WireGuard സുരക്ഷിതമാക്കാൻ IPv6 തടയുന്നത് ഹോസ്റ്റിനെ തകർക്കുന്നു

ലക്ഷ്യം ന്യായമാണ്: ഈ യന്ത്രത്തിലെ സേവനങ്ങളിൽ എത്തേണ്ടത് ടണൽ ഉപയോക്താക്കൾ മാത്രം. ആളുകൾ തിരഞ്ഞെടുക്കുന്ന നടപ്പാക്കൽ WireGuard ഒഴികെ എല്ലാം ഡ്രോപ്പ് ചെയ്യുന്ന ഒരു IPv6 ഇൻപുട്ട് ചെയിൻ ആണ്, അത് ഹോസ്റ്റിനെ സ്വന്തം ലിങ്കിൽ ചേർത്ത് നിർത്തുന്ന ട്രാഫിക്കും ഡ്രോപ്പ് ചെയ്യുന്നു. അയൽവാസി കണ്ടെത്തലും പാത പരിപാലന സന്ദേശങ്ങളും സേവന പ്രവേശനമല്ല, അവ നീക്കം ചെയ്യുന്നത് നിങ്ങളുടെ നയവുമായി ബന്ധമില്ലാത്ത കാരണങ്ങളാൽ എത്തിച്ചേരാൻ കഴിയാത്ത യന്ത്രം ഉണ്ടാക്കുന്നു. ടണൽ ഉയരുന്നു, സേവനങ്ങൾ ശരിയായി പരിമിതപ്പെടുത്തിയിരിക്കുന്നു, ലിങ്കിൽ മറ്റൊന്നും പ്രവർത്തിക്കുന്നില്ല.

മൂന്ന് ഉത്തരവാദിത്തങ്ങൾ, ഒരു നിയമക്കൂട്ടം

ആദ്യ ഉത്തരവാദിത്തം പുറം നെറ്റ്‌വർക്കിന്റെ പ്രവർത്തനമാണ്: ഹോസ്റ്റ് സ്വന്തം ലിങ്കിൽ തുടരണം, അയൽവാസികളെ പരിഹരിക്കണം, ആ ലിങ്കിന്റെ പാത പരിധികൾ അറിയണം. രണ്ടാമത്തേത് എൻക്രിപ്റ്റ് ചെയ്ത ശ്രോതാവാണ്, നിങ്ങൾ തിരഞ്ഞെടുത്ത വിലാസത്തിലും പോർട്ടിലും UDP സ്വീകരിക്കുന്നു. മൂന്നാമത്തേത് ടണൽ ഉപയോക്താക്കൾ എത്തേണ്ട ഡീക്രിപ്റ്റ് ചെയ്ത സേവനങ്ങളുടെ കൂട്ടമാണ്.

ഇവ മൂന്ന് വ്യത്യസ്ത നയങ്ങളാണ്, രണ്ടാമത്തേതും മൂന്നാമത്തേതും മാത്രമാണ് VPN-മായി ബന്ധപ്പെടുന്നത്. ഇവയെ ഒന്നായി കാണുന്ന നിയമക്കൂട്ടം, ആപ്ലിക്കേഷൻ അതിർത്തി കർശനമാക്കുന്നത് ഹോസ്റ്റിന്റെ ബന്ധം നിശബ്ദമായി തകർക്കുന്ന പരാജയരീതി കൈവരിക്കുന്നു.

അവ വെവ്വേറെ ചെയിനുകളിലോ കുറഞ്ഞത് വെവ്വേറെ കുറിപ്പുകളിലോ സൂക്ഷിക്കുക, അടുത്തയാൾക്ക് ഏത് വരി ഏത് കാരണത്തിനാണെന്ന് കാണാൻ.

ഹോസ്റ്റിനുവേണ്ടി ICMPv6 എന്താണ് ചെയ്യുന്നത്

IPv6 എക്കോയെക്കാൾ ഏറെ കാര്യങ്ങൾക്ക് ICMPv6-നെ ആശ്രയിക്കുന്നു. അയൽവാസി അഭ്യർത്ഥനയും പ്രഖ്യാപനവും ARP-യെ മാറ്റിസ്ഥാപിക്കുന്നു, പ്രാദേശിക വിതരണത്തിന് ആവശ്യമാണ്. Packet Too Big പാതയുടെ MTU വിവരം വഹിക്കുന്നു, അത് അവഗണിച്ചാൽ വലിയ പാക്കറ്റുകളിൽ കുടുങ്ങുന്ന കൈമാറ്റങ്ങൾ ഉണ്ടാകുന്നു. ലിങ്ക് സ്വയമേവയുള്ള കോൺഫിഗറേഷൻ ഉപയോഗിക്കുമ്പോൾ റൗട്ടർ പ്രഖ്യാപനങ്ങൾ സ്ഥിരസ്ഥിതി റൂട്ടും പ്രിഫിക്സ് വിവരങ്ങളും വഹിക്കുന്നു.

