NEW മാത്രമുള്ള ഫയർവാൾ നിയമങ്ങൾ എല്ലാ WAN പാതയും അടയ്ക്കുന്നില്ല

WAN-ൽ പുതിയ പുറത്തേക്കുള്ള കണക്ഷനുകൾ നിരസിക്കുന്നത് പരാജയത്തിൽ അടയുന്ന നയം പോലെ തോന്നുമെങ്കിലും കാണുന്നതിനേക്കാൾ ഇടുങ്ങിയ വാഗ്ദാനമാണ്. ഇതിനകം നിലനിൽക്കുന്ന ഫ്ലോകളിൽ ഉള്ള പാക്കറ്റുകൾ അതുമായി പൊരുത്തപ്പെടുന്നില്ല, പല മറുപടികളും പൊരുത്തപ്പെടുന്നില്ല. ഈ വിടവ് വീഴ്ത്തിക്കളയാൻ എളുപ്പമാണ്, കാരണം നിയമം ഇന്റർഫേസിനെ മൂടുന്നതായി വായിക്കപ്പെടുന്നു, അതിന് മേലുള്ള ഒരു കണക്ഷൻ അവസ്ഥയെയല്ല. അവസ്ഥാ പൊരുത്തം ഒരു വിധിയായി വായിക്കുന്നതാണ് തെറ്റായ അടച്ച ബോധം സൃഷ്ടിക്കുന്നത്.

അവസ്ഥ ഒരു പൊരുത്ത വ്യവസ്ഥയാണ്, വിധിയല്ല

കണക്ഷൻ ട്രാക്കിംഗ് പാക്കറ്റുകളെ ഫയർവാൾ ഇതിനകം കണ്ടതിന്റെ അടിസ്ഥാനത്തിൽ തരംതിരിക്കുന്നു, അപ്ലിക്കേഷൻ വിശ്വസിക്കുന്നതിന്റെ അടിസ്ഥാനത്തിലല്ല. രണ്ട് ദിശകളിലും നിരീക്ഷിച്ച ഫ്ലോ സ്ഥാപിതമാണ്, അതിന്റെ പിന്നീടുള്ള പാക്കറ്റുകൾ സ്ഥാപിതമായി തുടരുന്നു, താഴെയുള്ള വഴി ടണലിൽ നിന്ന് സാധാരണ അപ്ലിങ്കിലേക്ക് മാറിയാലും. ഒരു ആഗമന കണക്ഷനുള്ള മറുപടിയും സ്ഥാപിത ട്രാഫിക്കായിരിക്കാം. ആ പാക്കറ്റുകൾ വീണ്ടും ഒരിക്കലും പുതിയതാകുന്നില്ല.

അതുകൊണ്ട് പുതിയ കണക്ഷനുകളിൽ മാത്രം പരിമിതപ്പെട്ട ഒരു നിയമത്തിന് ഓരോ സംരക്ഷിത പാക്കറ്റും തടയപ്പെട്ടിരിക്കുന്നു എന്ന് തെളിയിക്കാനാവില്ല. ബാക്കി അവസ്ഥകളെ നിയമക്കൂട്ടത്തിന്റെ ബാക്കി ഭാഗം അവയോട് എന്ത് ചെയ്യുന്നു എന്നതിന് വിടുന്നു, അത് ചെയിനിൽ മുമ്പ് വച്ച ഒരു അനുവാദമായിരിക്കാം.

