WireGuard-ты қорғау үшін IPv6-ны блоктау хостты бұзады

Мақсат орынды: бұл машинадағы қызметтерге тек туннель пайдаланушылары жетуі керек. Адамдар жиі қолданатын шешім — WireGuard-тан басқасын бәрін тастайтын IPv6 кіру тізбегі, ол хостты өз байланысында ұстап тұратын трафикті де тастайды. Көршілерді табу мен жолды қолдау хабарлары қызметке қатынас емес, оларды жою саясатыңызға қатысы жоқ себептермен қолжетімсіз машина жасайды. Туннель көтеріледі, қызметтер дұрыс шектелген, ал байланыста басқа ештеңе жұмыс істемейді.

Үш жауапкершілік, бір ереже жиынтығы

Бірінші жауапкершілік — сыртқы желінің жұмысы: хост өз байланысында қалуы, көршілерді шешуі және сол байланыстың жол шектерін білуі керек. Екіншісі — таңдаған мекенжай мен портта UDP қабылдайтын шифрланған тыңдаушы. Үшіншісі — туннель пайдаланушылары жетуі тиіс шифры ашылған қызметтер жиынтығы.

Бұл үш түрлі саясат, ал VPN-ға тек екіншісі мен үшіншісі қатысты. Оларды бір деп қарайтын ереже жиынтығы қолданба шекарасын қатайту хосттың қосылымын байқатпай бұзатын ақау режимін мұралайды.

Оларды бөлек тізбектерде немесе кемінде бөлек түсініктемелерде ұстаңыз, сонда келесі адам қай жолдың не үшін бар екенін көреді.

ICMPv6 хост үшін не істейді

IPv6 жаңғырықтан әлдеқайда көп нәрсе үшін ICMPv6-ға сүйенеді. Көрші сұрауы мен хабарламасы ARP-ны алмастырады және жергілікті жеткізу үшін қажет. Packet Too Big жолдың MTU ақпаратын тасымалдайды, оны елемеу үлкен пакеттерде тоқтап қалатын берілімдер тудырады. Байланыс автоматты конфигурацияны қолданғанда маршрутизатор хабарламалары әдепкі маршрут пен префикс ақпаратын тасымалдайды.

RFC 4890 хост сүзгісі міндетті түрде рұқсат етуі керек хабарларды әкімшілік таңдау болып табылатындардан ажыратады және мұны желілер арасында жіберетін маршрутизатор ережелерінен өзгеше хост бөлімінде жасайды. Тек жіберу бөлімін оқу қорғалатын хост үшін тым қатал кіру саясатын береді.

Практикалық ереже — қажетті интерфейсте маңызды қате және конфигурация хабарларын рұқсат ету, платформа рұқсат еткен жерде түрі мен көзі бойынша шектеу және қалғаны туралы нақты шешім қабылдау.

Мұның бәрін жалпы ICMPv6 рұқсатымен алмастыру қолжетімділік мәселесін шешеді де, сүзгілеуден бас тартады. Оны жалпы тастаумен алмастыру сүзгілеу мәселесін шешеді де, хосттан бас тартады.

Алдымен туннельді жіберіңіз, содан кейін қызметті

WireGuard тасымалын көзделген сыртқы мекенжай мен UDP портында қабылдаңыз, ал қайтарылатын трафикті қосылымды бақылау арқылы қабылдаңыз. Содан кейін қолданба қызметтерін туннель интерфейсі арқылы, шынымен рұқсат берген көздерден өткізіңіз.

Сыртқы UDP портына рұқсат оның ішіндегі шифры ашылған сұрауларға рұқсат бермейді. Дәл осы айырмашылық қызмет ережелерінде туннель интерфейсінің көрінуінің бүкіл себебі.

Ереже жиынтығын файл сипаттағандай емес, шын мәнінде қандай болса солай оқыңыз:

sudo nft list ruleset
ip -6 addr show
ip -6 route show default

Физикалық мекенжайдағы тыңдаушы туннель мекенжайындағы сол қызметтің бөлек әсерленуі. Егер машина трафикті басқа машинаға да жіберсе, бұл осы кіру саясаты емес, жіберу тізбегінің шешімі және өз негіздемесін қажет етеді.

Байланысты сынаңыз, тек туннельді емес

Өзгерістерден кейін жұмыс істеп тұрған туннель көрінгеннен аз дәлелдейді, өйткені бар көрші жазбасы мен орнатылған қосылым саясат енді тастайтын бақылау хабарын жасыра алады.

Қосылымды тікелей тексеріңіз, содан кейін шығарылған жолдың әлі де сәтсіз екенін тексеріңіз:

ip -6 neigh show
ping -6 -c 3 2001:db8:1::1
sudo nft -c -f /etc/nftables.conf

Қайта жүктеуден кейін толық қалатын көршілер кестесі табудың әлі жұмыс істеп тұрғанының белгісі. Босап, қайта толмайтын кесте оны сүзіп тастағаныңыздың белгісі. Үшінші команда ереже жиынтығының синтаксисін қолданбастан тексереді, мұны сессия бар кезде жасаған жөн.

Өзіңізді құлыптап қалған хостты қалпына келтіріңіз

Өз әкімшілік сессияңызды тасымалдайтын фаервол ережелерін өзгерту алдында екінші арна ұстаңыз: консоль, сериялық қосылым немесе болдырмасаңыз жаңа ережелерді жоятын жоспарланған қайтару.

Егер өзгеріс шынымен құлыптап қалса, қалпына келтіру сол арна арқылы жүреді, жаңа ғана жойған желі арқылы емес. Алдыңғы ереже жиынтығын сақталған көшірмеден қалпына келтіріңіз, хосттың қайта қолжетімді екенін растаңыз, содан кейін ғана көзделген саясатты кішірек бөліктермен қолданыңыз.

Соңғы саясат әмбебап емес. Мекенжайлау, маршруттау және фаерволды жүзеге асыру орналастыру кірістері, бірақ шекара барлық жерде бірдей: рұқсат етілген туннельді тасымалдайтын бақылау трафигін сақтай отырып, қаламаған қолданба қатынасынан бас тартыңыз.