Cuireann bac ar IPv6 chun WireGuard a dhaingniú an t-óstach as a riocht

Tá an cuspóir réasúnach: níor cheart ach úsáideoirí an tolláin na seirbhísí ar an meaisín seo a shroicheadh. Is é an cur i bhfeidhm a ngabhann daoine air ná slabhra ionchuir IPv6 a scriosann gach rud seachas WireGuard, agus scriosann sé sin freisin an trácht a choinníonn an t-óstach ceangailte lena nasc féin. Ní rochtain seirbhíse í an fhionnachtain comharsan ná teachtaireachtaí cothabhála an chosáin, agus cruthaíonn a mbaint di meaisín nach féidir a shroicheadh ar chúiseanna nach mbaineann le do bheartas. Éiríonn an tollán, tá na seirbhísí scóipithe i gceart, agus ní oibríonn aon rud eile ar an nasc.

Trí fhreagracht, aon sraith rialacha

Is é an chéad fhreagracht ná oibriú an ghréasáin sheachtraigh: caithfidh an t-óstach fanacht ar a nasc, comharsana a réiteach agus teorainneacha cosáin an naisc sin a fhoghlaim. Is é an dara ceann an t-éisteoir criptithe, a ghlacann le UDP ar an seoladh agus an port a roghnaigh tú. Is é an tríú ceann an sraith seirbhísí díchriptithe ar mhaith leat úsáideoirí an tolláin a shroicheadh.

Trí bheartas éagsúla iad sin, agus ní bhaineann ach an dara agus an tríú ceann leis an VPN. Faigheann sraith rialacha a chaithfidh leo mar aon rud amháin modh teipe mar oidhreacht ina mbriseann daingniú theorainn an fheidhmchláir ceangal an óstaigh go ciúin.

Coinnigh iad i slabhraí ar leithligh nó ar a laghad i mbarrfhocail ar leithligh, ionas go bhfeicfidh an chéad duine eile cén líne atá ann agus cén fáth.

Cad a dhéanann ICMPv6 don óstach

Braitheann IPv6 ar ICMPv6 i bhfad níos mó ná macalla. Tagann iarratas agus fógra comharsan in ionad ARP agus tá siad riachtanach le haghaidh seachadta áitiúil. Iompraíonn Packet Too Big faisnéis MTU an chosáin, agus cruthaíonn neamhaird air aistrithe a stopann ar phaicéid mhóra. Iompraíonn fógraí ródaire an bealach réamhshocraithe agus faisnéis réimír nuair a úsáideann an nasc cumraíocht uathoibríoch.

Scarann RFC 4890 na teachtaireachtaí nach mór do scagaire óstaigh a cheadú ó na cinn is rogha riaracháin, agus déanann sé sin in alt óstaigh atá difriúil ó na rialacha do ródaire a sheolann ar aghaidh idir líonraí. Má léann tú ach an t-alt seolta ar aghaidh, faigheann tú beartas ionchuir atá ródhian don óstach a chosnaíonn sé.

Is é an riail phraiticiúil ná na teachtaireachtaí riachtanacha earráide agus cumraíochta a cheadú ar an gcomhéadan a theastaíonn uathu, teoranta de réir cineáil agus foinse nuair a cheadaíonn an t-ardán é, agus cinneadh follasach a dhéanamh faoin gcuid eile.

Réitíonn cead ICMPv6 ginearálta in ionad gach rud sin an fhadhb infhaighteachta agus tugann sé suas an scagadh. Réitíonn scriosadh ginearálta ina ionad an fhadhb scagtha agus tugann sé suas an t-óstach.

Admhaigh an tollán, ansin an tseirbhís

Glac le hiompar WireGuard ar an seoladh seachtrach beartaithe agus ar an port UDP, agus glac leis an trácht fillte trí rianú naisc. Ansin lig do na seirbhísí feidhmchláir trí chomhéadan an tolláin, ó na foinsí a údaraíonn tú i ndáiríre.

Ní údaraíonn cead don phort UDP seachtrach na hiarratais díchriptithe istigh ann. Is é an t-idirdhealú sin an chúis iomlán go bhfuil comhéadan an tolláin le feiceáil sna rialacha seirbhíse.

Léigh an tsraith rialacha mar atá sí, ní mar a chuireann an comhad síos uirthi:

sudo nft list ruleset
ip -6 addr show
ip -6 route show default

Is nochtadh ar leithligh é éisteoir ar sheoladh fisiceach ón tseirbhís chéanna ar sheoladh an tolláin. Má sheolann an meaisín trácht ar aghaidh chuig meaisín eile freisin, is cinneadh slabhra seolta ar aghaidh é sin seachas an beartas ionchuir seo, agus teastaíonn a réasúnaíocht féin uaidh.

Tástáil an nasc, ní hamháin an tollán

Cruthaíonn tollán a oibríonn tar éis an athraithe níos lú ná mar a fheictear, mar is féidir le hiontráil chomharsan atá ann cheana agus le nasc bunaithe teachtaireacht rialaithe a cheilt a scriosann an beartas anois.

Seiceáil an ceangal go díreach, ansin seiceáil go dteipeann ar an gcosán eisiata fós:

ip -6 neigh show
ping -6 -c 3 2001:db8:1::1
sudo nft -c -f /etc/nftables.conf

Is é tábla comharsan a fhanann iomlán tar éis atosaigh an comhartha go n-oibríonn an fhionnachtain fós. Is é tábla a fholmhaítear agus nach líontar choíche an comhartha gur scag tú amach é. Bailíochtaíonn an tríú ordú comhréir na sraithe rialacha gan í a chur i bhfeidhm, rud is fiú a dhéanamh fad a bhíonn seisiún agat fós.

Aisghabh óstach ar chuir tú féin faoi ghlas amach as

Sula n-athraíonn tú rialacha balla dóiteáin a iompraíonn do sheisiún riaracháin féin, coinnigh dara cainéal: consól, nasc sraitheach nó aischur sceidealaithe a bhaineann na rialacha nua mura gcuireann tú ar ceal é.

Má chuireann athrú faoi ghlas amach thú i ndáiríre, is tríd an gcainéal sin a dhéantar an t-aisghabháil agus ní tríd an líonra a bhain tú díreach. Aisghabh an tsraith rialacha roimhe ó chóip shábháilte, deimhnigh go bhfuil an t-óstach inrochtana arís, agus ansin amháin cuir an beartas beartaithe i bhfeidhm i bpíosaí níos lú.

Níl an beartas deiridh uilíoch. Is ionchuir imlonnaithe iad seoladh, ródú agus cur i bhfeidhm an bhalla dóiteáin, ach tá an teorainn mar an gcéanna i ngach áit: diúltaigh do rochtain fheidhmchláir neamh-inmhianaithe agus an trácht rialaithe a iompraíonn an tollán údaraithe á choinneáil agat.