IPv6-ის დაბლოკვა WireGuard-ის დასაცავად ჰოსტს ამტვრევს

მიზანი გონივრულია: ამ მანქანის სერვისებზე მხოლოდ გვირაბის მომხმარებლები უნდა მივიდნენ. გადაწყვეტა, რომელსაც ხალხი ირჩევს, არის IPv6-ის შემავალი ჯაჭვი, რომელიც WireGuard-ის გარდა ყველაფერს ყრის, და ეს მოძრაობასაც ყრის, რომელიც ჰოსტს საკუთარ ბმულზე აკავშირებს. მეზობლების აღმოჩენა და ბილიკის მოვლის შეტყობინებები სერვისზე წვდომა არ არის, და მათი მოშორება ქმნის მანქანას, რომელიც მიუწვდომელია თქვენი პოლიტიკისგან დამოუკიდებელი მიზეზებით. გვირაბი ადის, სერვისები სწორად შემოიფარგლა და ბმულზე სხვა არაფერი მუშაობს.

სამი პასუხისმგებლობა, ერთი წესების ნაკრები

პირველი პასუხისმგებლობა გარე ქსელის მუშაობაა: ჰოსტი უნდა დარჩეს თავის ბმულზე, ამოხსნას მეზობლები და ისწავლოს ამ ბმულის ბილიკის საზღვრები. მეორე დაშიფრული მსმენელია, რომელიც UDP-ს იღებს თქვენ მიერ არჩეულ მისამართსა და პორტზე. მესამე გაშიფრული სერვისების ნაკრებია, სადაც გსურთ გვირაბის მომხმარებლები მივიდნენ.

ეს სამი სხვადასხვა პოლიტიკაა და VPN-ს მხოლოდ მეორე და მესამე ეხება. წესების ნაკრები, რომელიც მათ ერთად განიხილავს, მემკვიდრეობით იღებს მარცხის რეჟიმს, სადაც აპლიკაციის საზღვრის გამკაცრება ჩუმად ამტვრევს ჰოსტის მიერთებას.

შეინახეთ ისინი ცალკე ჯაჭვებში ან სულ მცირე ცალკე კომენტარებში, რომ შემდეგმა ადამიანმა დაინახოს, რომელი ხაზი რისთვისაა.

რას აკეთებს ICMPv6 ჰოსტისთვის

IPv6 გაცილებით მეტისთვის ეყრდნობა ICMPv6-ს, ვიდრე ექოსთვის. მეზობლის მოთხოვნა და გამოცხადება ARP-ს ცვლის და ლოკალური მიწოდებისთვის აუცილებელია. Packet Too Big ბილიკის MTU ინფორმაციას ატარებს და მისი იგნორირება იწვევს გადაცემებს, რომლებიც დიდ პაკეტებზე ჩერდება. როუტერის გამოცხადებები ნაგულისხმევ მარშრუტსა და პრეფიქსის ინფორმაციას ატარებს, როცა ბმული ავტომატურ კონფიგურაციას იყენებს.

RFC 4890 ჰოსტის ფილტრმა სავალდებულოდ დასაშვები შეტყობინებები გამოყოფს ადმინისტრაციული არჩევანის შეტყობინებებისგან, და ამას აკეთებს ჰოსტის განყოფილებაში, რომელიც ქსელებს შორის გამტარებელი როუტერის წესებისგან განსხვავდება. მხოლოდ გამტარების განყოფილების წაკითხვა იძლევა შემავალ პოლიტიკას, რომელიც დაცული ჰოსტისთვის ზედმეტად მკაცრია.

პრაქტიკული წესია დაუშვათ არსებითი შეცდომისა და კონფიგურაციის შეტყობინებები იმ ინტერფეისზე, რომელსაც ისინი სჭირდება, ტიპისა და წყაროს მიხედვით შეზღუდული იქ, სადაც პლატფორმა იძლევა საშუალებას, და მკაფიო გადაწყვეტილება მიიღოთ დანარჩენზე.

ამ ყველაფრის ყოვლისმომცველი ICMPv6-ის ნებართვით ჩანაცვლება ხსნის ხელმისაწვდომობის პრობლემას და თმობს ფილტრაციას. მისი ყოვლისმომცველი ჩაგდებით ჩანაცვლება ხსნის ფილტრაციის პრობლემას და თმობს ჰოსტს.

