Firewall-Regele just fir NEW schléissen net all WAN-Pad

Nei erausgänglech Verbindungen op der WAN refuséieren gesäit aus wéi eng Politik déi bei Feeler zougeet, awer et ass e méi enke Verspriechen wéi et schéngt. Pakete vun de Flëss déi schonn existéieren entspriechen hir net, a vill Äntwerten och net. Dës Lück ass liicht ze iwwersinn, well d’Reegel geliest gëtt wéi wann se d’Interface deckt an net ee Verbindungszoustand drop. An de Zoustandsmatch als Uerteel ze liesen ass dat wat e falscht Gefill vu Verschloss gëtt.

Zoustand ass eng Matchesbedingung, keen Uerteel

D’Verbindungsverfolgung klassifizéiert Paketen no deem wat d’Firewall schonn gesinn huet, an net no deem wat d’Applikatioun gleeft. E Floss deen a béide Richtungen observéiert gouf ass etabléiert, a seng spéider Pakete bleiwe etabléiert och wann d’Route drënner vun engem Tunnel op de gewéinlechen Uplink wiesselt. Eng Äntwert op eng erakomm Verbindung kann och etabléierte Traffic sinn. Dee Pakete ginn ni erëm nei.

Dofir kann eng Reegel déi just op nei Verbindunge begrenzt ass net beweisen datt jiddereen geschützte Paket blockéiert ass. Se léisst déi aner Zoustander deem wat de Rescht vum Reegelsaz mat hinnen mécht, wat eng Erlaabnes kéint sinn déi méi fréi an der Kette steet.

Liest d’Reegel an hirem Ëmfeld

Eng breet Erlaabnes fir etabléierten an associéierten Traffic déi virun dem Block steet léisst e Paket duer ier de Block iwwerhaapt evaluéiert gëtt. D’Zoustandsbedingung aus enger spéiderer Reegel ewechzehuelen ännert dat net, well d’Evaluatioun ni dohinner kënnt. D’Reiefolleg entscheet d’Resultat, an de Zoustandsmatch entscheet wéi eng Paketen déi Reiefolleg erreechen.

Iwwerpréift de gëltegen Reegelsaz an net d’Fichier déi Dir geännert hutt, inklusiv Spréng an aner Ketten an alles wat d’Plattform generéiert. Op engem Router deen iptables geréiert gëtt weist d’Oplëschtung vun der Kette d’Reegeldefinitiounen, an d’Ketten op déi se verweist musse mat verfollegt ginn. En nativen nftables-System brauch d’Iwwerpréifung vu sengem eegene Reegelsaz an den Hook-Prioritéiten, well Firmware seelen identesch Ketten generéiert.

Comptoire soen Iech wéi eng Reegel tatsächlech gematcht huet, an se sinn normalerweis méi informativ wéi eng Paketopnam déi no der Entscheedung geholl gouf. Eng Reegel mat engem Comptoir vun null gouf net erreecht, wat och ëmmer hir Positioun suggeréiert.

Dréckt de Verbuet onofhängeg vum Zoustand aus

Wann eng Grupp vu Clienten ni baussent dem Tunnel an d’Internet komme soll, soot dat direkt amplaz et mat engem Zoustand ze approchéieren. D’Reegel muss no Quell, Ausgang an Destinatioun auswielen ouni vum Verbindungszoustand ofzehänken, an se muss do stoen wou keng fréier Erlaabnes se ëmgoe kann. Dann kréien de Managementzougang an d’Ausname vum lokalen Netz hir eege explizit Reegelen, sou datt d’Absicht an der Politik sichtbar ass.

Reject amplaz drop ze wielen ännert wéi de gematchten Traffic feelt, an et vergréissert net de Set vu Paketen déi d’Reegel auswielt. Eng refuséiert Verbindung an en duuschtereg Timeout si verschidde Symptomer déi op déi selwecht Auswiel weisen.

Eng Politik déi bewosst Äntwerten op en Zougang erlaabt deen iwwer d’WAN aus der Distanz gestart gëtt ass verdeedegbar. Si muss just sou beschriwwe ginn amplaz als total Isolatioun just iwwer den Tunnel presentéiert ze ginn.

Kuckt wien tatsächlech an der Grupp ass

D’Beispill deckt weidergeleet IPv4-Traffic vun engem Präfix aus engem Interface. Et seet näischt iwwer IPv6, en zweeten Uplink oder Traffic deen de Router selwer entstoen léisst. En Router deen als DNS-Resolverschafft schéckt seng eegen Upstream-Ufroen, an déi ginn iwwerhaapt net duerch d’forward-Kette.

Bestätegt datt déi geschützt Clienten nach ëmmer Adressen bannent dem gewielte Präfix hunn, well en Apparat deen erausgeplënnert ass zoufälleg direkt an net duerch Politik ass. D’Block op de ganzen LAN auszebreeden ouni den Ausnamen-Design ze iwwerpréiwen hëlt och dacks Ären eegene Verwaltungswee ewech.

iptables -S FORWARD
iptables -L FORWARD -v -n
cat /proc/net/nf_conntrack | grep -c ESTABLISHED

Dann testt en ale Floss nieft engem neien. En neien Verbindungsversuch an en schonn aktiven zwéirichtungs Transfer behuelen sech ënner dëser Reegel anescht, a just béides ze testen weist wéi eng Politik Dir tatsächlech hutt.