WireGuard ಸುರಕ್ಷಿತಗೊಳಿಸಲು IPv6 ನಿರ್ಬಂಧಿಸುವುದು ಹೋಸ್ಟ್ ಅನ್ನು ಮುರಿಯುತ್ತದೆ

ಗುರಿ ಸಮಂಜಸವಾಗಿದೆ: ಈ ಯಂತ್ರದ ಸೇವೆಗಳನ್ನು ತಲುಪಬೇಕಾದದ್ದು ಸುರಂಗ ಬಳಕೆದಾರರಷ್ಟೇ. ಜನರು ಆಶ್ರಯಿಸುವ ಅನುಷ್ಠಾನವೆಂದರೆ WireGuard ಹೊರತುಪಡಿಸಿ ಎಲ್ಲವನ್ನೂ ಬಿಡುವ IPv6 ಇನ್‌ಪುಟ್ ಸರಪಳಿ, ಮತ್ತು ಅದು ಹೋಸ್ಟ್ ಅನ್ನು ತನ್ನದೇ ಲಿಂಕ್‌ಗೆ ಜೋಡಿಸಿಡುವ ಸಂಚಾರವನ್ನೂ ಬಿಡುತ್ತದೆ. ನೆರೆಯ ಪತ್ತೆ ಮತ್ತು ಮಾರ್ಗ ನಿರ್ವಹಣಾ ಸಂದೇಶಗಳು ಸೇವಾ ಪ್ರವೇಶವಲ್ಲ, ಮತ್ತು ಅವನ್ನು ತೆಗೆದರೆ ನಿಮ್ಮ ನೀತಿಗೆ ಸಂಬಂಧವಿಲ್ಲದ ಕಾರಣಗಳಿಗಾಗಿ ತಲುಪಲಾಗದ ಯಂತ್ರ ಸಿಗುತ್ತದೆ. ಸುರಂಗ ಏರುತ್ತದೆ, ಸೇವೆಗಳು ಸರಿಯಾಗಿ ಸೀಮಿತವಾಗಿವೆ, ಮತ್ತು ಲಿಂಕ್‌ನಲ್ಲಿ ಬೇರೆ ಯಾವುದೂ ಕೆಲಸ ಮಾಡುವುದಿಲ್ಲ.

ಮೂರು ಜವಾಬ್ದಾರಿಗಳು, ಒಂದು ನಿಯಮ ಸಂಗ್ರಹ

ಮೊದಲ ಜವಾಬ್ದಾರಿ ಹೊರಗಿನ ಜಾಲದ ಕಾರ್ಯಾಚರಣೆ: ಹೋಸ್ಟ್ ತನ್ನ ಲಿಂಕ್‌ನಲ್ಲೇ ಇರಬೇಕು, ನೆರೆಗಳನ್ನು ಪರಿಹರಿಸಬೇಕು ಮತ್ತು ಆ ಲಿಂಕ್‌ನ ಮಾರ್ಗ ಮಿತಿಗಳನ್ನು ತಿಳಿಯಬೇಕು. ಎರಡನೆಯದು ಗುಪ್ತಲಿಖಿತ ಆಲಿಸುವಿಕೆ, ಅದು ನೀವು ಆಯ್ಕೆ ಮಾಡಿದ ವಿಳಾಸ ಮತ್ತು ಪೋರ್ಟ್‌ನಲ್ಲಿ UDP ಸ್ವೀಕರಿಸುತ್ತದೆ. ಮೂರನೆಯದು ನೀವು ಸುರಂಗ ಬಳಕೆದಾರರು ತಲುಪಬೇಕೆಂದು ಬಯಸುವ ಡೀಕ್ರಿಪ್ಟ್ ಆದ ಸೇವೆಗಳ ಗುಂಪು.

ಇವು ಮೂರು ಬೇರೆ ಬೇರೆ ನೀತಿಗಳು, ಮತ್ತು ಎರಡನೆಯ ಹಾಗೂ ಮೂರನೆಯದು ಮಾತ್ರ VPNಗೆ ಸಂಬಂಧಿಸಿವೆ. ಇವನ್ನು ಒಂದೆಂದು ಪರಿಗಣಿಸುವ ನಿಯಮ ಸಂಗ್ರಹವು, ಅನ್ವಯಿಕೆಯ ಗಡಿಯನ್ನು ಬಿಗಿಗೊಳಿಸುವುದು ಹೋಸ್ಟ್‌ನ ಸಂಪರ್ಕವನ್ನು ಮೌನವಾಗಿ ಮುರಿಯುವ ವೈಫಲ್ಯ ವಿಧಾನವನ್ನು ಆನುವಂಶಿಕವಾಗಿ ಪಡೆಯುತ್ತದೆ.

