Гэрийн NAT яагаад таны VPN интерфэйсийг хамгаалахгүй вэ
Гэрийн чиглүүлэгч туннелийг дамжуулдаг ч хост тайлагдсан пакетыг шүүнэ. Сонсогч, дотоод зам, орох бодлогыг тус тусад нь уншина уу.
Портын дамжуулалтгүй гэрийн чиглүүлэгчийн ард байгаа зөөврийн компьютер VPN-ээр ирж буй SSH холболтыг одоо ч хүлээн авдаг. Энэ нь зөрчил биш, учир нь хоёр өөр төхөөрөмж хоёр өөр пакетыг шүүдэг. Чиглүүлэгч шифрлэгдсэн тээврийг дамжуулж, хост өөрийн туннелийн интерфэйсэд хүрсэн тайлагдсан пакетыг юу хийхийг шийддэг. Эдгээр хоёр шийдвэрийг тус тусад нь барих нь бүх дасгал юм.
Чиглүүлэгч туннелийг дамжуулж, хост пакетыг шүүнэ
Нэг ч дүрэм харахаас өмнө алслагдсан эх сурвалжаас үйлчилгээ хүртэлх замыг зур. Гадна хэсэг нь VPN тээвэр бөгөөд чиглүүлэгч, гарц удирддаг. Дотоод хэсэг нь төгсгөлийн цэг туннелийн давхаргыг авч, хост өөрийн VPN хаяг руу чиглэсэн пакетыг хүлээн авахад эхэлдэг.
Эдгээр хоёр хэсгийг нэгтгэвэл чиглүүлэгч хост гаргасан шийдвэрийн нэр хүндийг авна. Портын дамжуулалтын хуудас эсвэл чиглүүлэгчийн лог нь зөвхөн гадна харилцан яриаг дүрсэлдэг бөгөөд аль нь ч хост ямар тайлагдсан траффик хүлээн авахыг хэлдэггүй. Хост дотоод пакетэд өөрийн орох бодлогыг интерфэйсэд ирж буй аливаа пакетэд хэрэглэдэгтэй адил хэрэглэдэг. Яг энэ бодлогод өртөлтийн асуудал шийдэгддэг.
Орлуулагч сонсогч нь нийтийн үйлчилгээ биш
Linux дээр INADDR_ANY хаягт холбогдох нь бүх локал хаяг гэсэн үг тул үйлчилгээ хэзээ ч нэрлэж байгаагүй туннелийн интерфэйс дээр хариулж чадна. IP сокетийн лавлагаа энэ холболтыг дүрсэлдэг бөгөөд сонсогчдын жагсаалтаас дүгнэлт гаргахаас өмнө унших нь зүйтэй. Орлуулагч бичлэг нь сокетийн тухай баримт, хүртээмжийн тухай мэдэгдэл биш.
Доорх хоёр мөр нь нэг үйлчилгээний хоёр өөр холболт бөгөөд ялгаа нь интерфэйс чухал эсэх асуултын бүрэн хариулт юм. Юуны өмнө сокет ямар хаяг дээр сууж байгааг унш.
ss -lntp "sport = :22"
LISTEN 0 4096 0.0.0.0:22 0.0.0.0:* users:(("sshd",pid=812,fd=3))
LISTEN 0 4096 10.8.0.6:22 0.0.0.0:* users:(("sshd",pid=812,fd=4))Порт руу хүрч чадах зохицуулалтыг нэрлэ
Гурван зохицуулалт пакетыг тухайн интерфэйс дээр тавьдаг бөгөөд өөр өөр эзэдтэй. Зөвийг нэрлэх нь хэн бодлогыг өөрчлөх ёстойг шийднэ.
| Arrangement | What reaches the port | Where the decision lives |
|---|---|---|
| Another permitted VPN peer | A packet from the same tunnel subnet | Gateway forwarding policy and host input rules |
| A deliberate public forward | Traffic the gateway publishes on purpose | Gateway service definition |
| A subnet routed behind the gateway | Client traffic from the far side | Gateway route and host input rules |
Нийтийн гарцах хаяг харуулсан хөтчийн үр дүн гурвын аль нэгний тухай юу ч хэлэхгүй, учир нь гарч буй траффик хэрхэн гарч байгааг дүрсэлдэг, орж буй траффикт юу зөвшөөрөгдсөнийг биш. Үүний оронд сонсогч болон үйлчилгээний лог дахь эх хаягаас хойш ажилла. Хэрэв эх сурвалж нь өөр туннелийн peer бол гарцын бодлого нь сонирхолтой баримт бичиг. Хэрэв энэ нь орчуулсан хаяг бол дүрэм өөрчлөхөөс өмнө орчуулгыг ол.
Үйлчилгээг зорьсон замаар чинь хязгаарла
Хэрэв SSH зөвхөн удирдлагын замаас шаардлагатай бол тэр замыг эх хүрээ болон интерфэйс хэлбэрээр бич. Дараа нь хостын орох дүрмийг сүлжээний нэрээр биш, интерфэйс, очих газар, эх сурвалжаар хязгаарла, учир нь хувийн мэт харагдах нэр нь ямар ч хаягыг илэрхийлж болно. Дараагийн асуудлыг шийдэх хүнд зам үлдээ.
nft add rule inet filter input iifname "tun0" ip saddr 10.8.0.0/24 tcp dport 22 accept
nft list chain inet filter inputТуннелийн интерфэйс болон удирдлагын хүрээг нэрлэсэн дүрэм зорилгыг нэг газар илэрхийлнэ. Үүнийг Wi-Fi сүлжээнд зориулж бичсэн дүрэмтэй харьцуул, тэр нь тайлагдсан туннелийн траффикийн тухай юу ч хэлэхгүй. Хоёр давхарга санал нийлэхгүй бол пакетын тулгардаг бодлого нь хостын бодлого юм.
Нэвтрэлт болон засварыг яг байгаа газарт нь үлдээ; порт руу хүрэх нь түүнийг ашиглах зөвшөөрөлтэй байхтай хэзээ ч ижил байгаагүй. Танихгүй аливаа эх сурвалжийн хаягийн гэр бүл, цагийг бүртгэж, ямар нэг онцлог эсвэл эмзэг байдлыг буруутгахаас өмнө шалга. Туннелийн peer бүрийг хүлээн авдаг дүрэм нь удирдлагын дэд сүлжээг хүлээн авдагаас өөр загвар бөгөөд аль нь зорьсон гэдгийг ямар ч лог мөр хэлэхгүй.
Засварыг нэг амжилт, нэг татгалзалтай хүлээн ав
Хоёр хагасыг батал: нэг зөвшөөрөгдсөн холболт амжилттай болж, нэг хасагдсан зам татгалзагдана. Татгалзал бол хүмүүсийн алгасдаг хагас бөгөөд дүрэм зөвшөөрдөг өгөгдмөл утгын хажууд зогсохгүй ажиллаж байгааг харуулдаг. Энэ тухай бодохын оронд хасагдсан талаас турш.
Дахин холбогдсоны дараа хосыг давт, учир нь өөр интерфэйсийн нэрээр буцаж ирсэн туннель хуучин нэрэнд хязгаарлагдсан дүрмийг чимээгүй тойрч болно. Чухал хил нь хост бодитоор хүлээн авдаг пакетуудад хэрэглэдэг хил юм.