WireGuard सुरक्षित करण्यासाठी IPv6 ब्लॉक केल्यास होस्ट तुटतो

ध्येय योग्य आहे: या यंत्रावरील सेवांपर्यंत फक्त बोगदा वापरकर्तेच पोहोचले पाहिजेत. लोक जी अंमलबजावणी निवडतात ती WireGuard सोडून सर्व टाकून देणारी IPv6 इनपुट साखळी आहे, आणि त्यामुळे होस्टला स्वतःच्या दुव्याला जोडून ठेवणारी रहदारीही टाकून दिली जाते. शेजारी शोध आणि मार्ग देखभाल संदेश सेवा-प्रवेश नाहीत, आणि ते काढून टाकल्यास तुमच्या धोरणाशी संबंध नसलेल्या कारणांमुळे न पोहोचता येणारे यंत्र तयार होते. बोगदा वर येतो, सेवा योग्यरीत्या मर्यादित आहेत, आणि दुव्यावर इतर काहीही चालत नाही.

तीन जबाबदाऱ्या, एक नियमसंच

पहिली जबाबदारी बाह्य नेटवर्कचे संचालन आहे: होस्टने स्वतःच्या दुव्यावर राहिले पाहिजे, शेजारी सोडवले पाहिजेत आणि त्या दुव्याच्या मार्ग मर्यादा जाणून घेतल्या पाहिजेत. दुसरी एन्क्रिप्टेड श्रोता आहे, जी तुम्ही निवडलेल्या पत्त्या आणि पोर्टवर UDP स्वीकारते. तिसरी म्हणजे तुम्हाला बोगदा वापरकर्त्यांनी पोहोचावे अशा डिक्रिप्ट केलेल्या सेवांचा संच.

या तीन वेगळी धोरणे आहेत, आणि फक्त दुसरे व तिसरे VPNशी संबंधित आहेत. जो नियमसंच यांना एक मानतो तो असा अपयश स्वीकारतो ज्यात अनुप्रयोग सीमा कडक करणे होस्टचे जोडणे शांतपणे तोडते.

ती वेगळ्या साखळ्यांमध्ये किंवा किमान वेगळ्या टिप्पण्यांमध्ये ठेवा, म्हणजे पुढच्या व्यक्तीला कोणती ओळ कशासाठी आहे ते दिसेल.

ICMPv6 होस्टसाठी काय करते

IPv6 प्रतिध्वनीपेक्षा खूप अधिक गोष्टींसाठी ICMPv6 वर अवलंबून आहे. शेजारी विनंती व घोषणा ARP ची जागा घेतात आणि स्थानिक वितरणासाठी आवश्यक आहेत. Packet Too Big मार्गाची MTU माहिती वाहून नेते, आणि ती दुर्लक्षित केल्यास मोठ्या पॅकेटवर अडकणारी हस्तांतरणे होतात. दुवा स्वयंचलित संरचना वापरतो तेव्हा राउटर घोषणा मूलभूत मार्ग आणि उपसर्ग माहिती वाहून नेतात.

RFC 4890 होस्ट फिल्टरने अनिवार्यपणे अनुमती द्यावयाच्या संदेशांना प्रशासकीय निवड असलेल्या संदेशांपासून वेगळे करते, आणि ते नेटवर्कदरम्यान पुढे पाठवणाऱ्या राउटरच्या नियमांपेक्षा वेगळ्या होस्ट विभागात करते. फक्त पुढे पाठवण्याचा विभाग वाचल्यास संरक्षित होस्टसाठी खूप कडक इनपुट धोरण तयार होते.

व्यावहारिक नियम म्हणजे आवश्यक इंटरफेसवर महत्त्वाचे त्रुटी व संरचना संदेश अनुमती देणे, प्लॅटफॉर्म परवानगी देते तेथे प्रकार व स्रोतानुसार मर्यादित करणे, आणि उर्वरितबद्दल स्पष्ट निर्णय घेणे.