ಅವನ್ನು ಬೇರೆ ಸರಪಳಿಗಳಲ್ಲಿ ಅಥವಾ ಕನಿಷ್ಠ ಬೇರೆ ಟಿಪ್ಪಣಿಗಳಲ್ಲಿ ಇರಿಸಿ, ಮುಂದಿನ ವ್ಯಕ್ತಿಗೆ ಯಾವ ಸಾಲು ಯಾವ ಕಾರಣಕ್ಕಾಗಿ ಇದೆ ಎಂದು ತಿಳಿಯಲು.

ICMPv6 ಹೋಸ್ಟ್‌ಗಾಗಿ ಏನು ಮಾಡುತ್ತದೆ

IPv6 ಪ್ರತಿಧ್ವನಿಗಿಂತ ಹೆಚ್ಚಿನದಕ್ಕಾಗಿ ICMPv6 ಅನ್ನು ಅವಲಂಬಿಸಿದೆ. ನೆರೆ ವಿನಂತಿ ಮತ್ತು ಘೋಷಣೆ ARP ಬದಲಿಗೆ ಬರುತ್ತವೆ ಮತ್ತು ಸ್ಥಳೀಯ ತಲುಪಿಸುವಿಕೆಗೆ ಅಗತ್ಯ. Packet Too Big ಮಾರ್ಗ MTU ಮಾಹಿತಿ ಒಯ್ಯುತ್ತದೆ, ಅದನ್ನು ನಿರ್ಲಕ್ಷಿಸಿದರೆ ದೊಡ್ಡ ಪ್ಯಾಕೆಟ್‌ಗಳಲ್ಲಿ ನಿಲ್ಲುವ ವರ್ಗಾವಣೆಗಳಾಗುತ್ತವೆ. ಲಿಂಕ್ ಸ್ವಯಂ ಸಂರಚನೆ ಬಳಸಿದಾಗ ರೌಟರ್ ಘೋಷಣೆಗಳು ಡೀಫಾಲ್ಟ್ ಮಾರ್ಗ ಮತ್ತು ಪೂರ್ವಪ್ರತ್ಯಯ ಮಾಹಿತಿ ಒಯ್ಯುತ್ತವೆ.

RFC 4890 ಹೋಸ್ಟ್ ಫಿಲ್ಟರ್ ಕಡ್ಡಾಯವಾಗಿ ಅನುಮತಿಸಬೇಕಾದ ಸಂದೇಶಗಳನ್ನು ಆಡಳಿತಾತ್ಮಕ ಆಯ್ಕೆಯ ಸಂದೇಶಗಳಿಂದ ಬೇರ್ಪಡಿಸುತ್ತದೆ, ಮತ್ತು ಅದನ್ನು ಜಾಲಗಳ ನಡುವೆ ರವಾನಿಸುವ ರೌಟರ್‌ನ ನಿಯಮಗಳಿಗಿಂತ ಭಿನ್ನವಾದ ಹೋಸ್ಟ್ ವಿಭಾಗದಲ್ಲಿ ಮಾಡುತ್ತದೆ. ರವಾನೆ ವಿಭಾಗವನ್ನು ಮಾತ್ರ ಓದಿದರೆ ಅದು ರಕ್ಷಿಸುವ ಹೋಸ್ಟ್‌ಗೆ ತೀರ ಕಟ್ಟುನಿಟ್ಟಾದ ಇನ್‌ಪುಟ್ ನೀತಿ ಸಿಗುತ್ತದೆ.

ಪ್ರಾಯೋಗಿಕ ನಿಯಮವೆಂದರೆ ಅಗತ್ಯವಿರುವ ಇಂಟರ್‌ಫೇಸ್‌ನಲ್ಲಿ ಮುಖ್ಯ ದೋಷ ಮತ್ತು ಸಂರಚನಾ ಸಂದೇಶಗಳನ್ನು ಅನುಮತಿಸುವುದು, ವೇದಿಕೆ ಅನುಮತಿಸಿದಲ್ಲಿ ಪ್ರಕಾರ ಮತ್ತು ಮೂಲದಿಂದ ಮಿತಿಗೊಳಿಸುವುದು, ಮತ್ತು ಉಳಿದವುಗಳ ಬಗ್ಗೆ ಸ್ಪಷ್ಟ ನಿರ್ಣಯ ತೆಗೆದುಕೊಳ್ಳುವುದು.

