Reglur sem senda allar gáttir áfram geta gleypt WireGuard-hlustarann þinn

Opinbert hlið keyrir þegar WireGuard á UDP 51820, SSH á 22 og eitt forrit sem verður að vera aðgengilegt frá internetinu. Hin freistandi regla sendir hverja gátt áfram til jafningjans og segir málinu lokið. Á WireGuard-hliði getur slík regla gripið eigin flutning göngunnar og lokað þig úti frá vélinni sem lýkur henni. Útgáfa er leiðarákvörðun með undantekningu fyrir stýribraut, ekki ein DNAT-lína.

Opinber innganga eða innganga göngunnar: veldu aðra

Útgáfa þjónustu skapar nýjan inngangspunkt á internetið. Það er ekki það sama og að veita jafningja aðild að VPN, því gesturinn fer aldrei inn í gönguna og hliðið verður opinbert andlit bakendans. Sú aðgreining ræður áhorfendum reglunnar og skírteininu sem henni fylgir.

Stjórnviðmót eiga sjaldan heima á þeim stað. Stjórnsíða sem auðkenndir VPN-viðskiptavinir ná til heldur árásarflötnum inni í göngunni og kemur í veg fyrir að innskráningarform verði berskjaldað fyrir tilviljunarkenndri skönnun. Opinber forritendapunktar þurfa samt eigið TLS-skírteini, auðkenningu og hraðatakmörkun; dulkóðaða WireGuard-skrefið verndar ekki fótlegg gestarins að hliðinu.

Ef þjónustan verður sannarlega að vera opinber, skrifaðu niður hýsingarnafnið, skírteinið sem nær yfir hana og þau gestasvið sem eiga að ná henni. Þessar þrjár staðreyndir ræða lögun reglunnar og síupólitíkina síðar. Allt utan þeirra er umfangsaukning á opinberum hlustara.

Ein gátt inn, einn bakendi út

Notaðu eina opinbera gátt og eina bakendaþjónustu. Í þessu dæmi ber eth0 opinbera vistfangið 198.51.100.20, vistfang göngunnar á hliðinu er 10.200.0.1 og jafninginn keyrir forritið á 10.200.0.7. Opinbert TCP 9443 varpar á TCP 8443 jafningsins:

iptables -t nat -A PREROUTING -i eth0 -d 198.51.100.20 -p tcp --dport 9443 -j DNAT --to-destination 10.200.0.7:8443
iptables -t nat -A POSTROUTING -o wg0 -d 10.200.0.7 -p tcp --dport 8443 -m conntrack --ctorigdst 198.51.100.20 --ctorigdstport 9443 -j SNAT --to-source 10.200.0.1

SNAT-reglan passar við þýdda bakendann og upprunalega opinbera áfangastaðinn, svo önnur tenging við sömu bakendaþjónustu helst utan þessarar vörpunar. Hún felur einnig vistfang gestarins fyrir jafningnum, og það er skiptin sem gera leiðsenda endurkomu sem varðveitir uppruna að sérstakri hönnun. Viðbótarheimild iptables lýsir báðum skotmörkum og samsvörunarmöguleikum þeirra.

Enn þarf að virkja framsendingu, og síukeðjan þarf heimild fyrir þýdda áfangastaðinn og gáttina auk staðfestra svara. FORWARD-keðjan sér þýddan áfangastað eftir DNAT, svo regla sem er skrifuð gegn opinbera vistfanginu passar ekki við framsenda pakkann. Skrifaðu heimildina gegn bakenda-túplinu, ekki því opinbera.

Jafninginn verður að samþykkja þjónustutengingu frá vistfangi göngunnar á hliðinu og senda svarið til baka í gegnum gönguna. AllowedIPs hans verður að heimila upprunann sem hann fær í raun, sem við upprunaaðlögun er vistfang göngunnar á hliðinu, og breið 0.0.0.0/0 færsla á hverjum jafningi er ekki nauðsynleg fyrir þessa hönnun. Það sem sleppir endurumferðartraffík er jafningi sem sleppir því vistfangi af listanum, eða hönnun sem varðveitir uppruna og sendir vistfang gestarins sjálfs í staðinn, svo athugaðu upprunann sem jafninginn sér í raun frekar en þann sem er í reglunni þinni.

