Ibblokka Medda Destinazzjoni Waħda għal Kull Pool ta' Klijenti VPN
Regola waħda ta' nftables tista' tirrifjuta prefiss tad-destinazzjoni għal pool VPN ammess mingħajr ma tmiss it-traffiku tal-gateway stess. Qabbel il-hook u l-pożizzjoni.
Regola waħda tista' żżomm pool VPN ammess 'il bogħod minn medda tad-destinazzjoni mingħajr ma tfixkel xi ħaġa oħra li jagħmel il-gateway. Ir-regola nnifisha hija qasira; il-partijiet li jiddeċiedu jekk taħdimx huma l-hook li fih tgħix u l-pożizzjoni tagħha fil-katina. Jekk tiżbalja f'dawn it-tnejn, tikseb firewall li jidher korrett u jġib ruħu b'mod inkonsistenti. Ibda minn dak li qed jagħmel il-pakkett meta r-regola tarah.
X'qed tqabbel ir-regola fil-verità
Ir-regola tqabbel tliet affarijiet f'daqqa: interface tad-dħul, prefiss tas-sors u prefiss tad-destinazzjoni. It-tlieta jridu jkunu veri qabel ma jiġi applikat id-drop, u dan huwa li jżommha dejqa. Li taqrah bħala espressjoni waħda huwa eħfef milli bħala tliet politiki separati.
It-tqabbil tal-interface huwa dak li jiddistingwi t-traffiku tal-klijent li jiġi mgħoddi mill-konnessjonijiet tal-gateway stess. Mingħajru, regola li ssemmi biss il-pool tas-sors taffettwa wkoll pakketti li l-gateway stess jiġġenera minn dak l-indirizz, jekk qatt jagħmel dan. Il-prefiss tas-sors jillimita l-politika għall-klijenti ammessi, u l-prefiss tad-destinazzjoni jillimitaha għal medda waħda. Aqra r-regola bħala intersezzjoni u mhux bħala lista.
Ikteb it-tliet valuri qabel ma timmodifika xi ħaġa: l-isem tal-interface tat-tunnel, il-pool li jqassam is-server, u l-prefiss li beħsiebek tirrifjuta. Żball tipografiku f'waħda minnhom jipproduċi regola li tiġi analizzata nadifa u ma tipproteġi xejn. Żomm dawk it-tliet valuri fir-rekord tal-bidla ħdejn ir-regola.
Il-hook jiddeċiedi fuq min tapplika r-regola
Katina netfilter hija mwaħħla ma' hook, u il-hook jiddeċiedi liema pakketti l-katina tara tassew. Il-hook forward jara traffiku li jiġi rrutat mill-gateway, u dan huwa eżattament it-traffiku mill-klijent għad-destinazzjoni. Kull ħaġa oħra fil-katina hija mmirata lejn udjenza differenti.
Il-hook input jara traffiku indirizzat lill-gateway stess, mela regola mqiegħda hemmhekk tirregola l-aċċess għas-servizzi tiegħu stess u mhux it-transitu. Il-hook output jara traffiku li l-gateway jiġġenera huwa stess, li huwa l-oppost ta' dak li teħtieġ politika tal-pool tal-klijenti. L-ismijiet tal-katini huma tikketti arbitrarji magħżula minn min kiteb is-sett ta' regoli, għalhekk tisletx il-hook mill-isem. Iċċekkja fejn hija mwaħħla l-katina qabel ma tassumi x' tista' tqabbel.
| Hook | Traffic it sees | Right for this policy |
|---|---|---|
| input | Addressed to the gateway | No, that is the host's own services |
| forward | Routed through the gateway | Yes, for client-to-destination traffic |
| output | Generated by the gateway | No, that is the opposite direction |
Li taqra l-irbit hija verifika ta' linja waħda li tipprevjeni regola milli tinżel f'katina li qatt ma tara l-pakkett.