ಇವೆಲ್ಲವನ್ನೂ ಸಾರ್ವತ್ರಿಕ ICMPv6 ಅನುಮತಿಯಿಂದ ಬದಲಿಸಿದರೆ ಲಭ್ಯತೆಯ ಸಮಸ್ಯೆ ಪರಿಹಾರವಾಗುತ್ತದೆ, ಆದರೆ ಫಿಲ್ಟರಿಂಗ್ ಬಿಟ್ಟುಕೊಡುತ್ತದೆ. ಅದನ್ನು ಸಾರ್ವತ್ರಿಕ ಬಿಡುವಿಕೆಯಿಂದ ಬದಲಿಸಿದರೆ ಫಿಲ್ಟರಿಂಗ್ ಸಮಸ್ಯೆ ಪರಿಹಾರವಾಗುತ್ತದೆ, ಆದರೆ ಹೋಸ್ಟ್ ಬಿಟ್ಟುಕೊಡುತ್ತದೆ.

ಮೊದಲು ಸುರಂಗಕ್ಕೆ, ನಂತರ ಸೇವೆಗೆ ಅನುಮತಿ

ಉದ್ದೇಶಿತ ಹೊರಗಿನ ವಿಳಾಸ ಮತ್ತು UDP ಪೋರ್ಟ್‌ನಲ್ಲಿ WireGuard ಸಾಗಣೆಯನ್ನು ಸ್ವೀಕರಿಸಿ, ಮತ್ತು ಸಂಪರ್ಕ ಟ್ರ್ಯಾಕಿಂಗ್ ಮೂಲಕ ಹಿಂತಿರುಗುವ ಸಂಚಾರ ಸ್ವೀಕರಿಸಿ. ನಂತರ ಸುರಂಗ ಇಂಟರ್‌ಫೇಸ್ ಮೂಲಕ ಅನ್ವಯಿಕೆ ಸೇವೆಗಳಿಗೆ ಅನುಮತಿ ನೀಡಿ, ನೀವು ನಿಜವಾಗಿ ಅಧಿಕಾರ ನೀಡುವ ಮೂಲಗಳಿಂದ.

ಹೊರಗಿನ UDP ಪೋರ್ಟ್‌ನ ಅನುಮತಿ ಅದರೊಳಗಿನ ಡೀಕ್ರಿಪ್ಟ್ ಆದ ವಿನಂತಿಗಳಿಗೆ ಅಧಿಕಾರ ನೀಡುವುದಿಲ್ಲ. ಈ ವ್ಯತ್ಯಾಸವೇ ಸೇವಾ ನಿಯಮಗಳಲ್ಲಿ ಸುರಂಗ ಇಂಟರ್‌ಫೇಸ್ ಕಾಣಿಸಿಕೊಳ್ಳುವ ಸಂಪೂರ್ಣ ಕಾರಣ.

ಫೈಲ್ ವಿವರಿಸುವಂತೆ ಅಲ್ಲ, ನಿಯಮ ಸಂಗ್ರಹ ಇರುವಂತೆಯೇ ಓದಿ:

sudo nft list ruleset
ip -6 addr show
ip -6 route show default

ಭೌತಿಕ ವಿಳಾಸದಲ್ಲಿನ ಆಲಿಸುವಿಕೆ ಸುರಂಗ ವಿಳಾಸದ ಅದೇ ಸೇವೆಯಿಂದ ಪ್ರತ್ಯೇಕ ಒಡ್ಡುವಿಕೆ. ಯಂತ್ರವು ಇನ್ನೊಂದು ಯಂತ್ರಕ್ಕೂ ಸಂಚಾರ ರವಾನಿಸಿದರೆ, ಅದು ಈ ಇನ್‌ಪುಟ್ ನೀತಿಯಲ್ಲ, ರವಾನೆ ಸರಪಳಿಯ ನಿರ್ಣಯ, ಮತ್ತು ಅದಕ್ಕೆ ತನ್ನದೇ ಸಮರ್ಥನೆ ಬೇಕು.

ಸುರಂಗವಲ್ಲ, ಲಿಂಕ್ ಅನ್ನು ಪರೀಕ್ಷಿಸಿ

ಬದಲಾವಣೆಯ ನಂತರ ಕೆಲಸ ಮಾಡುವ ಸುರಂಗ ಕಾಣುವುದಕ್ಕಿಂತ ಕಡಿಮೆ ಸಾಬೀತು ಮಾಡುತ್ತದೆ, ಏಕೆಂದರೆ ಇರುವ ನೆರೆ ನಮೂದು ಮತ್ತು ಸ್ಥಾಪಿತ ಸಂಪರ್ಕವು ನೀತಿ ಈಗ ಬಿಡುತ್ತಿರುವ ನಿಯಂತ್ರಣ ಸಂದೇಶವನ್ನು ಮರೆಮಾಡಬಹುದು.

