Неге үй NAT-ы VPN интерфейсін қорғамайды
Үй роутері туннельді жібереді, бірақ хост шифры шешілген пакетті бағалайды. Тыңдаушыны, ішкі жолды және кіру саясатын бөлек оқыңыз.
Үй роутерінің артында порттарды бағыттаусыз тұрған ноутбуктер VPN арқылы келетін SSH қосылыстарын әлі де қабылдайды. Бұл қайшылық емес, өйткені екі түрлі құрылғы екі түрлі пакетті бағалайды. Роутер шифрланған тасымалды жібереді, ал хост өзінің туннель интерфейсіне жеткен шифры шешілген пакетпен не істеу керегін шешеді. Осы екі шешімді бөлек ұстау — бүкіл жаттығу.
Роутер туннельді жібереді, хост пакетті бағалайды
Бірде-бір ережені қарамас бұрын қашықтағы көзден қызметке дейінгі жолды сызыңыз. Сыртқы бөлік — роутер мен шлюз басқаратын VPN тасымалы. Ішкі бөлік шеткі нүкте туннель қабатын алып тастағанда және хост өз VPN мекенжайына бағытталған пакетті алғанда басталады.
Осы екі бөлікті біріктірсеңіз, роутер хост қабылдайтын шешім үшін кредит алады. Порттарды бағыттау беті немесе роутер журналы тек сыртқы әңгімелерді сипаттайды және ешқайсысы хост қандай шифры шешілген трафикті қабылдайтынын айтпайды. Хост ішкі пакетке өз кіру саясатын қолданады, интерфейске келетін кез келген пакетке қолданғаны сияқты. Әсер ету мәселесі дәл осы саясатта шешіледі.
Орнын басушы тыңдаушы — жария қызмет емес
Linux-та INADDR_ANY мекенжайына байланысу әрбір жергілікті мекенжайды білдіреді, сондықтан қызмет ешқашан атамаған туннель интерфейсінде жауап бере алады. IP сокетінің анықтамасы осы байланысуды сипаттайды және тыңдаушылар тізімінен қорытынды жасамас бұрын оны оқыған жөн. Орнын басушы жазба — сокет туралы факт, қолжетімділік туралы мәлімдеме емес.
Төмендегі екі жол — бір қызметтің екі түрлі байланысуы, ал айырмашылық интерфейстің маңызды ма деген сұрақтың толық жауабы. Ең алдымен сокеттің қай мекенжайда тұрғанын оқыңыз.
ss -lntp "sport = :22"
LISTEN 0 4096 0.0.0.0:22 0.0.0.0:* users:(("sshd",pid=812,fd=3))
LISTEN 0 4096 10.8.0.6:22 0.0.0.0:* users:(("sshd",pid=812,fd=4))Портқа жетуі мүмкін реттеуді атаңыз
Үш реттеу пакетті сол интерфейске қояды және олардың иелері әртүрлі. Дұрысын атау кімнің саясатты өзгертуі керегін шешеді.
| Arrangement | What reaches the port | Where the decision lives |
|---|---|---|
| Another permitted VPN peer | A packet from the same tunnel subnet | Gateway forwarding policy and host input rules |
| A deliberate public forward | Traffic the gateway publishes on purpose | Gateway service definition |
| A subnet routed behind the gateway | Client traffic from the far side | Gateway route and host input rules |
Жария шығу мекенжайын көрсететін браузер нәтижесі үшеуінің ешқайсысы туралы ештеңе айтпайды, өйткені ол шығатын трафиктің қалай шығатынын сипаттайды, кіретін трафикке не рұқсат етілгенін емес. Оның орнына тыңдаушыдан және қызмет журналындағы көз мекенжайынан кейін қарай жұмыс істеңіз. Егер көз басқа туннель серіктесі болса, шлюз саясаты — қызықты құжат. Егер ол аударылған мекенжай болса, ережені өзгерту алдында аударманы табыңыз.
Қызметті ойлаған жолыңызбен шектеңіз
Егер SSH тек басқару жолынан қажет болса, сол жолды көз ауқымы және интерфейс ретінде жазыңыз. Содан кейін хосттың кіру ережелерін желі атауы бойынша емес, интерфейс, тағайындалу және көз бойынша шектеңіз, өйткені жеке болып көрінетін атау кез келген мекенжайды білдіруі мүмкін. Келесі мәселені шешетін адамға маршрут қалдырыңыз.
nft add rule inet filter input iifname "tun0" ip saddr 10.8.0.0/24 tcp dport 22 accept
nft list chain inet filter inputТуннель интерфейсі мен басқару ауқымын атайтын ереже ниетті бір жерде білдіреді. Оны Wi-Fi желісі үшін жазылған ережемен салыстырыңыз, ол шифры шешілген туннель трафигі туралы ештеңе айтпайды. Екі қабат келіспесе, пакет кездесетін саясат — хост саясаты.
Кірулер мен патчтарды дәл орнында қалдырыңыз; портқа жету оны пайдалануға рұқсат алумен ешқашан бірдей болмаған. Кез келген бейтаныс көз үшін мекенжай тобын және уақытты жазып алыңыз және қандай да бір мүмкіндікті немесе осалдықты кінәламас бұрын зерттеңіз. Әрбір туннель серіктесін қабылдайтын ереже басқару ішкі желісін қабылдайтыннан өзгеше дизайн, және ешбір журнал жолы қайсысы ойластырылғанын айтпайды.
Түзетуді бір сәттілік және бір бас тартумен қабылдаңыз
Екі жартысын дәлелдеңіз: бір рұқсат етілген қосылым сәтті болады, ал бір шығарылған жол бас тартылады. Бас тарту — адамдар өткізіп жіберетін жарты, және ереженің рұқсат беруші әдепкі мәннің жанында тұрмай, жұмыс істеп жатқанын көрсететін де сол. Бұл туралы ой қорытудың орнына шығарылған жақтан сынап көріңіз.
Жұпты қайта қосылғаннан кейін қайталаңыз, өйткені басқа интерфейс атауымен қайтатын туннель ескіге шектелген ережені байқатпай айналып өтуі мүмкін. Маңызды шекара — хост нақты алатын пакеттерге қолданатын шекара.