Hvernig læsa á útstreymi Linux svo ekkert leki þegar VPN dettur

Ímyndaðu þér miðilskassa á heimaneti sem á aðeins að ná internetinu í gegnum göng. Þegar göngin detta á forritið að stöðvast í stað þess að halda hljóðlega áfram yfir líkamlega tengið. Að fá þessa hegðun er vandamál eldveggjar en ekki leiðslu, og greinarmunurinn skiptir máli því hægt er að skipta um leið með endurræsingu þjónsins á meðan sía heldur sér þar sem þú settir hana. Hér á eftir kemur hvernig slóð pakkans ákveður í raun og veru, og svo hvernig á að afmarka undantekningarnar sem halda göngunum endurtengdum.

Staðbundið úttak er önnur krókur en framsending

Pakki sem fer frá forriti á vélinni fer í gegnum úttakskrókinn; pakki sem vélin leiðir fyrir annan hýsil fer í gegnum framsendingu. Stefna sem nefnir aðeins forward takmarkar seinni hlutann og skilur þann fyrri algjörlega opinn, og þess vegna virðast svo margar úttakslæsingar réttar og gera ekki neitt. Tengjamat á við sömu reglu: oifname "tun0" accept hleypir í gegn umferð sem þegar hefur verið leidd í gegnum göngin. Leiðsla og síun haldast líka aðskildar ákvarðanir, svo leið út á net getur verið til á meðan sían hafnar pakkanum. Á þessari aðgreiningu treystir þú.

Gátt sem framsendir fyrir önnur tæki þarf báða krókana. Að læsa aðeins úttakinu verndar vélina sjálfa og skilur hvern biðlara neðar eftir frjálsan til að leka.

Skrifaðu undantekningalistann frá endapunktinum og út

Byrjaðu á endapunkti ganganna: eitt áfangastaðarfang eða lítill samþykktur hópur, flutningssamskiptareglur og áfangastaðarhöfn, til dæmis udp dport 1194 ip daddr 203.0.113.7 accept. Ef biðlarinn leysir hýsilnafn þarf upphafsskipti DNS sína eigin reglu sem takmarkast við leysinn og við höfn 53, ekki almennt leyfi fyrir fang leysisins. Hver undantekning ætti að nefna ástæðuna fyrir tilvist sinni. Leyfi fyrir alla UDP-umferð til VPN-hafnarinnar nær yfir miklu meira en þá einu sannvottu þjónustu sem þú hafðir í huga.

Upphafsleysingin er þar sem læsingar skemmast venjulega. Fangasafn sem er endurnýjað með tímamæli þarf skilgreinda hegðun þegar endurnýjunin mistekst, og sú hegðun getur ekki verið að opna tenginguna þar til hún tekst. Endurnýjaðu í gegnum göngin á meðan þau standa, og fallið annars aftur á síðasta þekkta heilbrigða endapunkt.

Staðbundin stjórnun þarf sömu meðferð. Stjórnunarnet er ekki áreiðanlegt af því að fang þess eru einkasvæði, og regla sem treystir því býður annan slóð fram hjá læsingunni.

Tengjamat er ekki sönnun um heilbrigð göng

Reglur sem samþykkja allt sem fer út af tun0 gera ráð fyrir að pakki á því tengi hafi komið úr göngunum. Tengjanöfn eru endursköpuð og nafn er ekki dulritunarleg auðkenni. Mótaðilinn getur líka verið farinn á meðan tengið stendur, sem gerir regluna mjög sannfærandi aðgerðaleysi.

Tengingarakning bætir við skyldri gildru. Víð regla fyrir uppsettar tengingar endurspilar leyfið sem flæði fékk fyrr, svo lota sem hófst áður en göngin féllu heldur áfram eftir það. Takmarkaðu stöðubundið samþykki við þau tengi og fang sem þú átt virkilega við, annars hefur þú byggt læsingu sem opnar sig sjálf. Inntaks- og úttaksreglur svara líka mismunandi spurningum, og að herða aðra á meðan hinni er sleppt skilur vélina aðgengilega í þá átt sem þú hugsaðir ekki um.

Hvað lifir af hrun þjónsins

Sía sem skrifta setur upp og keyrir eftir að göngin fara upp hverfur með göngunum, nákvæmlega á þeirri stundu sem hennar var þörf. Hlaðið læsingunni við ræsingu og látið þjóninn stjórna aðeins undantekningum sínum.

Að eyða sjálfgefinni leið er heldur ekki staðgengill. Leiðin er staða sem þjóninn á og endurskrifar, og að fjarlægja hana getur tekið slóðina sem þarf til að tengjast aftur. IPv6 þarf sína eigin áætlun, því uppgötvun nágranna og tilkynningar leiðar eru tengiþjónustur sem verða að halda áfram að virka á meðan venjuleg umferð er lokuð. DHCP fellur í sama flokk. Skrifaðu þetta sem undantekningar með tilgangi, í stað þess að uppgötva þær síðar sem stöðvanir.

Endurheimtarslóð fyrir uppsetningu

Prófaðu læsinguna eins og hún muni bregðast: ræsing án ganga, drepa þjóninn, breyta endapunktinum og tengjast aftur. Hvert tilvik ætti að stöðva forritin og skilja endurheimtarslóðina eftir í lagi. Gerðu það frá skjáhermi, því fjarskiptaskelin er lotan sem líklegust er til að læsast út af þinni eigin reglu.

Athugaðu síðan hvað venjulegt forrit nær enn, með meinlausum áfangastað og beiðni sem þú getur sannreynt. Niðurstaðan sem þú vilt er höfnun á tengingunni og árangur í gegnum göngin, ekki tvíræður tímarok sem gæti þýtt hvort tveggja. Haltu reglusafninu undir sama eiganda og restinni af eldveggnum í stað þess að skipta um alla töfluna úr skeljarskriftu. Stefna þar sem hvert leyfi getur réttlætt sig er meira virði en löng reglusafn sem enginn getur útskýrt.