NEW гана үчүн брандмауэр эрежелери WANдын бардык жолун жаппайт

WANда жаңы чыгуучу байланыштарды четке кагуу ийгиликсиздикте жабылуучу саясатка окшош, бирок көрүнгөндөн тар убада. Мурунтан бар агымдарга тиешелүү пакеттер ага туура келбейт, көп жооптор да келбейт. Бул ажырымды байкабай калуу оңой, анткени эреже интерфейсти камтыгандай окулат, анын үстүндөгү бир байланыш абалын эмес. Ал эми абал шайкештигин өкүм катары окуу жабыктыктын жалган сезимин жаратат.

Абал — шайкештик шарты, өкүм эмес

Байланышты көзөмөлдөө пакеттерди брандмауэр мурун көргөнү боюнча классификациялайт, колдонмо эмнеге ишенгени боюнча эмес. Эки багытта байкалган агым орногон болуп эсептелинет жана анын кийинки пакеттери орногон бойдон калат, ал тургай астындагы маршрут туннелден кадимки жогорку линияга өзгөрсө да. Кирүүчү байланышка берилген жооп да орногон трафик болушу мүмкүн. Ал пакеттер эч качан кайра жаңы болбойт.

Ошондуктан жаңы байланыштарга гана чектелген эреже ар бир корголгон пакет тыюу салынган деп далилдей албайт. Ал калган абалдарды эрежелер жыйындысынын калганы алар менен эмне кылаарына калтырат, бул тизмекте эртерек коюлган уруксат болушу мүмкүн.

Эрежени анын айланасы менен окуңуз

Тыюудан мурун коюлган орногон жана байланыштуу трафикке кең уруксат пакетти тыюу баалана электе өткөрүп жиберет. Кийинки эрежеден абал шартын алып салуу муну өзгөртпөйт, анткени баалоо ага эч качан жетпейт. Жыйынтыкты тартип чечет, ал эми кайсы пакеттер ошол тартипке жетээрин абал шайкештиги чечет.

Түзөткөн файлды эмес, күчүндө турган эрежелер жыйындысын текшериңиз, анын ичинде башка тизмектерге секирүүлөр жана платформа жараткандын баары. iptables менен башкарылган маршрутизатордо тизмекти тизмелөө эрежелердин аныктамаларын көрсөтөт, жана ал шилтеме кылган тизмектерди да ээрчүү керек. Табигый nftables системасы өз эрежелер жыйындысын жана илгич приоритеттерин текшерүүнү талап кылат, анткени прошивка бирдей тизмектерди сейрек жаратат.

Эсептегичтер кайсы эреже иш жүзүндө шайкеш келгенин айтып турат жана адатта чечимден кийин алынган пакет жазуусунан кыйла маалыматтуу. Эсептегичи нөл болгон эрежеге жетилген эмес, анын орду эмнени болжолдосо да.

Тыюуну абалдан көз карандысыз билдириңиз

Эгер клиенттер тобу туннелден тышкаркы интернетке эч качан жетпеши керек болсо, аны бир абал менен болжолдоонун ордуна түз айтыңыз. Эреже байланыш абалына көз каранды болбой булак, чыгуу жана багыт боюнча тандашы керек жана эч бир мурунку уруксат аны айланып өтө албаган жерде турушу керек. Ошондо башкаруу кирүүсү жана жергиликтүү тармактын өзгөчөлүктөрү өздөрүнүн айкын эрежелерин алышат, ошентип ниет саясатта көрүнөт.

drop ордуна reject тандоо шайкеш трафиктин кантип ийгиликсиз болорун өзгөртөт жана эреже тандаган пакеттер жыйындысын кеңейтпейт. Четке кагылган байланыш жана үнсүз күтүү мөөнөтү бир эле тандоого багыттаган ар башка белгилер.

WAN аркылуу алыстан башталган кирүүгө жоопторго атайын жол берген саясат коргоого татыктуу. Аны туннел аркылуу гана толук обочолонуу катары берүүнүн ордуна ушундайча сүрөттөө керек.

Топтун ичинде чындыгында ким бар экенин текшериңиз

Мисал бир интерфейстен бир префиктин багытталган IPv4 трафигин камтыйт. Ал IPv6, экинчи жогорку линия же маршрутизатор өзү жараткан трафик жөнүндө эч нерсе айтпайт. DNS чечүүчү катары иштеген маршрутизатор өзүнүн жогорку сурамдарын жөнөтөт жана алар forward тизмегинен такыр өтпөйт.

Корголгон клиенттердин тандалган префикстин ичинде дагы дареги бар экенин ырастаңыз, анткени андан сыртка чыккан түзмөк саясат боюнча эмес, кокустан түз байланышта. Өзгөчөлүктөрдүн долбоорун карабастан тыюуну бүт LANга кеңейтүү да өзүңүздүн административдик жолуңузду жоготот.

iptables -S FORWARD
iptables -L FORWARD -v -n
cat /proc/net/nf_conntrack | grep -c ESTABLISHED

Андан кийин эски агымды жаңысынын жанында сынап көрүңүз. Жаңы байланыш аракети жана мурунтан активдүү эки тараптуу өткөрүү бул эреженин астында башкача жүрүшөт жана экөөнү тең сынаганда гана кандай саясат бар экени көрүнөт.