwurden ôfhannele. Befêstigje dan dat it antwurdpaad net fierder bûten blokkearre is, want in beheining allinnich foar útgeand ferkear boppe yn ’e keatling produsearret deselde time-out dy’t jo de gasthear skele woene.

Bewiis werstel foardat jo it âlde paad ôftankje

Hâld in konsolesesje iepen, pas de feroaring ta en iepenje in hiel nije behearferbining fan in oare terminal. In besteande sesje bewiist neat, want hy kin in regel oerlibje dy’t elke nije oanmelding blokkearret, wat him it meast oertsjûgjende falske posityf yn firewall-wurk makket. As in monitoring systeem de gasthear kontrolearret, foegje syn boarneadres ta foar de feroaring ynstee fan nei de earste warskôging. Test dan ien grut en ien lyts pakket om te bewizen dat ûntdekking noch wurket.

Foar in VPN-tsjinst, werhelje it fan in klant dy’t nea ferbûn hat, want in werfette sesje kin steat werbrûke dy’t in frisse ûnderhannelje moat. Notearje de krekte regelset dy’t slagge, mei in kontrôlesom of in kopy, sadat in lettere bewurking ferlike wurde kin ynstee fan rieden. Koördinearje mei wa’t de regeloarder besit, want in eardere regel wint stil fan ’e iene dy’t jo tafoege hawwe.

Relatearre artikelen