Haltu eigin hlusturum hliðsins utan reglunnar

Má skipta gáttarsamsvöruninni út fyrir reglu sem nær yfir hvern TCP- og UDP-áfangastað og eigin WireGuard-socket hliðsins fellur innan hennar. Þýðing áfangastaðar á sér stað áður en vélin ákveður að pakki sé staðbundinn, svo UDP 51820 getur endað hjá jafningnum frekar en hjá ferlinu sem heldur utan um hverja jafningjatengingu. Reglan hleðst án vandkvæða og göngin deyja, sem er erfitt að lesa sem bilun af hlið jafningsins.

SSH, eftirlitsagentar og hver önnur þjónusta á hliðinu hafa sömu áhættu. Regla sem sendir allt áfram greinir ekki stýribrautina frá hinu útgefna forriti, og fyrsta endurræsingin eftir breytinguna er þegar útlokunin verður augljós. Reglan sem nær yfir allt varar ekki við þjónustunni sem hún tekur yfir í kyrrþey. Þú uppgötvar það þegar næsta tenging mistekst.

Ef breið framsending er sannarlega nauðsynleg, taktu stýrigáttirnar frá fyrir regluna sem nær yfir allt eða notaðu sérstakt opinbert vistfang fyrir útgáfuna. Annar valkosturinn er hreinna því stýrivistfangið heldur eigin stefnu, en þjónustuveitandinn verður að afhenda það vistfang; að bæta við DNS-færslu úthlutar engu.

Breið TCP- og UDP-framsending er heldur ekki allar samskiptareglur. ICMP, IPv6, MTU-endurgjöf slóðar og ytri flutningur VPN þurfa eigin stefnu, og regla sem nær yfir TCP og UDP lætur þau tilfelli eftir sjálfgefnu keðjunni.

Veldu líkanið áður en þú skrifar reglur

Fjórar myndir ná yfir flestar útgáfur hliða, og valið fer eftir því hversu mörgum þjónustum þú heldur úti og hversu mikilli áhættu stýribrautar þú þolir. Taflan hér að neðan raðar þeim frá þröngustu til breiðustu.

Byrjaðu á þrönga líkaninu jafnvel þótt þú búist við fleiri þjónustum síðar. Það er auðveldast að endurskoða, og að breyta safni þröngra reglna í yfirfarið allt-nær-reglu er einfaldara en að komast að því hvaða hlustara breið regla greip. Hvaða líkan sem þú velur, haltu reglunum hjá eiganda eldveggjarins. Að beita iptables-línum við hlið UFW- eða nftables-stillingar sem stýrir sömu keðjum framleiðir stefnu sem breytist eftir röð ræsingar.

Sannaðu bæði útgáfuna og stýribrautina

Prófaðu frá auðkenndum utanaðkomandi biðlara með samþykktu hýsingarnafni og skírteini sem gildir fyrir það. Staðfestu hvaða bakendi svaraði, athugaðu svo að ótengdar opinberar gáttir séu áfram synjaðar. Óvirkt skírteinisathugun er ekki staðið HTTPS-próf, og tenging sem nær rangri bakenda er verri en misheppnuð.

Eftir það skaltu staðfesta hliðið sjálft: tengdu WireGuard-jafning, opnaðu SSH-lotu og staðfestu að eftirlitið skili enn skýrslum. Útgefna þjónustan getur virkað á meðan stýribrautin er brotin, svo báðar athuganir eiga heima í sama breytingaglugga. Endurræstu einu sinni til að sanna að reglurnar séu settar aftur í væntanlegri röð, fjarlægðu svo útgáfuna og staðfestu að fjarlægingin passi við viðbótina. Mikið safn ræsingarviðbóta með ófullkominni hreinsun er hvernig tímabundið próf verður varanleg opnun.