As regras de cortafogos só NEW non pechan todas as rutas WAN

Rexeitar as conexións saíntes novas na WAN parece unha política de fallo pechado, pero é unha promesa máis estreita do que aparenta. Os paquetes que pertencen a fluxos que xa existen non coinciden con ela, e moitas respostas tampouco. Esa fenda é doada de pasar por alto porque a regra lese como se cubrise a interface e non un estado de conexión sobre ela. E ler a coincidencia de estado como un veredicto é o que produce unha falsa sensación de peche.

O estado é unha condición de coincidencia, non un veredicto

O seguimento de conexións clasifica os paquetes polo que o cortafogos xa viu, non polo que cre a aplicación. Un fluxo observado en ambos sentidos está establecido, e os seus paquetes posteriores seguen establecidos mesmo cando a ruta por baixo cambia dun túnel á ligazón ascendente ordinaria. Unha resposta a unha conexión entrante tamén pode ser tráfico establecido. Eses paquetes nunca volven ser novos.

Por iso unha regra limitada ás conexións novas non pode demostrar que todos os paquetes protexidos estean bloqueados. Deixa os demais estados ao que faga con eles o resto do conxunto de regras, que pode ser unha aceptación colocada antes na cadea.

Le a regra na súa contorna

Unha aceptación ampla para o tráfico establecido e relacionado colocada antes do bloque deixa pasar un paquete antes de que o bloque se avalíe. Quitar a condición de estado dunha regra posterior non o cambiará, porque a avaliación nunca chega a ela. A orde decide o resultado, e a coincidencia de estado decide que paquetes chegan a esa orde.

Inspecciona o conxunto de regras efectivo e non o ficheiro que ediches, incluídos os saltos a outras cadeas e todo o que xera a plataforma. Nun router xestionado con iptables, listar a cadea mostra as definicións das regras, e tamén hai que seguir as cadeas ás que fai referencia. Un sistema nativo con nftables necesita revisar o seu propio conxunto de regras e as prioridades dos hooks, porque o firmware raramente xera cadeas idénticas.

Os contadores din que regra coincidiu realmente, e adoitan ser máis informativos que unha captura de paquetes tomada despois da decisión. Unha regra co contador a cero non se acadou, diga o que diga a súa posición.

Expresa a prohibición con independencia do estado

Se un grupo de clientes nunca debe chegar a internet fóra do túnel, dío directamente en lugar de aproximarlo cun só estado. A regra ten que seleccionar por orixe, saída e destino sen depender do estado da conexión, e ten que estar onde ningunha aceptación anterior poida evitala. Así o acceso de xestión e as excepcións da rede local reciben as súas propias regras explícitas, e a intención queda visible na política.

Escoller reject en lugar de drop cambia como falla o tráfico coincidente, e non amplía o conxunto de paquetes que a regra selecciona. Unha conexión rexeitada e un tempo de espera silencioso son síntomas distintos que apuntan á mesma selección.

Unha política que permite deliberadamente respostas a un acceso iniciado remotamente pola WAN é defendible. Só hai que describila así en lugar de presentala como un illamento total unicamente polo túnel.

Comproba quen está realmente dentro do grupo

O exemplo cobre o tráfico IPv4 reenviado dun prefixo por unha interface. Non di nada sobre IPv6, unha segunda ligazón ascendente nin o tráfico que orixina o propio router. Un router que actúa como resolución DNS envía as súas propias consultas ascendentes, e esas non pasan nunca pola cadea forward.

Confirma que os clientes protexidos seguen tendo enderezos dentro do prefixo escollido, porque un dispositivo que se moveu fóra del é directo por accidente e non por política. Ampliar o bloque a toda a LAN sen revisar o deseño das excepcións tamén adoita eliminar a túa propia ruta administrativa.

iptables -S FORWARD
iptables -L FORWARD -v -n
cat /proc/net/nf_conntrack | grep -c ESTABLISHED

Despois proba un fluxo vello xunto a un novo. Un intento de conexión novo e unha transferencia bidireccional xa activa compórtanse de forma distinta baixo esta regra, e só probar ambos mostra que política tes en realidade.