Transmission ënner Linux: ausgehend Traffic pro Prozessbesëtzer duerchsetzen

Den ageende Port vun Transmission ze blockéieren ass keng VPN-Politik. En Torrent-Client mécht ausgehend Verbindunge mat Peers a Trackeren op, léist Nimm op a kann en Hörer fir Fernsteierung opmaachen, an all dat ka iwwer eng Schnëttstell erausgoen, déi Dir net virgesinn hutt. Schafft déi fënnef Kontrollen an der Rei of a kuckt d'Firewall-Reeg, net d'Astellungen vum Client, als Grenz u. Déi lescht zwou Kontrollen sinn déi, déi een iwwerspréngt, an si entscheeden, ob d'Garantie hält, wann den Tunnel fält.

Den Prozess nennen, deem d'Transfer gehéiert

D'Desktop-Applikatioun an den System-Daemon lafen ënner verschiddene Konten, an eng Reeg op Basis vum Besëtzer follegt dem Konti anstatt dem Programmnumm. Fannt eraus, wéien vun deenen zwee laft, ier Dir eng Reeg schreift. En eegenen Déngschtkonti gëtt der Politik en prezist Sujet, wärend en Desktop-Benotzer seng Identitéit mat Browseren, Editoren an allem aneren an der Sitzung deelt. Bestätegt d'UID, amplaz unzehuelen, datt den Kontonumm aus dem Paket dee benotzten ass.

systemctl status transmission-daemon
ps -o user=,pid=,cmd= -C transmission-daemon

Wann de Konti nach net existéiert, luet en fir dësen Zweck u a gitt him näischt anescht ze lafen. Schreift de Konti an d'UID an de Kommentar vun der Reeg, well eng Reeg ouni Sujet ass eng Reeg, déi een net sécher ka beaarbechten.

D'Hörfelder vun der Route trennen

Transmission 4.x dokumentéiert Peer-Höradressen getrennt vun rpc-bind-address, an den Ënnerscheed ass wichteg. D'RPC-Astellung kontrolléiert nëmmen den Hörer fir Fernsteierung, hir Ännerung wielt also keng Route fir de Peer-Traffic. Dës zwou Astellunge wéi eng ze liesen ass den heefegste Grond, firwat eng suergfälteg wierkend Konfiguratioun awer leckt. Déi selwecht Dokumentatioun beschreift e Fallback, wann eng Peer-Höradress ongülteg ass, also eng net disponibel Adress ass e dokumentéierte Fallback-Fall an eng garantéiert Oflehnung.

grep -E '"(peer-port|rpc-bind-address|bind-address-ipv4)"' /var/lib/transmission-daemon/.config/transmission-daemon/settings.json

Benotzt d'Steierungen vum Client fir dat, wat se sinn, a leet d'Garantie an d'Firewall. Eng Hör-Astellung kann ëmmer nach sënnvoll sinn, awer si beleet net, datt Tracker-Kontakt, lokal Entdeckung oder eng delegéiert Opléisung alles duerch den Tunnel erausgeet. Wann déi zwee sech net eens sinn, decidéiert d'Firewall.

Den Besëtzer-Match an der richteger Kette schreiwen

D'Netfilter-Handbuch zum Besëtzer-Match erkläert, wéi lokal generéiert Pakete dem besëtzende Benotzer oder der Grupp vun der Socket-Fichier zougerechent ginn. Dës Zouuerdnung erstreckt sech net op weidergeluedenen Traffic, an de Match vun Zousazgruppen brauch eng explizit Optioun. Liest d'Handbuch fir d'Erweiderung, déi Dir tatsächlech benotzt, anstatt d'éischte Beispill, dat Dir fannt.

iptables -A OUTPUT -m owner --uid-owner transmission -o tun0 -j ACCEPT
iptables -A OUTPUT -m owner --uid-owner transmission -j REJECT
ip6tables -A OUTPUT -m owner --uid-owner transmission -o tun0 -j ACCEPT
ip6tables -A OUTPUT -m owner --uid-owner transmission -j REJECT

D'Reiefolleg zielt grad esou vill wéi de Match. Eng breet Akzeptanz méi uewen an der Kette hieft eng präzis Oflehnung méi ënnen aus, kuckt also déi ganz Kette un, amplaz eng Reeg unzehengen an ze hoffen. Huelt béid Adressfamillen mat, wann den Host IPv6 laft, well eng Politik nëmmen fir v4 e Wee oppe léisst, deen keen am A behält. Hält d'Reeglen iwwer Neistarts vu Client an Tunnel hinweg installéiert.

Decidéieren, wat geschitt, wann tun0 verschwënnt

D'Fehlerpolitik ass de Kär vun der Übung. Wann den Tunnel verschwënnt an dee selwechte Hook d'Reeglen ewechhëlt, däerf de Client d'physesch Schnëttstell benotzen, bis eppes anescht en stoppt. De sécheren Design behält d'Reeglen a léisst se ofleenen, an dat mécht d'Grenz onofhängeg vun der Gesondheet vum Tunnel. En Teardown-Hook, deen och d'Reeglen läscht, ass d'Géigendeel vun enger Fehlerpolitik.

ip link show tun0
iptables -S OUTPUT

Test et bewosst: stoppt den Tunnel, start en Transfer, deen Dir gefaarlos kënnt opginn, a kuckt, ob eppes erausgeet. Bréngt dann den Tunnel zréck a bestätegt, datt de virgesinnene Wee erëm funktionéiert.

D'Weeër ofdecken, déi d'Reeg net gesäit

Nimm-Opléisung ka vun engem separate Resolver-Prozess gehante ginn, an en Namespace oder eng dedizéiert Gateway kann eng aner Grenz bidden, wann hir Deel- an Bootstrap-Weeër dofir entworfen sinn. Decidéiert, wéi eng Komponent DNS besëtzt a wéi se déiselwecht Ausgangsreegel follegt. Kuckt dann op RPC: wann rpc-whitelist am Asaz ass, ass de genehmegten Administratiounsnetz Deel vum Kontrakt, an eng breet RFC1918-Range ass et net.

ss -tunp | grep -i transmission

Schnëttstell-Zähler kënnen eng Observatioun ënnerstëtzen, awer se kënnen net beweisen, wéi ee Prozess d'Bytes produzéiert huet. Maacht en Transfer, deen Dir däerf opginn: fir d'éischt um funktionéierende Wee, duerno ouni Tunnel beim Start, dann duerch eng Ënnerbriechung, eng Verbindung erëm an eng nei ugeluecht Schnëttstell. Testt souwuel en neien Versuch wéi och eng Verbindung, déi schonn oppe war, well d'Reeg vläicht net op dee méi ale Socket applizéiert gouf. Notéiert den Datum, de Konti an d'Resultat mam Test.

En Beispill anzefügen, dat déi ganz Kette flusht, tauscht ee Lach géint derbäi, füügt also Reeglen dobäi, amplaz se ze läschen. Wann all fënnef Kontrollen duerchgoe sinn, ass d'Garantie ausdrécklech: den Traffic vum Client geet duerch den Tunnel eraus oder guer net, an d'Reeg, déi dat duerchsetzt, iwwersteet den Ausfall vum Tunnel selwer.