Poġġi r-regola qabel l-accept wiesa'
Ir-regoli jiġu evalwati bl-ordni, u l-ewwel verdett jirbaħ. Accept wiesa' aktar kmieni fil-katina jtemm l-evalwazzjoni għall-pakketti li jqabbel, għalhekk drop miżjud wara qatt ma jaħdem għalihom. Dik ir-regola tal-ordni hija r-raġuni kollha għaliex regola li tidher korretta tista' ma jkollhiex effett.
Daħħal ir-regola qabel l-accept minflok ma żżidha fit-tarf. Jekk il-katina diġà fiha accept ġenerali għall-interface tat-tunnel, ir-regola l-ġdida trid tiġi qablu inkella hija biss ornament. Iċċekkja l-ordni li tirriżulta u mhux il-fajl li mmodifikajt, għax sett ta' regoli mibni minn diversi fajls jista' ma jaqbilx ma' ebda wieħed minnhom. Imbagħad ikkonferma b'pakkett tat-test mill-pool.
sudo nft list chain inet filter forward
sudo nft insert rule inet filter forward iifname "tun0" ip saddr 10.90.0.0/24 ip daddr 198.51.100.0/24 drop
sudo nft -c -f /etc/nftables.confIt-tielet kmand janalizza l-fajl mingħajr ma japplikah, li jaqbad l-iżbalji tas-sintassi qabel ma jsiru waqfien. Applika b'pjan ta' rkupru, għax regola żbaljata f'katina forward tista' taqta' t-tunnel li qed taħdem fuqu.
Il-flussi eżistenti ma jimpurtahomx mir-regola l-ġdida tiegħek
Dħul conntrack maħluq qabel ma eżistiet ir-regola jibqa' jaqbel mal-accept preċedenti. Huwa għalhekk li drop ġdid xi drabi jidher li jaħdem għal konnessjonijiet ġodda u ma jagħmel xejn għal dak li qed jiġi ttestjat.
Aqra t-tqabbil tal-istat fil-quċċata tal-katina. Jekk jaċċetta traffiku established u related qabel ir-regola tiegħek, kull fluss li diġà għaddej jibqa' għaddej sakemm jagħlaq. Normalment dak huwa l-imġiba li trid għal regola ta' emerġenza, u hija konfuża meta tistenna qtugħ immedjat. Iddeċiedi liema effett trid qabel ma tiskjera. Test li jerġa' juża konnessjoni miftuħa se jgħidlek storja żbaljata.
sudo conntrack -L -s 10.90.0.14 -d 198.51.100.20
sudo nft list ruleset | grep -n -A3 'ct state'L-ewwel kmand juri jekk teżistix fluss, u t-tieni juri jekk regola tal-istat bikrija tibqax taċċettah. It-tnejn huma biss qari u sikuri biex jitħaddmu waqt inċident.
X' mhijiex din ir-regola
Ir-regola mhijiex lista sewda tad-dominji, politika IPv6 jew restrizzjoni fuq kont wieħed ta' applikazzjoni.
Kull wieħed minn dawn jeħtieġ il-mekkaniżmu tiegħu. Blokk tad-dominju jrid isolvi ismijiet, li filtru tal-pakketti ma jagħmilx. It-traffiku IPv6 jeħtieġ it-tqabbil tiegħu stess, għax espressjoni ip ma tgħid xejn dwar pakketti ip6. Restrizzjoni fil-livell tal-applikazzjoni tappartjeni lis-servizz jew lil proxy awtentikat, mhux lit-tqabbil tal-prefiss. Li dawn ir-rekwiżiti jinżammu separati huwa dak li jipprevjeni li regola dejqa waħda tintalab tagħmel erba' xogħlijiet.
Il-kuntratt li tagħti din ir-regola huwa preċiż: traffiku minn pool ammess lejn prefiss tad-destinazzjoni wieħed jiġi miċħud, filwaqt li traffiku mhux relatat tal-gateway iżomm il-politika eżistenti tiegħu. Ikteb dik is-sentenza ħdejn ir-regola, u l-persuna li jmiss tkun taf għal xiex kienet.