RFC 4890 ഹോസ്റ്റ് ഫിൽട്ടർ നിർബന്ധമായി അനുവദിക്കേണ്ട സന്ദേശങ്ങളെ ഭരണപരമായ തിരഞ്ഞെടുപ്പായ സന്ദേശങ്ങളിൽ നിന്ന് വേർതിരിക്കുന്നു, നെറ്റ്‌വർക്കുകൾക്കിടയിൽ കൈമാറുന്ന റൗട്ടറിന്റെ നിയമങ്ങളിൽ നിന്ന് വ്യത്യസ്തമായ ഹോസ്റ്റ് വിഭാഗത്തിൽ അത് ചെയ്യുന്നു. കൈമാറ്റ വിഭാഗം മാത്രം വായിച്ചാൽ സംരക്ഷിക്കുന്ന ഹോസ്റ്റിന് വളരെ കർശനമായ ഇൻപുട്ട് നയം ഉണ്ടാകുന്നു.

പ്രായോഗിക നിയമം, ആവശ്യമുള്ള ഇന്റർഫേസിൽ പ്രധാന പിശക്, കോൺഫിഗറേഷൻ സന്ദേശങ്ങൾ അനുവദിക്കുക, പ്ലാറ്റ്ഫോം അനുവദിക്കുന്നിടത്ത് തരം, ഉറവിടം എന്നിവയാൽ പരിമിതപ്പെടുത്തുക, ബാക്കിയുള്ളവയെക്കുറിച്ച് വ്യക്തമായ തീരുമാനം എടുക്കുക എന്നതാണ്.

ഇവയെല്ലാം സർവവ്യാപിയായ ICMPv6 അനുമതിയാൽ മാറ്റിയാൽ ലഭ്യതാ പ്രശ്നം പരിഹരിക്കപ്പെടും, ഫിൽട്ടറിംഗ് ഉപേക്ഷിക്കും. സർവവ്യാപിയായ ഡ്രോപ്പ് കൊണ്ട് മാറ്റിയാൽ ഫിൽട്ടറിംഗ് പ്രശ്നം പരിഹരിക്കപ്പെടും, ഹോസ്റ്റ് ഉപേക്ഷിക്കും.

ആദ്യം ടണലിനെ അനുവദിക്കുക, പിന്നെ സേവനത്തെ

ഉദ്ദേശിച്ച പുറം വിലാസത്തിലും UDP പോർട്ടിലും WireGuard ഗതാഗതം സ്വീകരിക്കുക, തിരിച്ചുവരുന്ന ട്രാഫിക് കണക്ഷൻ ട്രാക്കിംഗിലൂടെ സ്വീകരിക്കുക. തുടർന്ന് ടണൽ ഇന്റർഫേസിലൂടെ ആപ്ലിക്കേഷൻ സേവനങ്ങളെ അനുവദിക്കുക, നിങ്ങൾ യഥാർത്ഥത്തിൽ അധികാരപ്പെടുത്തുന്ന ഉറവിടങ്ങളിൽ നിന്ന്.

പുറം UDP പോർട്ടിനുള്ള അനുമതി അതിനുള്ളിലെ ഡീക്രിപ്റ്റ് ചെയ്ത അഭ്യർത്ഥനകളെ അധികാരപ്പെടുത്തുന്നില്ല. ഈ വ്യത്യാസമാണ് സേവന നിയമങ്ങളിൽ ടണൽ ഇന്റർഫേസ് പ്രത്യക്ഷപ്പെടുന്നതിന്റെ പൂർണ്ണ കാരണം.

ഫയൽ വിവരിക്കുന്നതുപോലെയല്ല, നിയമക്കൂട്ടം ഉള്ളതുപോലെ വായിക്കുക:

sudo nft list ruleset
ip -6 addr show
ip -6 route show default

ഭൗതിക വിലാസത്തിലെ ശ്രോതാവ് ടണൽ വിലാസത്തിലെ അതേ സേവനത്തിൽ നിന്ന് വേറിട്ട ഒരു വെളിപ്പെടുത്തലാണ്. യന്ത്രം മറ്റൊരു യന്ത്രത്തിലേക്കും ട്രാഫിക് കൈമാറുന്നുവെങ്കിൽ അത് ഈ ഇൻപുട്ട് നയമല്ല, കൈമാറ്റ ചെയിനിന്റെ തീരുമാനമാണ്, അതിന് സ്വന്തം ന്യായീകരണം വേണം.

