Зөвхөн NEW-д зориулсан галт ханын дүрэм бүх WAN замыг хаахгүй

WAN дээр шинэ гадагш холболтыг татгалзах нь алдаа гарвал хаагддаг бодлого мэт харагдах боловч харагдахаас илүү нарийн амлалт юм. Өмнө нь байгаа урсгалд хамаарах пакетууд түүнд тохирохгүй, олон хариу ч тохирохгүй. Энэ завсрыг анзаарахгүй өнгөрөхөд хялбар, учир нь дүрмийг интерфейсийг хамарсан мэт уншдаг бөгөөд түүн дээрх нэг холболтын төлөвийг биш. Харин төлөвийн тохирлыг шийдвэр гэж унших нь хаагдсан гэсэн хуурамч мэдрэмжийг төрүүлдэг.

Төлөв бол тохирлын нөхцөл, шийдвэр биш

Холболтын мөрдөлт пакетуудыг галт хана өмнө нь харсан зүйлээр ангилдаг, програмын итгэж буй зүйлээр биш. Хоёр чиглэлд ажиглагдсан урсгал тогтсон гэж тооцогдож, дараагийн пакетууд нь доорх зам туннелээс ердийн дээш холбоос руу өөрчлөгдсөн ч тогтсон хэвээр үлддэг. Ирж буй холболтын хариу ч мөн тогтсон урсгал байж болно. Тэдгээр пакет хэзээ ч дахин шинэ болохгүй.

Тиймээс зөвхөн шинэ холболтод хязгаарлагдсан дүрэм хамгаалагдсан пакет бүр хаагдсан гэдгийг баталж чадахгүй. Бусад төлөвийг дүрмийн багцын үлдсэн хэсэг тэдгээртэй юу хийхэд нь үлдээдэг бөгөөд энэ нь гинжин хэлхээнд өмнө тавьсан зөвшөөрөл байж болно.

Дүрмийг эргэн тойронтой нь хамт уншина уу

Хаалтын өмнө тавьсан тогтсон болон холбоотой урсгалд зориулсан өргөн зөвшөөрөл нь хаалтыг ерөөсөө үнэлэхээс өмнө пакетыг нэвтрүүлдэг. Хожуу дүрмээс төлөвийн нөхцөлийг хасах нь үүнийг өөрчлөхгүй, учир нь үнэлгээ тэнд хэзээ ч хүрэхгүй. Үр дүнг дараалал шийдэж, аль пакетууд тэр дараалалд хүрэхийг төлөвийн тохирол шийднэ.

Засварласан файлыг биш, хүчинтэй дүрмийн багцыг шалгана уу, бусад гинжин хэлхээ рүү үсрэлт болон платформын үүсгэдэг бүх зүйлийг оролцуулан. iptables-аар удирдуулсан маршрутлагч дээр гинжийг жагсаахад дүрмийн тодорхойлолт харагдах бөгөөд түүний дурдсан гинжүүдийг мөн дагах ёстой. Өөрийн nftables систем өөрийн дүрмийн багц болон дэгээний эрэмбийг шалгах шаардлагатай, учир нь программын дэмжлэг ижил гинжийг ховор үүсгэдэг.

Тоолуурууд аль дүрэм үнэхээр тохирсныг харуулдаг бөгөөд тэд ихэвчлэн шийдвэрийн дараа авсан пакетын бичлэгээс илүү мэдээлэлтэй байдаг. Тэг тоолууртай дүрэмд хүрээгүй, байрлал нь юу ч гэсэн.

Хоригийг төлөвөөс хамааралгүйгээр илэрхийлнэ үү

Хэрэв клиентүүдийн бүлэг туннелээс гадна интернетэд хэзээ ч хүрэх ёсгүй бол нэг төлөвөөр ойролцоолохын оронд шууд хэлээрэй. Дүрэм холболтын төлөвөөс хамааралгүйгээр эх сурвалж, гаралт, очих газраар сонгож, өмнөх ямар ч зөвшөөрөл тойрч гарахгүй газарт байх ёстой. Тэгвэл удирдлагын хандалт болон орон нутгийн сүлжээний үл хамаарах зүйлс өөрийн тодорхой дүрэмтэй болж, санаа бодол бодлогод харагдана.

drop-ын оронд reject сонгох нь тохирсон урсгал хэрхэн бүтэлгүйтэхийг өөрчилдөг бөгөөд дүрмийн сонгодог пакетын багцыг өргөжүүлэхгүй. Татгалзсан холболт болон чимээгүй хугацаа дуусах нь нэг сонголт руу заасан өөр өөр шинж тэмдэг юм.

WAN-аар алсаас эхэлсэн хандалтын хариуг зориуд зөвшөөрдөг бодлого хамгаалагдах боломжтой. Зөвхөн туннелээр бүрэн тусгаарлалт гэж танилцуулахын оронд яг тийнхүү тайлбарлах хэрэгтэй.

Бүлэгт үнэхээр хэн байгааг шалгана уу

Жишээ нь нэг интерфейсээс нэг угтварын дамжуулсан IPv4 урсгалыг хамардаг. Энэ нь IPv6, хоёр дахь дээш холбоос, эсвэл маршрутлагч өөрөө үүсгэдэг урсгалын талаар юу ч хэлэхгүй. DNS шийдэгчийн үүрэг гүйцэтгэдэг маршрутлагч өөрийн дээш асуулгыг илгээдэг бөгөөд тэдгээр нь forward гинжээр огт дамждаггүй.

Хамгаалагдсан клиентүүд сонгосон угтварын дотор хаягуудтай хэвээр байгааг баталгаажуулна уу, учир нь түүнээс гарсан төхөөрөмж бодлогын дагуу биш, санамсаргүйгээр шууд холбогддог. Үл хамаарах зүйлсийн загварыг хянахгүйгээр хаалтыг бүх LAN руу өргөжүүлэх нь таны өөрийн удирдлагын замыг арилгах хандлагатай.

iptables -S FORWARD
iptables -L FORWARD -v -n
cat /proc/net/nf_conntrack | grep -c ESTABLISHED

Дараа нь хуучин урсгалыг шинэ урсгалын хажууд туршина уу. Шинэ холболтын оролдлого болон аль хэдийн идэвхтэй хоёр чиглэлийн дамжуулалт энэ дүрмийн дор өөрөөр ажилладаг бөгөөд хоёуланг нь туршиж үзэхэд л ямар бодлоготой болохыг харуулна.