Неге DNS жауабы күйсіз VPN шекаралық фаерволында сәтсіз аяқталады

Туннель көтерілген, клиенттер VPN хостіне жете алады, бірақ хост ештеңені шеше алмайды. Оның өзінің шығыс сұраулары интерфейстен таза шығады, сондықтан ақау қайтарылатын жолда: хост жаңа ғана жібергенін есте сақтамай кіріс трафигін сүзетін жоғарғы шетте. Туннель портын рұқсат ету бұл алмасуды мүлдем сипаттамайды. DNS сұрауына жауап жеке ағын, ал егер шет күйсіз болса, оған қайтуға ешнәрсе рұқсат бермеген.

Екі алмасу — бір алмасу емес

Кортеждерді жазып қойыңыз, қате айқын болады. Сұраудың мақсатты порты жауаптың көз портына айналады, бұл 53 порты үшін кіріс ережесін қосқанда көпшілік елестететіннің тура қарсысы:

query:  203.0.113.10:53018 -> 198.51.100.53:53
reply:  198.51.100.53:53 -> 203.0.113.10:53018

Мақсатты порт 53-ті талап ететін кіріс ережесі хостта жұмыс істеп тұрған DNS тыңдаушысына арналған трафикті сипаттайды, ал бұл мүлдем басқа қызмет. Бұл мекенжайлар құжаттамалық мысалдар, ал көз портын клиент әр сұрау үшін таңдайды, сондықтан бұл ережеге көшіріп, одан әрі жұмыс істейді деп күтуге болатын мән емес.

Күйсіз шет және күйі бар хост фаерволы

Күйсіз шет сүзгісі әрбір кіріс пакетті өз ережелер тізіміне сәйкес бағалайды, артында байланыстар кестесі жоқ. Сәтті шыққан шығыс сұрау өзінің кіріс жауабы үшін ешқандай рұқсат жасамайды, себебі құрылғыда сұраудың болғаны туралы жазба жоқ. Күйі бар хост фаерволы керісінше: оның байланыс бақылауы рұқсат етілген алмасудың қайтарылатын трафигін танып, жауап үшін ережесіз өткізеді. Екі шекара да әдеттегі жолда болады, және екеуі де көзделген пакетке рұқсат беруі керек.

Салыстыру маңызды, өйткені екі құрылғы әртүрлі сәтсіздікке ұшырайды. Жауапты қабылдамайтын күйі бар фаервол түсіруді тіркейді; күйсіз шет оны үнсіз қабылдамайды, сондықтан хост жай ғана уақыт шегіне жетеді.

Рұқсатты порт нөмірі емес, протокол айналасында құрыңыз

Ережені нақты шешуші мекенжайларына, мақсатты хостқа және өнім қолдайтын қабылдау порты саясатына шектеңіз. DNS-тің TCP жолын да есте ұстаңыз, өйткені үлкен жауап немесе қысқартуға байланысты кері шегіну алмасуды TCP-ге көшіреді және тек UDP ережесі оны қамтымайды. Егер шет белгілі ағын үшін күйі бар тексеруді қолдаса, оны қолмен жазылған жауап ережесінен артық көріңіз, себебі күйі бар жол клиент таңдаған порттарды өздігінен ұстанады.

Содан кейін жолдағы қай өнім трафикті шынымен сүзетінін растаңыз. Құжатталған IPv4 шет аясы IPv6 саясатын белгілемейді, ал провайдер ішіндегі трафик сол сүзгіден мүлдем өтпеуі мүмкін.

Неге кез келген көз порты 53-ке рұқсат беру түзету емес

Көз порты 53 деп мәлімдегеннің бәрін қабылдайтын ереже — жіберуші тақырып өрісіне жазғанды қабылдайтын ереже. Порт нөмірі жіберушіні аутентификацияламайды және жүктің жарамды жауап екенін дәлелдемейді, сондықтан ереже шешуді сенімдірек етпей-ақ хосттың әсер ету аясын кеңейтеді. Қатынау тізімін оңайлату үшін оларды өшірудің орнына көз шектеулерін және клиенттің өзінің жауап тексерулерін, оның ішінде көз портын рандомизациялауды сақтаңыз.

Егер шешуші өзіңіз бақылайтын қызмет болса, оның мекенжайларымен шектеу жеткілікті. Егер ол жария шешуші болса, өзіңіз мақұлдаған мекенжайлармен шектеп, оларды ереженің түсініктемесінде жазып қойыңыз.

Дұрыс шекарада, дұрыс бағытта тексеріңіз

Бір сұрау үшін хостта және шетте түсіріп алыңыз, пакет санын емес кортеждерді салыстырыңыз. Екі жақта көрінетін, бірақ хост жағында жауабы көрінбейтін сұрау кіріс сүзгісін көрсетеді; тек хост жағында көрінетін сұрау маршруттауға немесе шешушінің өзіне көрсетеді. Тек UDP рұқсатыңыз болса, TCP сұрауымен қайталаңыз, өйткені бірінші тест көре алмайтын олқылық осы.

Мұны түзету хостқа шынымен қажет DNS алмасуын аяқтайды. Бұл хостты жария шешушіге айналдырмайды, қайта бағытталған VPN ағындарына рұқсат бермейді және DNS қандай да бір байланыссыз туннель мәселесінің себебі болды деп дәлелдемейді.