WireGuard સુરક્ષિત કરવા IPv6 બ્લોક કરવાથી હોસ્ટ તૂટે છે

ધ્યેય વાજબી છે: આ મશીનની સેવાઓ સુધી ફક્ત ટનલ વપરાશકર્તાઓ જ પહોંચવા જોઈએ. લોકો જે અમલીકરણ તરફ વળે છે તે IPv6 ઇનપુટ ચેઇન છે જે WireGuard સિવાય બધું ડ્રોપ કરે છે, અને તે તે ટ્રાફિક પણ ડ્રોપ કરે છે જે હોસ્ટને તેની પોતાની લિંક સાથે જોડેલું રાખે છે. પડોશી શોધ અને પાથ-જાળવણી સંદેશાઓ સેવા-પ્રવેશ નથી, અને તેમને દૂર કરવાથી એવું મશીન બને છે જે તમારી નીતિ સાથે સંબંધ ન ધરાવતા કારણોસર અગમ્ય છે. ટનલ ઉપર આવે છે, સેવાઓ યોગ્ય રીતે મર્યાદિત છે, અને લિંક પર બીજું કંઈ કામ કરતું નથી.

ત્રણ જવાબદારીઓ, એક નિયમસેટ

પ્રથમ જવાબદારી બાહ્ય નેટવર્કનું સંચાલન છે: હોસ્ટ તેની લિંક પર જ રહેવું જોઈએ, પડોશીઓ ઉકેલવા જોઈએ અને તે લિંકની પાથ-મર્યાદાઓ શીખવી જોઈએ. બીજી એન્ક્રિપ્ટેડ શ્રોતા છે, જે તમે પસંદ કરેલા સરનામા અને પોર્ટ પર UDP સ્વીકારે છે. ત્રીજી ડિક્રિપ્ટ થયેલી સેવાઓનો સમૂહ છે જ્યાં તમે ટનલ વપરાશકર્તાઓને પહોંચાડવા માંગો છો.

આ ત્રણ અલગ નીતિઓ છે, અને ફક્ત બીજી અને ત્રીજી VPN સાથે સંબંધિત છે. જે નિયમસેટ તેમને એક તરીકે ગણે છે તે એવી નિષ્ફળતાની રીત વારસામાં લે છે જેમાં એપ્લિકેશન સીમા કડક કરવાથી હોસ્ટનું જોડાણ શાંતિથી તૂટે છે.

તેમને અલગ ચેઇનમાં અથવા ઓછામાં ઓછું અલગ ટિપ્પણીમાં રાખો, જેથી આગલી વ્યક્તિ જોઈ શકે કે કઈ લાઇન કયા કારણે છે.

ICMPv6 હોસ્ટ માટે શું કરે છે

IPv6 ઇકો કરતાં ઘણા વધુ માટે ICMPv6 પર આધાર રાખે છે. પડોશી વિનંતી અને જાહેરાત ARP નું સ્થાન લે છે અને સ્થાનિક વિતરણ માટે જરૂરી છે. Packet Too Big પાથ MTU માહિતી ધરાવે છે, અને તેને અવગણવાથી મોટા પેકેટ પર અટકતા સ્થાનાંતરણો થાય છે. લિંક સ્વયં કન્ફિગરેશન વાપરે ત્યારે રાઉટર જાહેરાતો ડિફોલ્ટ રૂટ અને પ્રિફિક્સ માહિતી ધરાવે છે.

RFC 4890 હોસ્ટ ફિલ્ટરે મંજૂરી આપવી પડે તેવા સંદેશાઓને વહીવટી પસંદગી હોય તેવા સંદેશાઓથી અલગ કરે છે, અને તે નેટવર્ક વચ્ચે ફોરવર્ડ કરતા રાઉટરના નિયમોથી અલગ હોસ્ટ-વિભાગમાં કરે છે. ફક્ત ફોરવર્ડિંગ વિભાગ વાંચવાથી એવી ઇનપુટ નીતિ બને છે જે જે હોસ્ટનું રક્ષણ કરે છે તેના માટે ખૂબ કડક છે.

વ્યવહારુ નિયમ એ છે કે જે ઇન્ટરફેસને જરૂર હોય ત્યાં આવશ્યક ભૂલ અને કન્ફિગરેશન સંદેશાઓને મંજૂરી આપવી, પ્લેટફોર્મ પરવાનગી આપે ત્યાં પ્રકાર અને સ્રોત દ્વારા મર્યાદિત કરવી, અને બાકીના વિશે સ્પષ્ટ નિર્ણય લેવો.

