Правилата на огнениот ѕид само за NEW не го затвораат секој WAN пат

Одбивањето на нови излезни врски на WAN изгледа како политика што се затвора при неуспех, но е потесно ветување отколку што изгледа. Пакетите што припаѓаат на веќе постоечки текови не ѝ одговараат, како и многу одговори. Оваа празнина лесно се пропушта, бидејќи правилото се чита како да го покрива интерфејсот, а не една состојба на врската на него. А читањето на совпаѓањето на состојбата како пресуда е она што создава лажен чувство на затвореност.

Состојбата е услов за совпаѓање, не пресуда

Следењето на врски ги класифицира пакетите според она што огнениот ѕид веќе го видел, а не според она што го верува апликацијата. Тек забележан во двете насоки е воспоставен и неговите подоцнежни пакети остануваат воспоставени дури и кога маршрутата под него се менува од тунел во обична излезна линија. Одговорот на влезна врска исто така може да биде воспоставен сообраќај. Тие пакети никогаш повторно не стануваат нови.

Затоа правило ограничено на нови врски не може да докаже дека секој заштитен пакет е блокиран. То ги остава другите состојби на она што го прави остатокот од множеството правила со нив, а тоа може да биде дозвола поставена порано во синџирот.

Читајте го правилото во неговата околина

Широка дозвола за воспоставен и поврзан сообраќај поставена пред блокирањето пушта пакет пред блокирањето воопшто да биде оценето. Отстранувањето на условот за состојба од подоцнежно правило нема да го смени тоа, бидејќи оценувањето никогаш не стигнува до него. Редоследот го одлучува исходот, а совпаѓањето на состојбата одлучува кои пакети стигнуваат до тој редослед.

Проверете го делотворното множество правила, а не датотеката што сте ја уредувале, вклучително скокови во други синџири и сето она што го генерира платформата. На рутер управуван со iptables, наведувањето на синџирот ги покажува дефинициите на правилата, а синџирите на кои упатува исто така мора да се следат. Нативниот систем со nftables бара проверка на сопственото множество правила и приоритетите на куките, бидејќи фирмверот ретко генерира идентични синџири.

Бројачите покажуваат кое правило навистина се совпаднало и обично се поинформативни од снимање пакети направено по одлуката. Правило со нула бројач не е достигнато, што и да навестува неговата положба.

Изразете ја забраната независно од состојбата

Ако група клиенти никогаш не смее да стигне до интернетот надвор од тунелот, кажете го тоа директно наместо да го приближувате со една состојба. Правилото мора да избира по извор, излез и дестинација без зависност од состојбата на врската и мора да стои таму каде што ниту една поранешна дозвола не може да го заобиколи. Тогаш административниот пристап и исклучоците за локалната мрежа добиваат свои експлицитни правила, па намерата е видлива во политиката.

Изборот на reject наместо drop го менува начинот на кој не успева соодветниот сообраќај и не го проширува множеството пакети што ги избира правилото. Одбиена врска и тивко истекување на времето се различни симптоми што укажуваат на истиот избор.

Политиката што намерно дозволува одговори на пристап започнат оддалеку преку WAN е одбранива. Само треба да се опише така, наместо да се претставува како целосна изолација само преку тунелот.

Проверете кој е навистина во групата

Примерот опфаќа препратен IPv4 сообраќај од еден префикс низ еден интерфејс. Тој не кажува ништо за IPv6, за втора излезна линија или за сообраќај што го создава самиот рутер. Рутер што дејствува како DNS резолвер ги праќа своите нагорни барања и тие воопшто не минуваат низ forward синџирот.

Потврдете дека заштитените клиенти и понатаму имаат адреси во избраниот префикс, бидејќи уредот што излегол надвор од него е директен случајно, а не по политика. Проширувањето на блокот на целиот LAN без преглед на дизајнот на исклучоците исто така има тенденција да го отстрани вашиот сопствен административен пат.

iptables -S FORWARD
iptables -L FORWARD -v -n
cat /proc/net/nf_conntrack | grep -c ESTABLISHED

Потоа испробајте стар тек до нов. Нов обид за врска и веќе активен двосмерен пренос се однесуваат поинаку под ова правило и само проверката на двете покажува каква политика навистина имате.