Transmission á Linux: þvinga útleið eftir eiganda ferlis

Að loka innkomandi porti Transmission er ekki VPN-stefna. Torrentbiðlari opnar útleiðartengingar við jafningja og rekara, leysir nöfn og getur opnað hlustun fyrir fjarstýringu, og hvert þessara getur farið út um viðmót sem þú hafðir ekki gert ráð fyrir. Farðu í gegnum fimm prófanirnar í röð og líttu á eldveggjarregluna, ekki stillingar biðlarans, sem mörkin. Síðustu tvær prófanirnar eru þær sem fólk sleppir, og þær ráða því hvort ábyrgðin heldur þegar göngin hverfa.

Nefndu ferlið sem á flutninginn

Skjáborðsforritið og kerfisþjónninn keyra undir mismunandi reikningum, og regla byggð á eiganda fylgir reikningnum frekar en forritsnafninu. Finndu út hvor þeirra er í gangi áður en þú skrifar nokkra reglu. Sérstakur þjónustureikningur gefur stefnunni nákvæmt viðfang, en skjáborðsnotandi deilir auðkenni sínu með vafrum, ritlum og öllu öðru í lotunni. Staðfestu UID-ið í stað þess að gera ráð fyrir að reikningsheitið úr pakkanum sé það sem er notað.

systemctl status transmission-daemon
ps -o user=,pid=,cmd= -C transmission-daemon

Ef reikningurinn er ekki til enn, búðu hann til í þessum tilgangi og gefðu honum ekkert annað að keyra. Skrifaðu reikninginn og UID-ið í athugasemd reglunnar, því regla án viðfangs er regla sem enginn getur breytt örugglega.

Aðskildu hlustunarreitina frá leiðinni

Transmission 4.x skjalfestir hlustunarheimilisföng jafningja aðskilin frá rpc-bind-address, og munurinn skiptir máli. RPC-stillingin stýrir aðeins hlustun fyrir fjarstýringu, svo að breyta henni velur enga leið fyrir jafningjaumferð. Að lesa stillingarnar tvær sem eina er algengasta ástæðan fyrir því að vandvirknisleg uppsetning lekur samt. Sama skjölun lýsir varaleið þegar hlustunarheimilisfang jafningja er ógilt, svo að óaðgengilegt heimilisfang er skjalfest varaleiðartilfelli, ekki tryggt synjun.

grep -E '"(peer-port|rpc-bind-address|bind-address-ipv4)"' /var/lib/transmission-daemon/.config/transmission-daemon/settings.json

Notaðu stýringar biðlarans fyrir það sem þær eru og settu ábyrgðina í eldvegginn. Hlustunarstilling getur enn verið þess virði að nota, en hún sannar ekki að rekara-samband, staðbundin uppgötvun eða úthlutuð uppfletting fari öll út um göngin. Þegar þær tvær greinir á er það eldveggurinn sem ræður.

Skrifaðu eigandasamsvörunina í réttu keðjuna

Netfilter-handbókin um eigandasamsvörun útskýrir hvernig staðbundin búin pakka eru rakin til notandans eða hópsins sem á sokkaskrána. Sú rakun nær ekki til áframsendrar umferðar, og samsvörun viðbótarhópa krefst skýrrar valkosts. Lestu handbókina fyrir viðbótina sem þú notar í raun frekar en fyrsta dæmið sem þú finnur.

iptables -A OUTPUT -m owner --uid-owner transmission -o tun0 -j ACCEPT
iptables -A OUTPUT -m owner --uid-owner transmission -j REJECT
ip6tables -A OUTPUT -m owner --uid-owner transmission -o tun0 -j ACCEPT
ip6tables -A OUTPUT -m owner --uid-owner transmission -j REJECT

Röðin skiptir jafn miklu máli og samsvörunin. Víðtæk samþykkt fyrr í keðjunni ógildir nákvæma synjun síðar, svo farðu yfir alla keðjuna í stað þess að bæta við reglu og vona. Láttu báðar vistfangafjölskyldur fylgja með ef hýsilinn keyrir IPv6, því stefna sem nær aðeins yfir v4 skilur eftir opna leið sem enginn fylgist með. Haltu reglunum uppsettum yfir endurræsingar bæði biðlarans og ganganna.

Ákveddu hvað gerist þegar tun0 hverfur

Bilunarstefnan er kjarni æfingarinnar. Ef göngin hverfa og sami krókur fjarlægir reglurnar er biðlaranum frjálst að nota líkamlega viðmótið þar til eitthvað annað stöðvar hann. Örugga hönnunin heldur reglunum og lætur þær synja, og það er það sem gerir mörkin óháð heilsu ganganna. Niðurrifskrókur sem eyðir líka reglunum er andstæða bilunarstefnu.

ip link show tun0
iptables -S OUTPUT

Prófaðu það viljandi: stöðvaðu göngin, byrjaðu flutning sem er öruggt að hætta við og fylgstu með hvort eitthvað fari út. Færðu göngin svo aftur og staðfestu að tilætluð leið virki á ný.

Náðu yfir leiðirnar sem reglan sér ekki

Nafnaupplausn getur verið í höndum sérstaks leysiferlis, og nafnrými eða sérhæfð gátt getur veitt önnur mörk ef deilingar- og ræsileiðir hennar eru hannaðar fyrir það. Ákveddu hvaða hluti á DNS og hvort hann fylgi sömu útleiðarreglu. Líttu svo á RPC: ef rpc-whitelist er í notkun er samþykkt stjórnunarnetið hluti samningsins, og breitt RFC1918-bil er það ekki.

ss -tunp | grep -i transmission

Viðmótsmælar geta stutt athugun, en þeir geta ekki sannað hvaða ferli framleiddi bætin. Keyrðu flutning sem þér er heimilt að hætta við: fyrst á virku leiðinni, svo án ganga við ræsingu, og þá í gegnum truflun, endurtengingu og nýbúið viðmót. Prófaðu bæði nýja tilraun og tengingu sem var þegar opin, því reglan kann að hafa ekki verið beitt á eldri sokkinn. Skráðu dagsetningu, reikning og niðurstöðu með prófuninni.

Að líma inn dæmi sem tæmir alla keðjuna skiptir einni holu fyrir nokkrar, svo bættu við reglum í stað þess að eyða þeim. Þegar allar fimm prófanirnar standast er ábyrgðin skýr: umferð biðlarans fer út um göngin eða alls ekki, og reglan sem þvingar það stenst bilun ganganna sjálfra.