Rialacha iontrála SSH agus VPN: cad a rialaíonn an liosta ceaduithe i ndáiríre

Ceangail uair amháin sula n-athraíonn tú riail agus tabhair faoi deara an gcrochann an cliant nó an ndiúltaítear dó láithreach. Insíonn an t-aon difríocht sin duit cén cinneadh a chaith an paicéad agus sábhálann sé uair an chloig de léamh comhad polasaí. Tá an chuid eile den tsiúlóid gairid: trasnaíonn an paicéad crúca, tagann sé le riail agus sroicheann sé éisteoir nó ní shroicheann. Níl sa liosta ceaduithe ach cuntasaíocht timpeall na dtrí fhíric sin.

Lean iarracht SSH amháin go dtí an crúca ionchuir

Seolann cliant SYN chuig seoladh an óstaigh ar phort 22, agus socraíonn an eithne an bhfuil an paicéad sin le haghaidh seirbhíse áitiúla. Má tá, ritheann an cosán ionchuir agus glacann an tsraith rialacha leis an bpaicéad nó caitheann sé amach é. Ciallaíonn tost gur éag an SYN sular chonaic an t-éisteoir é, agus ciallaíonn diúltú tapa gur fhreagair rud éigin le hatógáil. Is breithiúnais éagsúla iad seo ó rialacha éagsúla, agus tá an dá cheann ina dtorthaí dlisteanacha.

Deimhnigh an t-éisteoir ansin, mar ní féidir le haon riail seirbhís nach bhfuil ann a shábháil. Rith ss -ltnp agus seiceáil go bhfuil rud éigin ceangailte leis an bport agus leis an teaghlach seoladh a bhfuil súil agat leis, ansin léigh ssh -v ar an gcliant chun a fheiceáil cá stopann sé.

Is cinneadh ar leith é an t-ardú

Ar fhreastalaí VPN is é forward an crúca is suimiúla, mar déantar trácht an chliaint a ródú tríd an meaisín seachas é a sheachadadh chuige. Teastaíonn sraith rialacha i bhfad níos lú ó óstach nach ritheann ach a chliant VPN féin ná ó cheann a aistríonn paicéid dhaoine eile. Cruthaíonn meascadh an dá dhearadh ar aon bhosca rialacha a bhféachann sé ceart agus nach nglacann le haon rud.

Scríobh an polasaí inmheánach mar cheist ar leith: cé na seoltaí cliaint a fhéadann cé na cinn scríbe a shroicheadh tríd an tollán. Coinnigh an cosán riaracháin, mar SSH, ar an gcosán ionchuir lena shrianadh foinse féin. Is é riail forward cheadaitheach a chuirtear leis le linn tástála an locht clasaiceach a mhaireann níos faide ná an tástáil, mar sin déan athbhreithniú ar an tsraith rialacha iomlán tar éis athraithe seachas ar an líne aonair a chuir tú in eagar. Ní cead é an t-éisteoir tolláin a oscailt do gach cliant ceangailte chun an t-óstach a riar.

Is gníomhartha iad drop agus diúltú, ní polasaithe

Glacann polasaí bunslabhra le rud nó caitheann sé amach é, agus sin an liosta iomlán roghanna, mar a deir an tagairt nftables. Tá diúltú ann mar ghníomh rialach le freagra roghnaithe, agus is ar an bhfáth sin a theipeann ar a scríobh mar pholasaí ar nftables agus ar iptables araon. Go praiticiúil ní thugann drop aon eolas don chliant, agus tugann reject earráid dó ar féidir leis gníomhú uirthi.

table inet admin {
    chain input {
        type filter hook input priority filter; policy drop;
        ct state established,related accept
        ip saddr 203.0.113.0/28 tcp dport 22 accept
        udp dport 51820 accept
        icmp type { destination-unreachable, time-exceeded } accept
    }
}

Léigh an sceitse sin mar chruth cinneadh seachas mar chomhad le greamú, óir is samplaí iad na raonta seoladh. Fágann reject sainráite ar an bport SSH go dteipeann ar chliant neamhúdaraithe i soicind seachas fanacht le teorainn ama, rud a ghiorraíonn do dhífhabhtú féin. Cuireann tost in aghaidh scanadh ócáideach agus ní insíonn sé faic ar bith d’úsáideoir údaraithe. Roghnaigh de réir seirbhíse agus scríobh síos cén fáth, nó cuirfidh an chéad duine eile ar ais é.

Coinnigh an trácht rialaithe a bhfuil de dhíth ort i ndáiríre

Is réamhshocrú coitianta é ICMP go léir a bhlocáil a bhriseann fionnachtain MTU cosáin, agus is é an tsíomptóm nasc a bhunaítear agus a stopann ansin ar phaicéid níos mó. Braitheann fionnachtain comharsan ar IPv6 ar a chineálacha ICMPv6 féin, agus briseann a gcaitheamh amach an nasc sula gcomhairlítear aon riail TCP. Baineann an dá rud leis an liosta ceaduithe mar spleáchais ainmnithe seachas mar cheadanna ginearálta. Tá polasaí a bhriseann fionnachtain go ciúin níos measa ná ceann a admhaíonn beagán tráchta diagnóisí.

Ceadaigh na stáit established agus related do na naisc a chuir tú féin tús leo, agus lig don inneall stáit na freagraí a láimhseáil. Ansin deimhnigh nach bhfuil cosán an fhreagra blocáilte níos faide amach, mar chruthaíonn srian ar thrácht amach amháin níos faide suas an teorainn ama chéanna a raibh tú ar tí a chur i leith an óstaigh.

Cruthaigh an t-aisghabháil sula dtéann tú as an seanchosán

Coinnigh seisiún consóile oscailte, cuir an t-athrú i bhfeidhm agus oscail nasc bainistíochta uile nua ó theirminéal eile. Ní chruthaíonn seisiún atá ann cheana aon rud, mar fhéadfadh sé maireachtáil ar riail a bhfuil gach logáil isteach nua á blocáil aici, rud a fhágann gurb é an bréag-dhearfach is mó a chuirfeadh dallamullóg ort in obair balla dóiteáin. Má sheiceálann córas monatóireachta an t-óstach, cuir a sheoladh foinse leis roimh an athrú seachas tar éis an chéad foláireamh. Ansin tástáil paicéad mór amháin agus paicéad beag amháin chun a chruthú go n-oibríonn fionnachtain fós.

I gcás seirbhíse VPN, déan arís é ó chliant nár cheangail riamh, mar is féidir le seisiún atosaithe staid a athúsáid a chaithfidh ceann nua a chaibidil. Taifead an tsraith rialacha bheacht a d’éirigh leis, le suim sheiceála nó le cóip, ionas gur féidir eagar níos déanaí a chur i gcomparáid seachas a thomhas. Comhordaigh leis an duine a shealbhaíonn ord na rialacha, mar bhuaíonn riail níos luaithe go ciúin ar an gceann a chuir tú leis.