Níl tun0 ann? Meaitseáil IPsec díchriptithe i nftables le meta ipsec

Bíonn tú ag súil le comhéadan tolláin, féachann tú air, agus níl aon rud le meaitseáil sa bhalla dóiteáin. Tá sé seo gnách do gheata beartais-bhunaithe: tagann an malartú criptithe isteach ar an gcomhéadan fisiceach, agus breathnaítear ar an bpaicéad inmheánach díchriptithe a sheoltar ar aghaidh ina dhiaidh sin mar rud a thagann isteach ar an gcomhéadan céanna. Níl aon tun0 ann mar níor chruthaigh aon rud ceann.

Tá an t-iarratas inmheánach fós ina phaicéad ar leith lena fhoinse, a cheann scríbe agus a sheirbhís féin, agus tá a fhios ag an eithne cén comhlachas slándála ar tháinig sé as. Is é an t-eolas sin is féidir le riail balla dóiteáin a mheaitseáil.

Dhá phaicéad, comhéadan amháin

Samhlaigh an treo isteach. Tagann paicéad atá cuachta in ESP nó UDP isteach, aimsíonn an eithne an beartas comhoiriúnach, díchriptíonn sé é agus tugann sé an paicéad glan don chonair sheolta. Ní féidir le riail nach bhféachann ach ar ainm an chomhéadain an paicéad sin a idirdhealú ó aon trácht eile a thagann isteach ar an sreang chéanna.

Is é a dhéanann idirdhealú air comhthéacs an chosáin slándála isteach atá ceangailte leis an bpaicéad. Nochtann nftables é mar meta ipsec exists, rud atá fíor nuair a tháinig an paicéad trí chosán slándála IPsec. Cuir le chéile é leis an linn cliant, an ceann scríbe agus an tseirbhís, agus éiríonn an riail chomh sonrach go leor le bheith sábháilte.

Is é an botún coitianta an comhthéacs a fhágáil ar lár, agus is botún slándála é seachas botún cosmaideach. Glacann riail a ghlacann le haon rud ón linn cliant le paicéad bréige ón líonra áitiúil chomh sásta céanna, mar ní cruthúnas ar aon rud í an seoladh foinse ann féin. Is é comhthéacs an chosáin slándála an bealach is saoire chun an fhoinse a dhéanamh bríoch. Scríobh an riail leis ón tús seachas é a chur leis tar éis iniúchta.

Scríobh an riail seolta

Cuir i gcás seirbhís rochtana cianda IPv4 fhíordheimhnithe le cliaint in 10.90.0.0/24 agus ceann scríbe ceadaithe amháin ag 203.0.113.40. Breathnaíonn blúire rialach don sreabhadh sin mar seo.

meta ipsec exists ip saddr 10.90.0.0/24 \
  ip daddr 203.0.113.40 tcp dport 443 \
  oifname "eth0" counter accept

Is samplaí iad na seoltaí agus an comhéadan atá le hathchur. Cuir an choibhéis athbhreithnithe sa bheartas seolta roimh an riail a dhiúltódh an sreabhadh murach sin, agus ná glan tacar rialacha atá ann cheana chun é a shuiteáil; ní turgnamh seomra glan é geata.

Is fiú an téarma oifname a choinneáil. Déanann sé an cinneadh eisithe a dhoiciméadú agus cuireann sé cosc ar an riail meaitseáil i dtreo nach raibh i gceist agat, rud atá tábhachtach ar gheata a bhfuil roinnt conairí chuig an idirlíon aige. Ar bhosca tástála le nasc amháin aníos breathnaíonn an téarma iomarcach, agus is ar an gcúis sin go díreach a bhaintear é sula bhfaigheann an bosca dara nasc.

Tá na ceadanna don mhalartú seachtrach ar leithligh. Teastaíonn na calafoirt IKE agus ESP nó UDP-chuachta ó chonair iontrála an gheata a úsáideann sé i ndáiríre, agus ní údaraíonn na ceadanna sin aon rud faoin bpaicéad díchriptithe istigh. Is é meascadh an dá rud an bealach a gcríochnaíonn tollán oibre le balla dóiteáin a sheolann gach rud ar aghaidh.