ჯერ გვირაბი გაუშვით, შემდეგ სერვისი

მიიღეთ WireGuard-ის ტრანსპორტი განკუთვნილ გარე მისამართსა და UDP პორტზე, ხოლო დაბრუნების მოძრაობა კავშირების თვალთვალით. შემდეგ დაუშვით აპლიკაციის სერვისები გვირაბის ინტერფეისით, იმ წყაროებიდან, რომლებსაც ნამდვილად ნებას რთავთ.

გარე UDP პორტის ნებართვა არ ანიჭებს უფლებას მის შიგნით არსებულ გაშიფრულ მოთხოვნებს. სწორედ ეს განსხვავებაა გვირაბის ინტერფეისის სერვისის წესებში გამოჩენის მთელი მიზეზი.

წაიკითხეთ წესების ნაკრები ისე, როგორც არის, და არა ისე, როგორც ფაილი აღწერს:

sudo nft list ruleset
ip -6 addr show
ip -6 route show default

მსმენელი ფიზიკურ მისამართზე ცალკე გამოვლენაა იმავე სერვისისა გვირაბის მისამართზე. თუ მანქანა მოძრაობას სხვა მანქანაზეც გადასცემს, ეს გამტარების ჯაჭვის გადაწყვეტილებაა და არა ეს შემავალი პოლიტიკა, და მას საკუთარი დასაბუთება სჭირდება.

გამოსცადეთ ბმული, და არა მხოლოდ გვირაბი

ცვლილების შემდეგ მომუშავე გვირაბი იმაზე ნაკლებს ამტკიცებს, ვიდრე ჩანს, რადგან არსებულმა მეზობლის ჩანაწერმა და დამყარებულმა კავშირმა შეიძლება დამალოს საკონტროლო შეტყობინება, რომელსაც პოლიტიკა ახლა ყრის.

შეამოწმეთ მიერთება პირდაპირ, შემდეგ შეამოწმეთ, რომ გამოკვეთილი ბილიკი კვლავ ვერ მუშაობს:

ip -6 neigh show
ping -6 -c 3 2001:db8:1::1
sudo nft -c -f /etc/nftables.conf

მეზობლების ცხრილი, რომელიც გადატვირთვის შემდეგ სრული რჩება, ნიშანია, რომ აღმოჩენა კვლავ მუშაობს. ცხრილი, რომელიც ცარიელდება და აღარ ივსება, ნიშანია, რომ თქვენ გაფილტრეთ იგი. მესამე ბრძანება ამოწმებს წესების ნაკრების სინტაქსს მისი გამოყენების გარეშე, რაც ღირს გაკეთდეს მაშინ, სანამ სესია გაქვთ.

აღადგინეთ ჰოსტი, რომლიდანაც თავი გარეთ ჩაკეტეთ

სანამ შეცვლით ფაირვოლის წესებს, რომლებიც თქვენს ადმინისტრაციულ სესიას ატარებს, შეინახეთ მეორე არხი: კონსოლი, სერიული კავშირი ან დაგეგმილი უკუქცევა, რომელიც ახალ წესებს შლის, თუ არ გააუქმებთ.

თუ ცვლილება მართლაც გაკეტებთ გარეთ, აღდგენა ამ არხით ხდება და არა იმ ქსელით, რომელიც ახლახან მოხსენით. აღადგინეთ წინა წესების ნაკრები შენახული ასლიდან, დაადასტურეთ, რომ ჰოსტი კვლავ ხელმისაწვდომია, და მხოლოდ ამის შემდეგ გამოიყენეთ განკუთვნილი პოლიტიკა პატარა ნაჭრებად.

საბოლოო პოლიტიკა უნივერსალური არ არის. მისამართები, მარშრუტიზაცია და ფაირვოლის განხორციელება განთავსების შემავალი მონაცემებია, მაგრამ საზღვარი ყველგან ერთია: უარყავით განზრახ არასასურველი აპლიკაციის წვდომა და შეინარჩუნეთ საკონტროლო მოძრაობა, რომელიც ნებადართულ გვირაბს ატარებს.