Wéi een den Ausgang vu Linux spärrt, sou datt näischt leckt wann d'VPN fält

Stellt Iech eng Mediabox op enger Heemverbindung vir, déi nëmmen duerch en Tunnel an den Internet soll kommen. Wann den Tunnel fält, soll d'Applikatioun stoen an net roueg iwwer déi physesch Schnëttstell weiderlafen. Dëst Verhalen ze kréien ass e Firewall- a kee Routingproblem, an den Ënnerscheed ass wichteg, well eng Route ka vun engem Neistart vum Daemon ersat ginn, wärend e Filter do bleift, wou een en hinnerlooss huet. Duerno geet et drëm, wéi de Paketswee tatsächlech decidéiert, an dann, wéi d'Ausnamen ze begränze sinn, déi den Tunnel erëm verbanne loossen.

Lokalen Ausgang ass en aneren Haken wéi d'Weiderleeden

E Pak, deen eng Applikatioun op der Maschinn verléisst, geet duerch den Ausgangshaken; e Pak, deen d'Maschinn fir en aneren Host routet, geet duerch d'Weiderleeden. Eng Politik, déi nëmmen forward nennt, begränzt déi zweet a léisst déi éischt wäit op, an dofir gesinn esou vill Ausgangsspären richteg aus a maachen näischt. D'Interface-Matching gehéiert an déiselwecht Regel: oifname "tun0" accept léisst Trafic duerch, dee schonn duerch den Tunnel geroutet gouf. Routing a Filterung bleiwen och getrennte Entscheedungen, sou datt eng Uplink-Route ka bestoen, während de Filter de Pak refuséiert. Op déi Trennung verloosst Dir Iech.

En Gateway, deen fir aner Apparater weiderleet, brauch béid Haken. Nëmmen den Ausgang spärren schützt d'Maschinn selwer an léisst all Client ënnendrënner fräi ze lecken.

Schreift d'Ausnamlëscht vum Endpunkt no baussen

Fänkt beim Endpunkt vum Tunnel un: eng Destinatiounsadress oder eng kleng genehmegt Grupp, den Transportprotokoll an den Destinatiounsport, zum Beispill udp dport 1194 ip daddr 203.0.113.7 accept. Wann de Client en Hostnumm opléist, brauch den initialen DNS-Austausch seng eege Regel, begränzt op den Resolver an op Port 53, net eng allgemeng Erlaabnes fir d'Adress vun deem Resolver. All Ausnam soll de Grond nennen, firwat se existéiert. Eng Erlaabnes fir all UDP-Trafic op den VPN-Port deckt vill méi wéi déi eenzeg authentifizéiert Déngschtleeschtung, déi Dir am Kapp hat.

Déi initial Opléisung ass de Punkt, wou Spären normalerweis verrotten. Eng Adressgrupp, déi mat engem Timer aktualiséiert gëtt, brauch definéiert Verhalen, wann d'Aktualiséierung feelt, an dëst Verhalen däerf net d'Verbindung opmaachen, bis et geléngt. Aktualiséiert iwwer den Tunnel, soulaang den Tunnel steet, a fält soss op de leschte bekannte gesonde Endpunkt zeréck.

Déi lokal Verwaltung brauch déiselwecht Behandlung. En Verwaltungs-Subnetz ass net vertrauenswierdeg, well seng Adressen privat sinn, an eng Regel, déi him vertraut, luet en zweete Wee ëm d'Spär an.

Interface-Matching ass kee Beweis fir en gesonden Tunnel

Regele, déi alles akzeptéieren, wat aus tun0 erauskënnt, ginn dovun aus, datt e Pak op deem Interface aus dem Tunnel koum. Interface-Nimm ginn nei erstallt, an en Numm ass keng kryptographesch Identitéit. De Partner ka fort sinn, wärend den Interface uewen bleift, wat d'Regel zu enger ganz iwwerzeegender Nulleffekt maachen.

D'Verbindungsverfolgung bäisetzt eng verwandte Fal. Eng breet Regel fir etabléiert Verbindungen spillt d'Erlaabnes erëm, déi e Floss virdru krut, sou datt eng Sessioun, déi virum Ausfall vum Tunnel ugefaangen huet, duerno weiderleeft. Begränzt d'zustandsbaséiert Akzeptanz op d'Interface an d'Adressen, déi Dir wierklech mengt, soss hutt Dir eng Spär gebaut, déi sech selwer opmécht. Input- a Outputregele beäntweren och verschidde Froen, an ee vun deenen ze häerten, wärend een deen aneren ignoréiert, léisst d'Maschinn an déi Richtung erreechbar, un déi Dir net geduecht hutt.

Wat en Daemon-Absturz iwwerlieft

E Filter, deen e Skript installéiert, dat no dem Opstig vum Tunnel leeft, verschwënnt mat dem Tunnel, genau an deem Moment, wou en gebraucht gouf. Luet d'Spär beim Booten a loosst den Daemon nëmmen seng Ausnamen geréieren.

D'Läschen vun der Standardroute ass och keen Ersatz. D'Route ass Zoustand, deen den Daemon besëtzt an ëmmer erëmschreift, an hir Ewechhuele ka de Wee huelen, deen een erëm ze verbannen brauch. IPv6 brauch säin eegene Plang, well Nopesch-Entdeckung a Router-Annoncen Link-Servicer sinn, déi weider musse funktionéieren, während de gewéinlechen Trafic blockéiert ass. DHCP gehéiert an déiselwecht Kategorie. Schreift dës als Ausname mat engem Zweck op, amplaz se spéider als Ausfäll ze entdecken.

Wiederhierstellungswee virum Deployment

Test d'Spär esou, wéi se wäert feelen: boote ouni Tunnel, den Daemon ëmbréngen, den Endpunkt änneren an erëm verbannen. All Fall soll d'Applikatiounen zum Stoe bréngen an de Wiederhierstellungswee funktionéiere loossen. Maacht et vun enger Konsole aus, well eng Remote-Shell ass déi Sessioun, déi am warscheinlechsten duerch är eegen Regel ausgespaart gëtt.

Kuckt duerno, wou eng gewéinlech Applikatioun ëmmer nach hikënnt, mat engem onschiedlechen Zil an enger Ufro, déi Dir verifizéiere kënnt. D'Resultat, dat Dir wëllt, ass eng Refusatioun um Uplink an en Erfolleg duerch den Tunnel, keen zweedeitegen Timeout, deen dat eng oder dat anert bedeite kënnt. Halt de Reegelsaz ënner demselwechte Proprietär wéi de Rescht vun der Firewall, amplaz d'ganz Tabell aus engem Shellskript ze ersetzen. Eng Politik, an där all Erlaabnes sech selwer ka gerechtfäerdegen, ass méi wäert wéi e laange Reegelsaz, deen een net ka erklären.