Að loka á IPv6 til að tryggja WireGuard eyðileggur hýsilinn

Markmiðið er skynsamlegt: aðeins notendur göngunnar eiga að ná þjónustunum á þessari vél. Lausnin sem gripið er til er IPv6-inntakskeðja sem hendir öllu nema WireGuard, og þar með einnig þeim umferð sem heldur hýslinum tengdum við eigin tengil. Nágrannauppgötvun og skilaboð um viðhald leiðarinnar eru ekki þjónustuaðgangur, og að fjarlægja þau framleiðir vél sem er óaðgengileg af ástæðum sem tengjast ekki stefnu þinni. Göngin fara upp, þjónusturnar eru rétt afmarkaðar og ekkert annað á tenglinum virkar.

Þrjár ábyrgðir, eitt reglusett

Fyrsta ábyrgðin er rekstur ytri nettengingarinnar: hýsillinn verður að vera áfram á tenglinum, leysa nágranna og læra leiðarmörk tengilsins. Önnur er dulkóðaði hlustandinn, sem tekur við UDP á því vistfangi og þeirri gátt sem þú valdir. Þriðja er safn afdulkóðaðra þjónusta sem þú vilt að notendur göngunnar nái.

Þetta eru þrjár mismunandi stefnur, og aðeins önnur og þriðja snerta VPN. Reglusett sem meðhöndlar þær sem eina erfir bilunarhátt þar sem hert forritsmörk brjóta tengingu hýsilsins hljóðlega.

Haltu þeim í aðskildum keðjum eða að minnsta kosti aðskildum athugasemdum, svo næsta manneskja sjái hvaða lína er til af hverri ástæðu.

Hvað ICMPv6 gerir fyrir hýsilinn

IPv6 treystir á ICMPv6 fyrir miklu meira en bergmál. Beiðni og tilkynning nágranna koma í stað ARP og eru nauðsynleg fyrir staðbundna afhendingu. Packet Too Big ber upplýsingar um MTU leiðarinnar, og að hunsa það veldur flutningum sem stöðvast á stórum pakkum. Tilkynningar beinis bera sjálfgefna leið og forskeytisupplýsingar þegar tengillinn notar sjálfvirka stillingu.

RFC 4890 aðgreinir þau skilaboð sem hýsilssía verður að leyfa frá þeim sem eru stjórnvaldsákvörðun, og gerir það í hýsilskafla sem er frábrugðinn reglum fyrir beini sem sendir á milli neta. Að lesa aðeins sendingarkaflann gefur inntaksstefnu sem er of ströng fyrir hýsilinn sem hún verndar.

Hagnýta reglan er að leyfa nauðsynleg villu- og stillingarskilaboð á því viðmóti sem þarf þau, afmarkað eftir gerð og uppruna þar sem pallurinn leyfir, og taka skýra ákvörðun um afganginn.

Að skipta öllu þessu út fyrir almennt ICMPv6-leyfi leysir aðgengisvandamálið og gefur síunina eftir. Að skipta því út fyrir almenna höfnun leysir síuvandamálið og gefur hýsilinn eftir.

Hleypið göngunni inn, svo þjónustunni

Takið við WireGuard-flutningnum á fyrirhuguðu ytra vistfangi og UDP-gátt, og takið við endurkvæmri umferð gegnum tengslarakningu. Leyfið svo forritsaþjónustunum gegnum viðmót göngunnar, frá þeim uppruna sem þú heimilar í raun.

Leyfi fyrir ytri UDP-gátt heimilar ekki afdulkóðuðu beiðnirnar innan hennar. Sá greinarmunur er öll ástæðan fyrir því að viðmót göngunnar kemur fram í þjónustureglunum.

Lestu reglusettið eins og það er, ekki eins og skráin lýsir því:

sudo nft list ruleset
ip -6 addr show
ip -6 route show default

Hlustandi á líkamlegu vistfangi er aðskilin útsetning frá sömu þjónustu á vistfangi göngunnar. Ef vélin sendir einnig umferð til annarrar vélar er það ákvörðun sendingarkeðjunnar en ekki þessi inntaksstefna, og hún þarf eigin rökfærslu.

Prófaðu tengilinn, ekki bara gönguna

Ganga sem virkar eftir breytinguna sannar minna en virðist, því fyrirliggjandi nágrannafærsla og uppsett tenging geta falið stjórnskilaboð sem stefnan hendir nú.

Athugaðu tenginguna beint og athugaðu svo að undanskilin leið mistakist enn:

ip -6 neigh show
ping -6 -c 3 2001:db8:1::1
sudo nft -c -f /etc/nftables.conf

Nágrannatafla sem helst fullkomin eftir endurræsingu er merkið um að uppgötvun virki enn. Tafla sem tæmist og fyllist aldrei aftur er merkið um að þú hafir síað hana út. Þriðja skipunin staðfestir setningafræði reglusettsins án þess að beita því, sem er þess virði meðan þú hefur enn lotu.

Endurheimtu hýsil sem þú læstir þig út af

Áður en þú breytir eldveggjareglum sem bera þína eigin stjórnunarlotu skaltu halda öðru rásinni: stjórnborði, raðtengingu eða tímasettri afturköllun sem fjarlægir nýju reglurnar ef þú hættir við hana.

Ef breyting læsir þig út fer endurheimtin um þá rás og ekki um netið sem þú varst að fjarlægja. Endurheimtu fyrra reglusettið úr vistuðu eintaki, staðfestu að hýsillinn sé aðgengilegur aftur og beittu þá fyrst fyrirhugaðri stefnu í minni hlutum.

Endanlega stefnan er ekki algild. Vistföng, leiðvísun og útfærsla eldveggjarins eru inntak fyrir uppsetninguna, en mörkin eru þau sömu alls staðar: synjaðu óviljandi forritsaðgangi og haldið eftir stjórnumferðinni sem ber heimilaða gönguna.