Тек NEW үшін жасалған брандмауэр ережелері WAN-ның барлық жолын жаппайды

WAN-да жаңа шығыс қосылымдарын қабылдамау сәтсіздік кезінде жабылатын саясатқа ұқсайды, бірақ көрінгеннен тар уәде. Бұрыннан бар ағындарға тиесілі пакеттер оған сәйкес келмейді, көптеген жауап та келмейді. Бұл алшақтықты байқамау оңай, өйткені ереже интерфейсті қамтитын сияқты оқылады, ал оның үстіндегі бір қосылым күйін емес. Ал күй сәйкестігін үкім ретінде оқу жабықтықтың жалған сезімін тудырады.

Күй — сәйкестік шарты, үкім емес

Қосылымды бақылау пакеттерді брандмауэрдің бұрын көргеніне қарай жіктейді, қолданба сенетін нәрсеге қарай емес. Екі бағытта байқалған ағын орныққан болып саналады және оның кейінгі пакеттері орныққан күйде қалады, тіпті астындағы маршрут туннельден қарапайым жоғары арнаға ауысса да. Кіріс қосылымына берілген жауап та орныққан трафик болуы мүмкін. Бұл пакеттер ешқашан қайтадан жаңа болмайды.

Сондықтан тек жаңа қосылымдарға шектелген ереже әрбір қорғалған пакеттің бұғатталғанын дәлелдей алмайды. Ол қалған күйлерді ережелер жиынтығының қалғаны олармен не істейтініне қалдырады, бұл тізбекте ертерек қойылған рұқсат болуы мүмкін.

Ережені оның айналасымен бірге оқыңыз

Бұғаттаудан бұрын қойылған орныққан және байланысты трафикке арналған кең рұқсат пакетті бұғаттау бағаланбай тұрып өткізеді. Кейінгі ережеден күй шартын алып тастау мұны өзгертпейді, өйткені бағалау оған ешқашан жетпейді. Нәтижені рет анықтайды, ал қай пакеттердің сол ретке жететінін күй сәйкестігі анықтайды.

Өңдеген файлды емес, қолданыстағы ережелер жиынтығын тексеріңіз, оның ішінде басқа тізбектерге секірулер мен платформа жасайтынның бәрі. iptables-пен басқарылатын маршрутизаторда тізбекті тізімдеу ережелердің анықтамаларын көрсетеді, ал ол сілтеме жасайтын тізбектерді де қадағалау керек. Табиғи nftables жүйесі өз ережелер жиынтығы мен ілмек басымдықтарын тексеруді талап етеді, өйткені прошивка бірдей тізбектерді сирек жасайды.

Санауыштар қай ереженің шын мәнінде сәйкес келгенін көрсетеді және әдетте шешімнен кейін алынған пакет түсірілімінен гөрі ақпараттырақ. Санауышы нөл ережеге жетпеген, оның орны қандай болжам жасаса да.

Тыйымды күйден тәуелсіз жеткізіңіз

Егер клиенттер тобы туннельден тыс интернетке ешқашан жетпеуі керек болса, оны бір күймен жуықтаудың орнына тікелей айтыңыз. Ереже қосылым күйіне тәуелді болмай, көзге, шығысқа және тағайындалуға қарай таңдауы керек және ешқандай бұрынғы рұқсат оны айналып өте алмайтын жерде тұруы керек. Сонда басқару қатынауы мен жергілікті желі ерекшеліктері өздерінің айқын ережелерін алады, сондықтан ниет саясатта көрінеді.

drop орнына reject таңдау сәйкес келген трафиктің қалай сәтсіз болатынын өзгертеді және ереже таңдайтын пакеттер жиынын кеңейтпейді. Қабылданбаған қосылым мен үнсіз күту мерзімі бір таңдауға нұсқайтын әртүрлі белгілер.

WAN арқылы қашықтан басталған қатынауға жауаптарға әдейі рұқсат беретін саясат қорғауға лайық. Оны тек туннель арқылы толық оқшаулау ретінде ұсынудың орнына дәл солай сипаттау керек.

Топтың ішінде шын мәнінде кім бар екенін тексеріңіз

Мысал бір интерфейстен бір префикстің қайта бағытталған IPv4 трафигін қамтиды. Ол IPv6, екінші жоғары арна немесе маршрутизатордың өзі жасайтын трафик туралы ештеңе айтпайды. DNS шешушісі ретінде әрекет ететін маршрутизатор өзінің жоғары сұрауларын жібереді және олар forward тізбегінен мүлде өтпейді.

Қорғалған клиенттердің таңдалған префикс ішінде әлі мекенжайлары бар екеніне көз жеткізіңіз, өйткені одан тысқары шыққан құрылғы саясат бойынша емес, кездейсоқ тікелей болып тұр. Ерекшеліктер құрылымын қарастырмай бұғаттауды бүкіл LAN-ға кеңейту де өз әкімшілік жолыңызды жояды.

iptables -S FORWARD
iptables -L FORWARD -v -n
cat /proc/net/nf_conntrack | grep -c ESTABLISHED

Содан кейін ескі ағынды жаңасының қасында сынап көріңіз. Жаңа қосылым әрекеті мен әлдеқашан белсенді екіжақты тасымал бұл ереже бойынша басқаша әрекет етеді және екеуін де сынағанда ғана қандай саясат бар екені көрінеді.