WireGuard-ды коргоо үчүн IPv6-ны бөгөттөө хостту бузат

Максат акылга сыярлык: бул машинадагы кызматтарга туннелдин колдонуучулары гана жетиши керек. Адамдар көбүнчө WireGuardдан башкасын таштаган IPv6 кирүү чынжырын тандашат, ал эми бул хостту өз байланышында кармап турган трафикти да таштайт. Кошуналарды табуу жана жолду тейлөө билдирүүлөрү кызматка кирүү эмес, аларды алып салуу сиздин саясатыңызга тиешеси жок себептер менен жеткиликсиз машина жаратат. Туннел көтөрүлөт, кызматтар туура чектелген, ал эми байланышта башка эч нерсе иштебейт.

Үч жоопкерчилик, бир эреже жыйнагы

Биринчи жоопкерчилик — сырткы тармактын иши: хост өз байланышында калышы, кошуналарды чечиши жана ошол байланыштын жол чектерин билиши керек. Экинчиси — тандалган дарек жана портто UDP кабыл алган шифрленген угуучу. Үчүнчүсү — туннелдин колдонуучулары жетиши керек болгон шифри ачылган кызматтардын жыйнагы.

Булар үч башка саясат, жана VPNга экинчиси менен үчүнчүсү гана тиешелүү. Аларды бир деп караган эреже жыйнагы колдонмо чегин кысуу хосттун туташуусун унчукпай буза турган бузулуу режимин мураска алат.

Аларды өзүнчө чынжырларда же жок дегенде өзүнчө комментарийлерде кармаңыз, кийинки адам кайсы сап эмне үчүн бар экенин көрсүн.

ICMPv6 хост үчүн эмне кылат

IPv6 жаңыртмадан алда канча көп нерсе үчүн ICMPv6га таянат. Кошуна суроосу жана билдирүүсү ARPнын ордун басат жана жергиликтүү жеткирүү үчүн керек. Packet Too Big жолдун MTU маалыматын алып жүрөт, аны этибарга албоо чоң пакеттерде токтоп калган өткөрүүлөрдү жаратат. Байланыш автоматтык конфигурацияны колдонгондо роутер билдирүүлөрү демейки маршрутту жана префикс маалыматын алып жүрөт.

RFC 4890 хост фильтри милдеттүү түрдө уруксат бериши керек билдирүүлөрдү административдик тандоо болгон билдирүүлөрдөн ажыратат, жана муну тармактардын ортосунда өткөргөн роутердин эрежелеринен башка хост бөлүмүндө жасайт. Өткөрүү бөлүмүн гана окуу корголгон хост үчүн өтө катуу кирүү саясатын берет.

Практикалык эреже — керектүү интерфейсте маанилүү ката жана конфигурация билдирүүлөрүнө жол берүү, платформа уруксат берген жерде түрү жана булагы боюнча чектөө жана калганы боюнча так чечим кабыл алуу.

Мунун баарын жалпы ICMPv6 уруксаты менен алмаштыруу жеткиликтүүлүк маселесин чечет да, фильтрлөөдөн баш тартат. Аны жалпы таштоо менен алмаштыруу фильтрлөө маселесин чечет да, хосттон баш тартат.

Алгач туннелди өткөрүңүз, анан кызматты

WireGuard транспортун көздөлгөн сырткы даректе жана UDP портунда кабыл алыңыз, ал эми кайтарылган трафикти туташууларды көзөмөлдөө аркылуу кабыл алыңыз. Анан колдонмо кызматтарын туннелдин интерфейси аркылуу, чынында ыйгарым укук берген булактардан өткөрүңүз.

Сырткы UDP портуна уруксат анын ичиндеги шифри ачылган суроолорго ыйгарым укук бербейт. Ушул айырма кызмат эрежелеринде туннелдин интерфейсинин пайда болушунун бүткүл себеби.

Эреже жыйнагын файл сүрөттөгөндөй эмес, чындыгында кандай болсо ошондой окуңуз:

sudo nft list ruleset
ip -6 addr show
ip -6 route show default

Физикалык даректеги угуучу туннелдин дарегиндеги ошол эле кызматтын өзүнчө ачылышы. Эгер машина трафикти башка машинага да өткөрсө, бул бул кирүү саясаты эмес, өткөрүү чынжырынын чечими жана өзүнүн негиздемесин талап кылат.

Байланышты сынаңыз, туннелди гана эмес

Өзгөртүүдөн кийин иштеген туннел көрүнгөндөн азыраак нерсени далилдейт, анткени бар кошуна жазуусу жана түзүлгөн туташуу саясат азыр таштап жаткан көзөмөл билдирүүсүн жашыра алат.

Туташууну түз текшериңиз, анан четтетилген жол дагы эле ишке ашпай жатканын текшериңиз:

ip -6 neigh show
ping -6 -c 3 2001:db8:1::1
sudo nft -c -f /etc/nftables.conf

Кайра жүктөөдөн кийин да кошуналар таблицасы толук калса, табуу дагы эле иштеп жатканынын белгиси. Бошоп, кайра толбой турган таблица аны фильтрлеп салганыңыздын белгиси. Үчүнчү буйрук эреже жыйнагынын синтаксисин колдонбой эле текшерет, муну сессия бар кезде жасаган жөн.

Өзүңүздү кулпулап калтырган хостту калыбына келтириңиз

Өзүңүздүн административдик сессияңызды алып жүргөн фаервол эрежелерин өзгөртүүдөн мурун экинчи каналды кармаңыз: консоль, сериялык туташуу же жокко чыгарбасаңыз жаңы эрежелерди алып салган пландалган кайтаруу.

Эгер өзгөртүү чынында кулпулап калтырса, калыбына келтирүү ошол канал аркылуу болот, жаңы эле алып салган тармак аркылуу эмес. Мурунку эреже жыйнагын сакталган көчүрмөдөн калыбына келтириңиз, хост кайра жеткиликтүү экенин ырастаңыз, анан гана көздөлгөн саясатты кичине бөлүктөр менен колдонуңуз.

Акыркы саясат универсалдуу эмес. Даректөө, маршруттоо жана фаерволду ишке ашыруу жайгаштыруунун кирүү маалыматтары, бирок чек бардык жерде бирдей: ыйгарым укук берилген туннелди алып жүргөн көзөмөл трафигин сактап, көздөлбөгөн колдонмо кирүүсүнөн баш тартыңыз.