നിയമം അതിന്റെ ചുറ്റുപാടിൽ വായിക്കുക

തടയലിന് മുമ്പ് വച്ച സ്ഥാപിത, ബന്ധപ്പെട്ട ട്രാഫിക്കിനുള്ള വിശാല അനുവാദം തടയൽ വിലയിരുത്തുന്നതിന് മുമ്പുതന്നെ പാക്കറ്റിനെ കടത്തിവിടുന്നു. പിന്നീടുള്ള ഒരു നിയമത്തിൽ നിന്ന് അവസ്ഥാ വ്യവസ്ഥ നീക്കിയാലും അത് മാറില്ല, കാരണം വിലയിരുത്തൽ അവിടെ എത്തുന്നേയില്ല. ഫലം ക്രമം തീരുമാനിക്കുന്നു, ഏത് പാക്കറ്റുകൾ ആ ക്രമത്തിൽ എത്തുന്നു എന്ന് അവസ്ഥാ പൊരുത്തം തീരുമാനിക്കുന്നു.

നിങ്ങൾ തിരുത്തിയ ഫയലല്ല, പ്രാബല്യത്തിലുള്ള നിയമക്കൂട്ടം പരിശോധിക്കുക, മറ്റ് ചെയിനുകളിലേക്കുള്ള ചാട്ടങ്ങളും പ്ലാറ്റ്ഫോം സൃഷ്ടിക്കുന്നതെല്ലാം ഉൾപ്പെടെ. iptables നിയന്ത്രിക്കുന്ന റൗട്ടറിൽ ചെയിൻ പട്ടികപ്പെടുത്തുന്നത് നിയമ നിർവചനങ്ങൾ കാണിക്കുന്നു, അത് പരാമർശിക്കുന്ന ചെയിനുകളും പിന്തുടരണം. നേറ്റീവ് nftables സിസ്റ്റത്തിന് സ്വന്തം നിയമക്കൂട്ടവും ഹുക്ക് മുൻഗണനകളും പരിശോധിക്കേണ്ടതുണ്ട്, കാരണം ഫേംവെയർ ഒരേപോലുള്ള ചെയിനുകൾ അപൂർവമായേ സൃഷ്ടിക്കുന്നുള്ളൂ.

കൗണ്ടറുകൾ ഏത് നിയമമാണ് യഥാർത്ഥത്തിൽ പൊരുത്തപ്പെട്ടത് എന്ന് പറയുന്നു, സാധാരണയായി തീരുമാനത്തിന് ശേഷം എടുത്ത പാക്കറ്റ് ക്യാപ്ചറിനേക്കാൾ അവ കൂടുതൽ വിവരദായകമാണ്. പൂജ്യം കൗണ്ടറുള്ള നിയമത്തിൽ എത്തിയിട്ടില്ല, അതിന്റെ സ്ഥാനം എന്ത് സൂചിപ്പിച്ചാലും.

വിലക്ക് അവസ്ഥയിൽ നിന്ന് സ്വതന്ത്രമായി പ്രകടിപ്പിക്കുക

ഒരു ക്ലയന്റ് സംഘത്തിന് ടണലിന് പുറത്ത് ഇന്റർനെറ്റിൽ എത്താൻ പാടില്ലെങ്കിൽ, ഒരു അവസ്ഥ കൊണ്ട് ഏകദേശിക്കുന്നതിന് പകരം അത് നേരിട്ട് പറയുക. നിയമം കണക്ഷൻ അവസ്ഥയെ ആശ്രയിക്കാതെ ഉറവിടം, പുറപ്പാട്, ലക്ഷ്യം എന്നിവയിൽ തിരഞ്ഞെടുക്കണം, മുൻപുള്ള ഒരു അനുവാദത്തിനും അതിനെ ഒഴിവാക്കാനാവാത്ത സ്ഥലത്ത് നിൽക്കണം. അപ്പോൾ മാനേജ്മെന്റ് പ്രവേശനത്തിനും പ്രാദേശിക നെറ്റ്വർക്ക് ഒഴിവുകൾക്കും സ്വന്തം വ്യക്തമായ നിയമങ്ങൾ ലഭിക്കുന്നു, അതിനാൽ ഉദ്ദേശ്യം നയത്തിൽ കാണാം.