ಸಂಪರ್ಕವನ್ನು ನೇರವಾಗಿ ಪರಿಶೀಲಿಸಿ, ನಂತರ ಹೊರಗಿಟ್ಟ ಮಾರ್ಗ ಇನ್ನೂ ವಿಫಲವಾಗುತ್ತದೆಯೇ ಎಂದು ಪರಿಶೀಲಿಸಿ:

ip -6 neigh show
ping -6 -c 3 2001:db8:1::1
sudo nft -c -f /etc/nftables.conf

ಮರುಬೂಟ್ ನಂತರವೂ ನೆರೆ ಕೋಷ್ಟಕ ಪೂರ್ಣವಾಗಿ ಉಳಿದರೆ ಪತ್ತೆ ಇನ್ನೂ ಕೆಲಸ ಮಾಡುತ್ತಿದೆ ಎಂಬ ಸೂಚನೆ. ಖಾಲಿಯಾಗಿ ಮತ್ತೆ ಎಂದೂ ತುಂಬದ ಕೋಷ್ಟಕ ನೀವು ಅದನ್ನು ಫಿಲ್ಟರ್ ಮಾಡಿದ್ದೀರಿ ಎಂಬ ಸೂಚನೆ. ಮೂರನೇ ಆದೇಶ ನಿಯಮ ಸಂಗ್ರಹವನ್ನು ಅನ್ವಯಿಸದೆ ಅದರ ವಾಕ್ಯರಚನೆ ಪರಿಶೀಲಿಸುತ್ತದೆ, ಸೆಷನ್ ಇರುವಾಗಲೇ ಮಾಡುವುದು ಒಳ್ಳೆಯದು.

ನೀವು ಹೊರಗೆ ಬೀಗ ಹಾಕಿಕೊಂಡ ಹೋಸ್ಟ್ ಮರುಪಡೆಯಿರಿ

ನಿಮ್ಮದೇ ಆಡಳಿತ ಸೆಷನ್ ಒಯ್ಯುವ ಫೈರ್‌ವಾಲ್ ನಿಯಮಗಳನ್ನು ಬದಲಿಸುವ ಮೊದಲು ಎರಡನೇ ಮಾರ್ಗ ಇಟ್ಟುಕೊಳ್ಳಿ: ಕನ್ಸೋಲ್, ಸೀರಿಯಲ್ ಸಂಪರ್ಕ, ಅಥವಾ ರದ್ದು ಮಾಡದಿದ್ದರೆ ಹೊಸ ನಿಯಮಗಳನ್ನು ತೆಗೆಯುವ ನಿಗದಿತ ಹಿಂತಿರುಗಿಸುವಿಕೆ.

ಬದಲಾವಣೆ ನಿಜವಾಗಿ ಹೊರಗೆ ಬೀಗ ಹಾಕಿದರೆ, ಮರುಪಡೆಯುವಿಕೆ ಆ ಮಾರ್ಗದ ಮೂಲಕವೇ, ನೀವು ಈಗಷ್ಟೇ ತೆಗೆದ ಜಾಲದ ಮೂಲಕವಲ್ಲ. ಉಳಿಸಿದ ಪ್ರತಿಯಿಂದ ಹಿಂದಿನ ನಿಯಮ ಸಂಗ್ರಹ ಮರುಸ್ಥಾಪಿಸಿ, ಹೋಸ್ಟ್ ಮತ್ತೆ ತಲುಪಲಾಗುತ್ತದೆ ಎಂದು ಖಚಿತಪಡಿಸಿ, ಆಮೇಲೆ ಮಾತ್ರ ಉದ್ದೇಶಿತ ನೀತಿಯನ್ನು ಸಣ್ಣ ಭಾಗಗಳಲ್ಲಿ ಅನ್ವಯಿಸಿ.

ಅಂತಿಮ ನೀತಿ ಸಾರ್ವತ್ರಿಕವಲ್ಲ. ವಿಳಾಸ, ರೂಟಿಂಗ್ ಮತ್ತು ಫೈರ್‌ವಾಲ್ ಅನುಷ್ಠಾನ ನಿಯೋಜನೆಯ ಇನ್‌ಪುಟ್‌ಗಳು, ಆದರೆ ಗಡಿ ಎಲ್ಲೆಡೆ ಒಂದೇ: ಅಧಿಕೃತ ಸುರಂಗ ಒಯ್ಯುವ ನಿಯಂತ್ರಣ ಸಂಚಾರ ಉಳಿಸಿಕೊಂಡು ಅನುದ್ದೇಶಿತ ಅನ್ವಯಿಕೆ ಪ್ರವೇಶ ನಿರಾಕರಿಸಿ.