આ બધું સર્વગ્રાહી ICMPv6 પરવાનગીથી બદલવાથી ઉપલબ્ધતાની સમસ્યા હલ થાય છે અને ફિલ્ટરિંગ છોડી દેવાય છે. તેને સર્વગ્રાહી ડ્રોપથી બદલવાથી ફિલ્ટરિંગની સમસ્યા હલ થાય છે અને હોસ્ટ છોડી દેવાય છે.

પહેલા ટનલને મંજૂરી આપો, પછી સેવાને

ઇચ્છિત બાહ્ય સરનામા અને UDP પોર્ટ પર WireGuard ટ્રાન્સપોર્ટ સ્વીકારો, અને કનેક્શન ટ્રેકિંગ દ્વારા પરત ટ્રાફિક સ્વીકારો. પછી ટનલ ઇન્ટરફેસ દ્વારા એપ્લિકેશન સેવાઓને મંજૂરી આપો, જે સ્રોતોને તમે ખરેખર અધિકૃત કરો છો તેમાંથી.

બાહ્ય UDP પોર્ટની પરવાનગી તેની અંદરની ડિક્રિપ્ટ થયેલી વિનંતીઓને અધિકૃત કરતી નથી. આ ભેદ જ સેવા-નિયમોમાં ટનલ ઇન્ટરફેસ દેખાવાનું આખું કારણ છે.

ફાઇલ જેવું વર્ણન કરે છે તેવું નહીં, નિયમસેટ જેવો છે તેવો વાંચો:

sudo nft list ruleset
ip -6 addr show
ip -6 route show default

ભૌતિક સરનામા પરની શ્રોતા ટનલ સરનામા પરની તે જ સેવાથી અલગ એક્સપોઝર છે. જો બોક્સ બીજા મશીન પર પણ ટ્રાફિક ફોરવર્ડ કરે છે, તો તે આ ઇનપુટ નીતિ નહીં પણ ફોરવર્ડ ચેઇનનો નિર્ણય છે, અને તેને પોતાનું તર્ક જોઈએ.

લિંકની કસોટી કરો, ફક્ત ટનલની નહીં

ફેરફાર પછી કામ કરતી ટનલ દેખાય તેનાથી ઓછું સાબિત કરે છે, કારણ કે હાલની પડોશી એન્ટ્રી અને સ્થપાયેલું કનેક્શન એ નિયંત્રણ સંદેશ છુપાવી શકે છે જે નીતિ હવે ડ્રોપ કરે છે.

જોડાણને સીધું તપાસો, પછી તપાસો કે બાકાત કરેલો પાથ હજી નિષ્ફળ જાય છે:

ip -6 neigh show
ping -6 -c 3 2001:db8:1::1
sudo nft -c -f /etc/nftables.conf

રીબૂટ પછી પણ પડોશી કોષ્ટક પૂર્ણ રહે તે એ સંકેત છે કે શોધ હજી કામ કરે છે. જે કોષ્ટક ખાલી થઈ જાય અને ફરી ક્યારેય ભરાય નહીં તે સંકેત છે કે તમે તેને ફિલ્ટર કર્યું છે. ત્રીજો આદેશ નિયમસેટ લાગુ કર્યા વિના તેનું સિન્ટેક્સ માન્ય કરે છે, જે સેશન હોય ત્યારે કરવા યોગ્ય છે.

તમે જેમાંથી પોતાને બહાર તાળું માર્યું તે હોસ્ટ પુનઃપ્રાપ્ત કરો

તમારું પોતાનું વહીવટી સેશન ધરાવતા ફાયરવોલ નિયમો બદલતા પહેલા બીજી ચેનલ રાખો: કન્સોલ, સીરિયલ કનેક્શન, અથવા નિર્ધારિત રોલબેક જે રદ ન કરો તો નવા નિયમો દૂર કરે છે.

જો ફેરફાર ખરેખર તમને બહાર તાળું મારે, તો પુનઃપ્રાપ્તિ તે ચેનલ દ્વારા થાય છે, તમે હમણાં જ દૂર કરેલા નેટવર્ક દ્વારા નહીં. સાચવેલી નકલમાંથી પાછલો નિયમસેટ પુનઃસ્થાપિત કરો, હોસ્ટ ફરી પહોંચયોગ્ય છે તેની ખાતરી કરો, અને પછી જ ઇચ્છિત નીતિને નાના ટુકડાઓમાં લાગુ કરો.

અંતિમ નીતિ સાર્વત્રિક નથી. સરનામાંકન, રૂટિંગ અને ફાયરવોલનું અમલીકરણ તૈનાતીના ઇનપુટ છે, પરંતુ સીમા દરેક જગ્યાએ સમાન છે: અધિકૃત ટનલ વહન કરતા નિયંત્રણ ટ્રાફિકને રાખીને અનિચ્છનીય એપ્લિકેશન પ્રવેશ નકારો.