Reglur eldveggs sem gilda aðeins um NEW loka ekki öllum WAN-leiðum

Að hafna nýjum útleiðandi tengingum á WAN lítur út eins og stefna sem lokast við bilun, en er þrengri loforð en virðist. Pakkar sem tilheyra flæðum sem þegar eru til stemma ekki við hana, og mörg svör gera það ekki heldur. Þetta bil er auðvelt að missa af, því reglan er lesin eins og hún nái yfir viðmótið en ekki eitt tengingarástand á því. Og að lesa stöðusamsvörunina sem úrskurð er það sem skapar falska tilfinningu um lokun.

Staða er samsvörunarskilyrði, ekki úrskurður

Tengingarakning flokkar pakka eftir því sem eldveggurinn hefur þegar séð, ekki eftir því sem forritið trúir. Flæði sem sést í báðar áttir er stofnað, og síðari pakkar þess haldast stofnaðir jafnvel þegar leiðin undir því breytist úr göngum í venjulega uppstreymistengingu. Svar við innkomandi tengingu getur líka verið stofnuð umferð. Þessir pakkar verða aldrei nýir aftur.

Þess vegna getur regla sem takmarkast við nýjar tengingar ekki sannað að sérhver varin pakki sé lokaður. Hún lætur hin stöðurnar eftir því sem restin af reglunum gerir við þær, sem getur verið leyfi sem er sett fyrr í keðjunni.

Lestu regluna í umhverfi sínu

Breitt leyfi fyrir stofnaða og tengda umferð sem er sett fyrir lokunina hleypir pakka í gegn áður en lokunin er metin á annað borð. Að fjarlægja stöðuskilyrðið úr síðari reglu breytir því ekki, því matið nær aldrei til hennar. Röðin ræður niðurstöðunni, og stöðusamsvörunin ræður því hvaða pakkar ná þeirri röð.

Skoðaðu gildandi reglusafnið en ekki skrána sem þú breyttaðir, þar á meðal stökk í aðrar keðjur og allt sem kerfið býr til. Á leiðara sem stýrt er með iptables sýnir upptalning keðjunnar skilgreiningar reglnanna, og fylgja verður keðjunum sem hún vísar til líka. Innfætt nftables-kerfi krefst skoðunar á eigin reglusafni og forgangi króka, því fastbúnaður býr sjaldan til samhljóða keðjur.

Teljarar segja til um hvaða regla samsvaraði í raun, og þeir eru venjulega upplýsandi en pakkaskráning sem tekin er eftir ákvörðunina. Regla með núllteljara hefur ekki verið náð, hvað sem staða hennar gefur í skyn.

Tjáðu bannið óháð stöðu

Ef hópur viðskiptavina má aldrei ná internetinu utan ganganna, segðu það beint í stað þess að nálgast það með einni stöðu. Reglan verður að velja eftir uppruna, útgáfu og áfangastað án þess að ráðast af tengingarstöðu, og hún verður að standa þar sem ekkert fyrra leyfi getur farið fram hjá henni. Þá fá stjórnunaraðgangur og undantekningar staðarnetsins sín eigin skýru reglur, svo tilgangurinn sé sýnilegur í stefnunni.

Að velja reject í stað drop breytir því hvernig samsvarandi umferð bregst, og það stækkar ekki mengi pakka sem reglan velur. Hafnaðri tengingu og hljóðlátri tímamörk eru mismunandi einkenni sem benda á sama val.

Stefna sem leyfir viljandi svör við aðgangi sem hafinn er úr fjarlægð yfir WAN er verjanleg. Hana þarf bara að lýsa þannig í stað þess að kynna hana sem algjöri einangrun eingöngu gegnum göngin.

Athugaðu hverjir eru í raun í hópnum

Dæmið nær yfir framsendan IPv4-umferð frá einu forskeyti út um eitt viðmót. Það segir ekkert um IPv6, aðra uppstreymistengingu eða umferð sem leiðarinn sjálfur á upptök að. Leiðari sem starfar sem DNS-uppleysir sendir eigin uppstreymisfyrirspurnir, og þær fara alls ekki í gegnum forward-keðjuna.

Staðfestu að varðir viðskiptavinir hafi enn vistföng innan valda forskeytisins, því tæki sem flutti sig út fyrir það er beint fyrir slysni en ekki samkvæmt stefnu. Að víkka lokunina að öllu staðarnetinu án þess að fara yfir hönnun undantekninganna hefur einnig tilhneigingu til að fjarlægja þína eigin stjórnunarleið.

iptables -S FORWARD
iptables -L FORWARD -v -n
cat /proc/net/nf_conntrack | grep -c ESTABLISHED

Prófaðu svo gamalt flæði við hlið nýs. Ný tengingartilraun og þegar virk tvíátta flutningur haga sér mismunandi undir þessari reglu, og aðeins prófun beggja sýnir hvaða stefnu þú hefur í raun.