IPv6 blockéieren, fir WireGuard ze sécheren, brécht den Host

D’Zil ass vernünfteg: nëmmen Tunnel-Benotzer sollen d’Servicer op dëser Maschinn erreechen. D’Ëmsetzung, déi een ergräift, ass eng IPv6-Input-Kette, déi alles ausser WireGuard verwerft, an domat och de Verkéier, deen den Host u sengem eegene Link hält. D’Noper-Erkennung an d’Messagë fir d’Path-Pflee sinn keen Zougang zu Servicer, an hire Weehuwe mécht eng Maschinn, déi aus Grënn onereechbar ass, déi näischt mat Ärer Politik ze dinn hunn. Den Tunnel geet erop, d’Servicer si richteg ofgegrenzt, an näischt anescht um Link funktionéiert.

Dräi Responsabilitéiten, eng Regelsammlung

Déi éischt Responsabilitéit ass den Ëmgank mam baussenzege Netz: den Host muss um Link bleiwen, Nopere léisen an d’Path-Grenzen vun deem Link kennen. Déi zweet ass de verschlësselte Lauschterer, deen UDP op der Adress a beim Port unhëlt, déi Dir gewielt hutt. Déi drëtt ass d’Garnitur vun entschlësselte Servicer, déi d’Tunnel-Benotzer sollen erreechen.

Dat sinn dräi verschidde Politiken, an nëmmen déi zweet an déi drëtt betreffen d’VPN. Eng Regelsammlung, déi se als eng behandelt, ierft e Feëlermodus, an deem d’Verschäerfe vun der Applikatiounsgrenz d’Host-Canuelung stëll brécht.

Halt se an separate Ketten oder op d’mannst separate Kommentaren, sou datt déi nächst Persoun gesäit, wéi eng Zeil aus wéi engem Grond existéiert.

Wat ICMPv6 fir den Host mécht

IPv6 verloosst sech op ICMPv6 fir vill méi wéi Echo. Noper-Ufro an -Annonce ersetzen ARP a si fir déi lokal Liwwerung néideg. Packet Too Big dréit d’MTU-Informatioun vum Path, an et z’ignoréieren ergëtt Iwwerdroungen, déi bei grousse Pakete stoe bleiwen. Router-Annoncen dréien de Standard-Wee an d’Präfix-Informatioun, wann de Link automatesch Konfiguratioun benotzt.

RFC 4890 trennt d’Messagë vun deenen, déi eng administrativ Wiel sinn, an dat an engem Host-Abschnitt, deen anescht ass wéi d’Regele fir en Router, deen tëscht Netze viruleet. Nëmmen den Iwwerlee-Abschnitt ze liese gëtt eng Input-Politik, déi fir den Host ze streng ass, deen se schützt.

D’praktesch Regel ass, déi wesentlech Feeler- a Konfiguratiounsmessagë op der Interface zouzeloossen, déi se brauch, begrenzt no Typ a Quell wou d’Plattform et erlaabt, a fir de Rescht eng explizit Decisioun ze huelen.

All dat duerch eng allgemeng ICMPv6-Erlaabnis z’ersetzen léist d’Verfügbarkeetsproblem a gëtt d’Filteren op. Et duerch eng allgemeng Verwerfung z’ersetzen léist d’Filterproblem a gëtt den Host op.

Loos den Tunnel duerch, dann de Service

Acceptéier den WireGuard-Transport op der virgesinnener baussenzeger Adress an um UDP-Port, an acceptéier de Retourverkéier iwwer Connection Tracking. Da loos d’Applikatiounsservicer duerch d’Tunnel-Interface, vun de Quelle fir déi Dir wierklech Autorisatioun gitt.

Eng Erlaabnis fir den baussenzegen UDP-Port autoriséiert net d’entschlësselt Ufroen doranner. Dee grueje Punkt an där Ënnerscheedung ass de ganzen Grond, firwat d’Tunnel-Interface an de Serviceregele steet.

Lies d’Regelsammlung sou wéi se ass, net sou wéi d’Datei se beschreift:

sudo nft list ruleset
ip -6 addr show
ip -6 route show default

E Lauschterer op enger physescher Adress ass eng separat Belaaschtung vum selwechte Service op der Tunneladress. Wann d’Maschinn och Verkéier op eng aner Maschinn viruleet, ass dat eng Decisioun vun der Viruleet-Kette an net dës Input-Politik, an se brauch hir eege Begrënnung.

Test de Link, net nëmmen den Tunnel

En Tunnel, deen no der Ännerung funktionéiert, beweise manner wéi et ausgesäit, well en existéierenden Noper-Andrag an eng etabléiert Verbindung eng Kontrollmessag verstoppe kënnen, déi d’Politik elo verwërft.

Préif d’Canuelung direkt, an dann préif, datt dee ausgeschlossene Wee nach ëmmer feelt:

ip -6 neigh show
ping -6 -c 3 2001:db8:1::1
sudo nft -c -f /etc/nftables.conf

Eng Noper-Tabell, déi no engem Neistart komplett bleift, ass d’Zeeche, datt d’Erkennung nach funktionéiert. Eng Tabell, déi eidel leeft an ni méi voll gëtt, ass d’Zeeche, datt Dir se erausgefiltert hutt. Den drëtten Kommando validéiert d’Syntax vun der Regelsammlung, ouni se unzewenden, wat sech lount, soulaang Dir nach eng Sitzung hutt.

Stell en Host erëm hier, aus deem Dir Iech ausgespaart hutt

Ier Dir Firewall-Regele ännert, déi Är eege Administratiounssitzung dréien, halt en zweeten Kanal: eng Konsole, eng seriell Verbindung oder en geplangten Zréckzuch, deen déi nei Regele läscht, wann Dir en net annuléiert.

Wann eng Ännerung Iech wierklech ausspaart, geet d’Reparatur iwwer deen Kanal an net iwwer d’Netz, dat Dir just ewechgeholl hutt. Stell d’viregt Regelsammlung aus enger gespäicherter Kopie erëm hier, bestäteg, datt den Host nees erreechbar ass, a wend dann erscht déi virgesinn Politik a méi klengen Deeler un.

Déi definitiv Politik ass net universell. Adresséierung, Routing an d’Ëmsetzung vun der Firewall sinn Inpute fir den Asaz, awer d’Grenz ass iwwerall déi selwecht: Verweiger ongewollten Applikatiounszougang a behalt de Kontrollverkéier, deen den autoriséierten Tunnel dréit.