drop-ന് പകരം reject തിരഞ്ഞെടുക്കുന്നത് പൊരുത്തപ്പെട്ട ട്രാഫിക് പരാജയപ്പെടുന്ന വിധം മാറ്റുന്നു, നിയമം തിരഞ്ഞെടുക്കുന്ന പാക്കറ്റുകളുടെ കൂട്ടം വിപുലീകരിക്കുന്നില്ല. നിരസിച്ച കണക്ഷനും നിശബ്ദ സമയപരിധിയും ഒരേ തിരഞ്ഞെടുപ്പിലേക്ക് ചൂണ്ടുന്ന വ്യത്യസ്ത ലക്ഷണങ്ങളാണ്.

WAN വഴി ദൂരത്തുനിന്ന് ആരംഭിച്ച പ്രവേശനത്തിനുള്ള മറുപടികൾ ബോധപൂർവം അനുവദിക്കുന്ന നയം സമർത്ഥിക്കാവുന്നതാണ്. ടണൽ വഴി മാത്രമുള്ള പൂർണ്ണ വേർതിരിവായി അവതരിപ്പിക്കുന്നതിന് പകരം അതേപോലെ വിവരിക്കേണ്ടതുണ്ട്.

സംഘത്തിൽ യഥാർത്ഥത്തിൽ ആരുണ്ടെന്ന് പരിശോധിക്കുക

ഉദാഹരണം ഒരു ഇന്റർഫേസിൽ നിന്ന് ഒരു പ്രിഫിക്സിന്റെ ഫോർവേഡ് ചെയ്ത IPv4 ട്രാഫിക് ഉൾക്കൊള്ളുന്നു. IPv6, രണ്ടാമത്തെ അപ്ലിങ്ക്, റൗട്ടർ തന്നെ സൃഷ്ടിക്കുന്ന ട്രാഫിക് എന്നിവയെക്കുറിച്ച് അത് ഒന്നും പറയുന്നില്ല. DNS റിസോൾവറായി പ്രവർത്തിക്കുന്ന റൗട്ടർ സ്വന്തം അപ്സ്ട്രീം ക്വറികൾ അയയ്ക്കുന്നു, അവ forward ചെയിനിലൂടെ ഒട്ടും കടക്കുന്നില്ല.

സംരക്ഷിത ക്ലയന്റുകൾക്ക് ഇപ്പോഴും തിരഞ്ഞെടുത്ത പ്രിഫിക്സിനുള്ളിൽ വിലാസങ്ങളുണ്ടെന്ന് ഉറപ്പാക്കുക, കാരണം അതിൽ നിന്ന് പുറത്തേക്ക് മാറിയ ഉപകരണം നയപ്രകാരമല്ല, യാദൃച്ഛികമായി നേരിട്ടുള്ളതാണ്. ഒഴിവുകളുടെ രൂപകൽപ്പന പരിശോധിക്കാതെ തടയൽ മുഴുവൻ LAN-ലേക്ക് വിപുലീകരിക്കുന്നതും നിങ്ങളുടെ സ്വന്തം ഭരണ പാത നീക്കം ചെയ്യാൻ ഇടയാക്കുന്നു.

iptables -S FORWARD
iptables -L FORWARD -v -n
cat /proc/net/nf_conntrack | grep -c ESTABLISHED

തുടർന്ന് പഴയ ഫ്ലോ ഒരു പുതിയതിന് അടുത്ത് പരീക്ഷിക്കുക. പുതിയ കണക്ഷൻ ശ്രമവും ഇതിനകം സജീവമായ ഇരുവശ ട്രാൻസ്ഫറും ഈ നിയമത്തിന് കീഴിൽ വ്യത്യസ്തമായി പ്രവർത്തിക്കുന്നു, രണ്ടും പരീക്ഷിക്കുമ്പോൾ മാത്രമേ യഥാർത്ഥത്തിൽ ഏത് നയമാണെന്ന് അറിയൂ.