SSH- an VPN-Agangsregelen: wat d’Allowlist wierklech steiert

Verbind Iech eemol, ier Dir eng Regel ännert, a notéiert ob de Client hängt oder direkt ofgelehnt gëtt. Dësen eenzegen Ënnerscheed seet Iech wéi eng Entscheidung de Pak fale gelooss huet an spuert eng Stonn Liesen vu Politikdateien. De Rescht vum Wee ass kuerz: de Pak iwwerquiert eng Hook, passt op eng Regel a kënnt op en Listener oder net. Eng Allowlist ass just Buchhaltung ronderëm déi dräi Fakten.

Verfollegt een SSH-Versuch bis op d’Input-Hook

E Client schéckt en SYN un d’Adress vum Host op Port 22, an de Kernel entscheet ob dëse Pak fir en lokale Service geduecht ass. Wann jo, leeft den Input-Wee an de Reegelset akzeptéiert de Pak oder verwerft en. Stille bedeit datt den SYN gestuerwen ass ier den Listener en gesinn huet, wärend eng séier Oflehnung bedeit datt eppes mat engem Reset geäntwert huet. Dat sinn ënnerschiddlech Uerteeler aus ënnerschiddleche Regelen, an déi zwee sinn legitim Resultater.

Bestätegt duerno den Listener, well keng Regel rett e Service deen net do ass. Fëllt ss -ltnp aus a préift ob eppes un de Port an d’Adressfamill gebonnen ass déi Dir erwaart, a liest dann ssh -v um Client fir ze gesinn wou en ophält.

D’Weiderleitung ass eng eege Entscheidung

Op engem VPN-Server ass déi interessant Hook forward, well de Client-Traffic duerch d’Maschinn gerout gëtt amplaz him geliwwert ze ginn. En Host deen nëmmen säin eegene VPN-Client bedreift brauch e vill méi klengen Reegelset wéi een deen d’Päck vun aneren weidergëtt. D’Mësche vun den zwee Designen op enger Maschinn produzéiert Regelen déi richteg ausgesinn an näischt duerchloossen.

Schreift déi intern Politik als eng eege Fro: wéi eng Clientadressen duerch den Tunnel wéi eng Ziler erreeche kënnen. Hält de Verwaltungswee, zum Beispill SSH, um Input-Wee mat senger eegener Quellrestriktioun. Eng erlaabend forward-Regel déi beim Testen derbäigesat gëtt ass dee klasseschen Defekt deen den Test iwwerlieft, dofir iwwerpréift no enger Ännerung de ganzen Reegelset an net déi eng Linn déi Dir geännert hutt. Den Tunnel-Listener opzemaachen ass keng Erlaabnis fir all verbonnene Client den Host ze verwalten.

Drop an reject sinn Aktiounen, keng Politiken

D’Politik vun enger Basischaîne akzeptéiert oder verwërft, an dat ass déi ganz Lëscht vun de Wieler, wéi et d’nftables-Referenz seet. Reject existéiert als Regelaktioun mat enger gewielter Äntwert, dofir schléit et beim Schreiwen als Politik souwuel op nftables wéi och op iptables fehl. An der Praxis gëtt en drop dem Client keng Informatioun, wärend en reject him e Feeler gëtt mat deem hien agéiere kann.

table inet admin {
    chain input {
        type filter hook input priority filter; policy drop;
        ct state established,related accept
        ip saddr 203.0.113.0/28 tcp dport 22 accept
        udp dport 51820 accept
        icmp type { destination-unreachable, time-exceeded } accept
    }
}

Liest dës Skizz als d’Form vun enger Entscheidung an net als Datei fir anzefügen, well d’Adressberäicher Beispiller sinn. En expliziten reject um SSH-Port léisst en net autoriséierte Client an enger Sekonn feelen amplaz en Timeout ofzwaarten, wat Äert eegent Debugging verkaarmt. Stille entméidegt zoufälleg Skanéierungen an seet engem autoriséierte Benotzer absolut näischt. Wiel pro Service a schreift op firwat, soss ännert déi nächst Persoun et zréck.

Hält de Kontrolltraffic deen Dir wierklech braucht

All ICMP ze blockéiert ass eng populär Standardastellung déi d’Path-MTU-Entdeckung brécht, an de Symptom ass eng Verbindung déi sech opbaut an da bei gréissere Päck stockt. D’Nopesch-Entdeckung op IPv6 hänkt vun hiren eegene ICMPv6-Typen of, an hir Verwerfung brécht de Link ier iergendeng TCP-Regel befrot gëtt. Béides gehéiert als benannt Ofhängegkeeten an d’Allowlist an net als allgemeng Erlaabnisser. Eng Politik déi d’Entdeckung stille brécht ass schléchter wéi eng déi e bëssen Diagnostiktraffic erlaabt.

Erlaabt d’Zoustänn established an related fir Verbindungen déi Dir selwer ugefaangen hutt, a loosst de zoustännegen Engine d’Äntwerten iwwerhuelen. Bestätegt duerno datt den Äntwertwee weider baussen net blockéiert ass, well eng Restriktioun nëmme fir erausgehend Traffic uewendriwwer deeselwechten Timeout produzéiert deen Dir dem Host wollt uleeën.

Beweist d’Erhuelung ier Dir den ale Wee opgitt

Hält eng Konsol-Sessioun op, applizéiert d’Ännerung an öffnet eng ganz nei Verwaltungsverbindung vun engem aneren Terminal. Eng existéierend Sessioun beweist näischt, well se eng Regel kënnen iwwerliewe déi all neien Login blockéiert, wat se zum iwwerzeegendste falsche Positiv an der Firewall-Aarbecht mécht. Wann e Monitoring-System den Host préift, füügt seng Quelladress virun der Ännerung derbäi an net no der éischter Warnung. Test dann ee groussen an ee klengen Pak fir ze beweisen datt d’Entdeckung nach funktionéiert.

Fir e VPN-Service widderhielt et vun engem Client deen ni verbonnen huet, well eng weidergefouert Sessioun en Zoustand ka benotzen deen eng nei muss ausverhandelen. Notéiert de geneeë Reegelset deen duerchgaangen ass, mat enger Prüfsumm oder enger Kopie, sou datt eng spéider Ännerung verglach ka ginn amplaz geroden. Koordinéiert Iech mat wiem d’Reiefolleg gehéiert, well eng fréier Regel stille géint déi gewënnt déi Dir derbäigesat hutt.