हे सर्व सर्वव्यापी ICMPv6 परवानगीने बदलल्यास उपलब्धतेची समस्या सुटते पण गाळणी सोडावी लागते. ती सर्वव्यापी टाकून देण्याने बदलल्यास गाळणीची समस्या सुटते पण होस्ट सोडावा लागतो.

आधी बोगद्याला, नंतर सेवेला अनुमती द्या

इच्छित बाह्य पत्ता व UDP पोर्टवर WireGuard वाहतूक स्वीकारा, आणि परत येणारी रहदारी कनेक्शन ट्रॅकिंगद्वारे स्वीकारा. नंतर बोगदा इंटरफेसद्वारे अनुप्रयोग सेवांना अनुमती द्या, तुम्ही खरोखर अधिकृत करता त्या स्रोतांकडून.

बाह्य UDP पोर्टची परवानगी त्यातील डिक्रिप्ट केलेल्या विनंत्या अधिकृत करत नाही. हाच फरक सेवा-नियमांमध्ये बोगदा इंटरफेस दिसण्याचे संपूर्ण कारण आहे.

फाइल वर्णन करते तसे नाही, नियमसंच जसा आहे तसा वाचा:

sudo nft list ruleset
ip -6 addr show
ip -6 route show default

भौतिक पत्त्यावरील श्रोता बोगदा पत्त्यावरील त्याच सेवेपेक्षा वेगळे उघडकीकरण आहे. जर यंत्र दुसऱ्या यंत्राकडेही रहदारी पुढे पाठवत असेल, तर तो हे इनपुट धोरण नाही तर पुढे पाठवण्याच्या साखळीचा निर्णय आहे, आणि त्याला स्वतःचे समर्थन लागते.

बोगदा नाही, दुवा तपासा

बदलानंतर चालणारा बोगदा दिसते त्यापेक्षा कमी सिद्ध करतो, कारण विद्यमान शेजारी नोंद आणि प्रस्थापित कनेक्शन धोरण आता टाकून देते अशी नियंत्रण संदेश लपवू शकतात.

जोडणी थेट तपासा, नंतर वगळलेला मार्ग अजूनही अयशस्वी होतो का ते तपासा:

ip -6 neigh show
ping -6 -c 3 2001:db8:1::1
sudo nft -c -f /etc/nftables.conf

रीबूटनंतरही शेजारी तक्ता पूर्ण राहिला तर शोध अजूनही चालतो याचा संकेत. रिकामा होऊन पुन्हा कधीही भरून न येणारा तक्ता तुम्ही तो गाळून टाकला याचा संकेत. तिसरा आदेश नियमसंच लागू न करता त्याची वाक्यरचना तपासतो, सेशन असताना ते करणे योग्य आहे.

तुम्ही स्वतःला बाहेर कुलूप लावलेला होस्ट पुनर्प्राप्त करा

तुमचे स्वतःचे प्रशासकीय सेशन वाहणारे फायरवॉल नियम बदलण्यापूर्वी दुसरा मार्ग ठेवा: कन्सोल, सिरियल कनेक्शन, किंवा रद्द न केल्यास नवीन नियम काढून टाकणारा नियोजित रोलबॅक.

बदल खरोखर बाहेर कुलूप लावत असेल, तर पुनर्प्राप्ती त्या मार्गाने होते, नुकत्याच काढलेल्या नेटवर्कने नाही. जतन केलेल्या प्रतीतून मागील नियमसंच पुनर्संचयित करा, होस्ट पुन्हा पोहोचण्यायोग्य असल्याची खात्री करा, आणि त्यानंतरच इच्छित धोरण लहान तुकड्यांत लागू करा.

अंतिम धोरण सार्वत्रिक नाही. पत्ता, मार्गनिर्देशन आणि फायरवॉल अंमलबजावणी हे तैनातीचे इनपुट आहेत, पण सीमा सर्वत्र एकच आहे: अधिकृत बोगदा वाहणारी नियंत्रण रहदारी टिकवून अनपेक्षित अनुप्रयोग प्रवेश नाकारा.