ടണൽ മാത്രമല്ല, ലിങ്ക് പരീക്ഷിക്കുക

മാറ്റത്തിന് ശേഷം പ്രവർത്തിക്കുന്ന ടണൽ കാണുന്നതിലും കുറച്ച് മാത്രം തെളിയിക്കുന്നു, കാരണം നിലവിലുള്ള അയൽവാസി എൻട്രിയും സ്ഥാപിച്ച കണക്ഷനും നയം ഇപ്പോൾ ഡ്രോപ്പ് ചെയ്യുന്ന ഒരു നിയന്ത്രണ സന്ദേശം മറയ്ക്കാം.

ബന്ധം നേരിട്ട് പരിശോധിക്കുക, തുടർന്ന് ഒഴിവാക്കിയ പാത ഇപ്പോഴും പരാജയപ്പെടുന്നുവെന്ന് പരിശോധിക്കുക:

ip -6 neigh show
ping -6 -c 3 2001:db8:1::1
sudo nft -c -f /etc/nftables.conf

റീബൂട്ടിന് ശേഷവും അയൽവാസി പട്ടിക പൂർണ്ണമായി തുടരുന്നത് കണ്ടെത്തൽ ഇപ്പോഴും പ്രവർത്തിക്കുന്നു എന്ന സൂചനയാണ്. ഒഴിഞ്ഞ് വീണ്ടും നിറയാത്ത പട്ടിക അത് ഫിൽട്ടർ ചെയ്തു എന്ന സൂചനയാണ്. മൂന്നാമത്തെ കമാൻഡ് നിയമക്കൂട്ടത്തിന്റെ വാക്യഘടന പ്രയോഗിക്കാതെ സാധൂകരിക്കുന്നു, സെഷൻ ഉള്ളപ്പോൾ അത് ചെയ്യുന്നത് മൂല്യമുള്ളതാണ്.

നിങ്ങൾ സ്വയം പുറത്ത് പൂട്ടിയ ഹോസ്റ്റ് വീണ്ടെടുക്കുക

നിങ്ങളുടെ സ്വന്തം ഭരണ സെഷൻ വഹിക്കുന്ന ഫയർവാൾ നിയമങ്ങൾ മാറ്റുന്നതിന് മുമ്പ് രണ്ടാമത്തെ ചാനൽ സൂക്ഷിക്കുക: കൺസോൾ, സീരിയൽ കണക്ഷൻ, അല്ലെങ്കിൽ റദ്ദാക്കിയില്ലെങ്കിൽ പുതിയ നിയമങ്ങൾ നീക്കുന്ന ഷെഡ്യൂൾ ചെയ്ത റോൾബാക്ക്.

മാറ്റം യഥാർത്ഥത്തിൽ പുറത്ത് പൂട്ടിയാൽ, വീണ്ടെടുക്കൽ ആ ചാനലിലൂടെയാണ്, ഇപ്പോൾ നീക്കിയ നെറ്റ്‌വർക്കിലൂടെയല്ല. സൂക്ഷിച്ച പകർപ്പിൽ നിന്ന് മുൻ നിയമക്കൂട്ടം പുനഃസ്ഥാപിക്കുക, ഹോസ്റ്റ് വീണ്ടും എത്താവുന്നതാണെന്ന് ഉറപ്പാക്കുക, അതിനുശേഷം മാത്രം ഉദ്ദേശിച്ച നയം ചെറിയ ഭാഗങ്ങളായി പ്രയോഗിക്കുക.

അന്തിമ നയം സാർവത്രികമല്ല. വിലാസനിർണ്ണയം, റൗട്ടിംഗ്, ഫയർവാൾ നടപ്പാക്കൽ എന്നിവ വിന്യാസ ഇൻപുട്ടുകളാണ്, പക്ഷേ അതിർത്തി എല്ലായിടത്തും ഒന്നുതന്നെ: അനുവദിച്ച ടണൽ വഹിക്കുന്ന നിയന്ത്രണ ട്രാഫിക് നിലനിർത്തി ഉദ്ദേശിക്കാത്ത ആപ്ലിക്കേഷൻ പ്രവേശനം നിരസിക്കുക.