Ní hé comhthéacs isteach comhthéacs amach

Clúdaíonn an teaghlach céanna nathanna an treo eile le rt ipsec, a chuireann síos ar an gcomhlachas slándála amach a úsáidfidh paicéad. Freagraíonn sé ceist eile: ní cá as a dtáinig an paicéad seo, ach an mbeidh sé cosanta ar a chéad chos eile.

Tá tábhacht leis an idirdhealú sin ar gheata a chríochnaíonn tollán amháin agus a sheolann isteach i gceann eile ag an am céanna. Is féidir paicéad teacht isteach díchriptithe agus fós gá a bheith ag imeacht criptithe, agus ní deir glacadh a scríobhtar don chomhthéacs isteach amháin aon rud faoin gceanglas amach. Má éilíonn an beartas an chosaint sin, ba cheart don tacar rialacha í a chur in iúl seachas glacadh leis go láimhseálfaidh an ródú é.

Coinnigh an dá cheist i rialacha ar leith ionas go bhfeicfidh léitheoir cé acu atá á fhorfheidhmiú. Tá riail chliste amháin a sheiceálann an dá rud níos deacra le hathbhreithniú agus i bhfad níos deacra le dífhabhtú nuair a stopann a leath ag meaitseáil. Insíonn dhá riail le cuntair duit freisin cé acu ceanglas atá ag teip, rud nach ndéanfaidh riail chomhcheangailte amháin riamh.

Ní cinneadh balla dóiteáin é NAT

De ghnáth teastaíonn aistriú foinse ó thrácht chuig an idirlíon ó linn cliant príobháideach ionas go bhfaighidh an freagra a bhealach ar ais. Ach caithfidh trácht a roghnaítear do bheartas IPsec amach eile a dhíolúine riachtanach a choinneáil, agus briseann clúdach gach foinse phríobháidí gan smaoineamh ar an gcéad chinneadh cosanta eile sin.

Ní cead ginearálta ach an oiread é glacadh taobh istigh de shlabhra NAT. Tá jabanna éagsúla ag NAT agus ag scagadh, agus ní scrúdaíonn slabhra NAT gach paicéad níos déanaí de shreabhadh bunaithe, agus is ar an gcúis sin go díreach a tháirgeann brath air le haghaidh slándála rialacha a fhéachann le bheith ag obair i dtástáil agus a theipeann faoi ualach.

Tá a mhalairt fíor freisin agus cuireann sé iontas ar dhaoine: ní bhíonn aon mheáchan ag glacadh áit éigin i mbunshlabhra scagtha amháin i gcoinne diúltaithe níos déanaí i slabhra infheidhme eile. Is é ord agus scóip an tslabhra a shocraíonn an toradh, ní láithreacht glactha sa chomhad.

Fíoraigh an tseirbhís inmheánach bheacht

Tástáil an ceann scríbe agus an calafort sonrach a d'údaraigh tú, ó fhíorchliant, agus deimhnigh go dtagann an freagra ar ais. Ansin tástáil rud éigin nár údaraigh tú agus seiceáil nach dtéann sé tríd, mar téann riail atá ró-leathan an chéad tástáil chomh maith le riail cheart. Ní toradh balla dóiteáin ach an oiread é iarratas nach bhfágann an cliant riamh, mar sin léigh na cuntair le feiceáil ar measadh an paicéad ar chor ar bith. Inseoidh dhá thástáil agus léamh cuntair amháin níos mó duit ná tráthnóna iomlán ag léamh an tacar rialacha.

Déanann tagairt nftables doiciméadú ar meta ipsec, ar rt ipsec agus ar na nathanna a bhaineann go sonrach le treo, agus is ann a sheiceálann tú an chomhréir i gcoinne an leagan atá suiteáilte agat. Agus coinnigh an scóip soiléir: is sampla IPv4 é seo, ní deir sé aon rud faoi IPv6, agus ní dhéanann sé seoladh calafort poiblí treallach ina chuid den tseirbhís VPN.