SSH жана VPN кирүү эрежелери: уруксат тизмеси чындыгында эмнени башкарат

Эрежени өзгөртүүдөн мурун бир жолу туташып, кардардын илинип калабы же дароо четке кагылабы экенин белгилеңиз. Ушул эле айырма кайсы чечим пакетти түшүргөнүн айтып, саясат файлдарын окууга кетүүчү бир саатты үнөмдөйт. Жолдун калганы кыска: пакет илгичтен өтөт, эрежеге дал келет жана же угуучуга жетет, же жетпейт. Уруксат тизмеси ошол үч фактынын айланасындагы эсеп гана.

Бир SSH аракетин кирүү илгичине чейин байкаңыз

Кардар хосттун дарегине 22 порту аркылуу SYN жиберет, ал эми өзөк бул пакет жергиликтүү кызматка арналганын чечет. Эгер ошондой болсо, кирүү жолу иштейт жана эрежелер жыйнагы пакетти кабыл алат же ыргытат. Үнсүздүк SYN угуучу аны көрө электе өлгөнүн билдирет, ал эми тез баш тартуу бир нерсе кайра коюу менен жооп бергенин билдирет. Бул ар башка эрежелердин ар башка өкүмдөрү жана экөө тең мыйзамдуу натыйжа.

Андан кийин угуучуну ырастаңыз, анткени жок кызматты эч бир эреже куткарбайт. ss -ltnp иштетип, күткөн порт жана дарек үй-бүлөсүнө бир нерсе байланганын текшериңиз, анан кардарда ssh -v окуп, ал кайда токтой турганын көрүңүз.

Кайра багыттоо өзүнчө чечим

VPN серверинде кызыктуураак илгич forward, анткени кардардын трафиги машинага жеткирилбей, анын ичинен маршрутталат. Өзүнүн VPN кардарын гана иштеткен хост башкалардын пакеттерин өткөргөн хостко караганда алда канча кичине эрежелер жыйнагын талап кылат. Эки долбоорду бир машинада аралаштыруу туура көрүнгөн жана эч нерсени өткөрбөгөн эрежелерди жаратат.

Ички саясатты өзүнчө суроо катары жазыңыз: кайсы кардар даректери туннел аркылуу кайсы максаттарга жете алат. Административдик жолду, мисалы SSH, өзүнүн булак чектөөсү менен кирүү жолунда кармаңыз. Сыноо учурунда кошулган уруксаттуу forward эрежеси сыноодон узак жашаган классикалык кемчилик, ошондуктан өзгөртүүдөн кийин өңдөгөн бир сапты эмес, бүт жыйнакты карап чыгыңыз. Туннелдин угуучусун ачуу ар бир туташкан кардарга хостту башкарууга уруксат эмес.

Ыргытуу жана баш тартуу — аракеттер, саясат эмес

Базалык чынжырдын саясаты кабыл алат же ыргытат жана бул тандоолордун толук тизмеси, nftables маалымдамасы айткандай. Баш тартуу тандалган жообу бар эреже аракети катары бар, ошондуктан аны саясат катары жазуу nftables да, iptables да ийгиликсиз болот. Иш жүзүндө drop кардарга эч кандай маалымат бербейт, ал эми reject ага аракет кыла турган ката берет.

table inet admin {
    chain input {
        type filter hook input priority filter; policy drop;
        ct state established,related accept
        ip saddr 203.0.113.0/28 tcp dport 22 accept
        udp dport 51820 accept
        icmp type { destination-unreachable, time-exceeded } accept
    }
}

Бул эскизди чаптоочу файл эмес, чечимдин формасы катары окуңуз, анткени дарек диапазондору мисал. SSH портундагы ачык reject укуксуз кардарды тайм-аут күтүүнүн ордуна бир секундада ийгиликсиз кылат, бул өз оңдооңузду кыскартат. Үнсүздүк кокустан скандоону басаңдатат жана уруксат берилген колдонуучуга эч нерсе айтпайт. Ар бир кызмат боюнча тандап, себебин жазыңыз, болбосо кийинки адам аны кайра өзгөртөт.

Чындыгында керектүү башкаруу трафигин сактаңыз

Бардык ICMP протоколун блоктоо — жолдун MTU аныктоосун буза турган популярдуу демейки, ал эми симптом чоңураак пакеттерде токтоп калган байланыш. IPv6 протоколунда кошуналарды аныктоо өзүнүн ICMPv6 түрлөрүнө көз каранды, аларды ыргытуу кандайдыр бир TCP эрежеси каралганга чейин байланышты үзөт. Экөө тең жалпы уруксат катары эмес, аталган көз карандылык катары уруксат тизмесине кирет. Аныктоону үнсүз бузган саясат бир аз диагностикалык трафикке жол берген саясаттан жаман.

Өзүңүз баштаган байланыштар үчүн established жана related абалдарына уруксат бериңиз, жоопторду абалды көзөмөлдөгөн кыймылдаткычка калтырыңыз. Андан кийин жооп жолу андан ары блоктолбогонун ырастаңыз, анткени жогору жактагы чыгуучу трафикке гана коюлган чектөө хостту күнөөлөйүн деп жаткан ошол эле тайм-аутту жаратат.

Эски жолдон баш тартпас мурун калыбына келүүнү далилдеңиз

Консолдук сессияны ачык кармап, өзгөртүүнү колдонуңуз жана башка терминалдан таптакыр жаңы башкаруу байланышын ачыңыз. Бар сессия эч нерсени далилдебейт, анткени ал ар бир жаңы кирүүнү блоктогон эрежеден аман калышы мүмкүн, бул аны брандмауэр ишиндеги эң ишенимдүү жалган оң натыйжага айландырат. Эгер мониторинг системасы хостту текшерсе, биринчи эскертүүдөн кийин эмес, өзгөртүүгө чейин анын булак дарегин кошуңуз. Анан бир чоң жана бир кичине пакетти сынап, аныктоо дагы эле иштешин далилдеңиз.

VPN кызматы үчүн эч качан туташпаган кардардан кайталаңыз, анткени уланган сессия жаңы сессия келиши керек болгон абалды кайра колдонушу мүмкүн. Өткөн так эрежелер жыйнагын текшерүү суммасы же көчүрмө менен жазып алыңыз, кийинки оңдоо болжолдоо эмес, салыштырылсын. Эреже тартибин ээлеген адам менен макулдашыңыз, анткени мурунку эреже сиз кошкон эрежени үнсүз жеңет.