Kā noslēgt Linux izeju, lai VPN kritiena brīdī nekas nenoplūstu

Iedomājieties mediju kārbu mājas līnijā, kurai internetā jāiekļūst tikai pa tuneli. Kad tunelis krīt, lietotnei vajadzētu apstāties, nevis klusi turpināt pa fizisko saskarni. Šādas uzvedības iegūšana ir ugunsmūra, nevis maršrutēšanas problēma, un atšķirība ir svarīga, jo maršrutu var aizstāt ar dēmona restartu, bet filtrs paliek tur, kur to ievietojāt. Turpinājumā apskatīsim, kā paketes ceļš patiešām izlemj, un tad, kā ierobežot izņēmumus, kas ļauj tunelim atkal pievienoties.

Vietējā izeja ir cits āķis nekā pāradresēšana

Pakete, kas atstāj ierīcē esošo lietotni, iet caur izejas āķi; pakete, ko ierīce maršrutē citam resursdatoram, iet caur pāradresēšanu. Politika, kas min tikai forward, ierobežo otro un atstāj pirmo plaši atvērtu, tāpēc tik daudz izejas slēdzeņu izskatās pareizi un neko nedara. Saskarnes saskaņošana pieder pie tā paša noteikuma: oifname "tun0" accept laiž cauri satiksmi, kas jau ir maršrutēta pa tuneli. Maršrutēšana un filtrēšana arī paliek atsevišķi lēmumi, tāpēc maršruts uz piegādātāju var pastāvēt, kamēr filtrs noraida paketi. Uz šo atdalīšanu jūs paļaujaties.

Vārtejai, kas pāradresē citu ierīču satiksmi, vajadzīgi abi āķi. Tikai izejas noslēgšana aizsargā pašu ierīci un atstāj katru lejupējo klientu brīvu noplūst.

Izņēmumu sarakstu rakstiet no gala punkta uz āru

Sāciet ar tuneļa gala punktu: viena galamērķa adrese vai neliela apstiprināta kopa, transporta protokols un galamērķa ports, piemēram, udp dport 1194 ip daddr 203.0.113.7 accept. Ja klients atrisina resursdatora nosaukumu, sākotnējai DNS apmaiņai vajadzīgs savs noteikums, kas ierobežots ar atrisinātāju un 53. portu, nevis vispārēja atļauja uz šī atrisinātāja adresi. Katram izņēmumam jānosauc iemesls, kāpēc tas pastāv. Atļauja visai UDP satiksmei uz VPN portu aptver daudz vairāk nekā to vienu autentificēto pakalpojumu, kam bijāt domājis.

Sākotnējā atrisināšana ir vieta, kur slēdzenes parasti sapūst. Adrešu kopai, kas atjauninās ar taimeri, vajadzīga noteikta uzvedība, kad atjaunināšana neizdodas, un šī uzvedība nevar būt līnijas atvēršana, līdz tas izdodas. Atjauniniet pa tuneli, kamēr tunelis stāv, un pretējā gadījumā atgriezieties pie pēdējā zināmā veselīgā gala punkta.

Vietējai pārvaldībai vajadzīga tāda pati attieksme. Pārvaldības apakštīkls nav uzticams tikai tāpēc, ka tā adreses ir privātas, un noteikums, kas tam uzticas, aicina otru ceļu ap slēdzeni.

Saskarnes saskaņošana nav vesela tuneļa pierādījums

Noteikumi, kas pieņem visu, kas iznāk no tun0, pieņem, ka šīs saskarnes pakete nāca no tuneļa. Saskarņu nosaukumi tiek radīti no jauna, un nosaukums nav kriptogrāfiska identitāte. Partneris var arī būt aizgājis, kamēr saskarne paliek augšā, kas noteikumu pārvērš ļoti pārliecinošā nedarīšanā.

Savienojumu izsekošana pievieno radniecīgu slazdu. Plašs noteikums izveidotiem savienojumiem atkārto atļauju, ko plūsma ieguva agrāk, tāpēc sesija, kas sākās pirms tuneļa krišanas, turpinās arī pēc tam. Ierobežojiet stāvokļbalstītu pieņemšanu ar saskarnēm un adresēm, ko patiešām domājat, citādi esat uzbūvējis slēdzeni, kas pati atveras. Ievades un izvades noteikumi arī atbild uz dažādiem jautājumiem, un viena stiprināšana, ignorējot otru, atstāj ierīci sasniedzamu virzienā, par ko neiedomājāties.

Kas pārdzīvo dēmona avāriju

Filtrs, ko instalē skripts, kas darbojas pēc tuneļa pacelšanas, pazūd kopā ar tuneli, tieši tajā mirklī, kad tas bija vajadzīgs. Ielādējiet slēdzeni sāknēšanas laikā un ļaujiet dēmonam pārvaldīt tikai tā izņēmumus.

Arī noklusējuma maršruta dzēšana nav aizvietotājs. Maršruts ir stāvoklis, kas pieder dēmonam un ko tas pārraksta, un tā noņemšana var atņemt ceļu, kas vajadzīgs atkārtotai pievienošanai. IPv6 vajag savu plānu, jo kaimiņu atklāšana un maršrutētāja paziņojumi ir saites pakalpojumi, kuriem jāturpina darboties, kamēr parastā satiksme ir bloķēta. DHCP pieder tai pašai kategorijai. Pierakstiet tos kā izņēmumus ar mērķi, nevis atklājiet vēlāk kā pārtraukumus.

Atjaunošanas ceļš pirms ieviešanas

Pārbaudiet slēdzeni tā, kā tā kritīs: sāknēšana bez tuneļa, dēmona nogalināšana, gala punkta maiņa un atkārtota pievienošanās. Katrā gadījumā lietotnēm jāapstājas un atjaunošanas kanālam jāpaliek darboties. Dariet to no konsoles, jo attālinātā čaula ir sesija, kuru visticamāk izslēgs jūsu pašu noteikums.

Pēc tam pārbaudiet, kur parasta lietotne vēl var nokļūt, izmantojot nekaitīgu galamērķi un pieprasījumu, ko varat pārbaudīt. Vēlamais rezultāts ir atteikums līnijā un panākumi pa tuneli, nevis neviennozīmīgs laika limits, kas varētu nozīmēt abus. Turiet noteikumu kopu pie tā paša īpašnieka kā pārējo ugunsmūri, nevis aizstājiet visu tabulu no čaulas skripta. Politika, kurā katra atļauja spēj sevi attaisnot, ir vērtīgāka par garu noteikumu kopu, ko neviens nespēj izskaidrot.