L-imblukkar tal-IPv6 biex tħares il-WireGuard ikisser il-host

L-għan huwa raġonevoli: ħadd ma għandu jilħaq is-servizzi fuq dan il-magni ħlief l-utenti tat-tunnel. L-implimentazzjoni li normalment jintgħażel hija katina tal-input IPv6 li tarmi kollox ħlief WireGuard, u dan iwassal biex jintrema wkoll it-traffiku li jżomm il-host marbut mal-konnessjoni tiegħu stess. Is-sejbien tal-ġirien u l-messaġġi tal-manutenzjoni tal-passa mhumiex aċċess għas-servizzi, u t-tneħħija tagħhom tipproduċi magna li ma tintlaħaqx għal raġunijiet bla rabta mal-politika tiegħek. It-tunnel jitla’, is-servizzi jkunu limitati sewwa, u xejn ieħor fuq il-konnessjoni ma jaħdem.

Tliet responsabbiltajiet, sett wieħed ta’ regoli

L-ewwel responsabbiltà hija t-tħaddim tan-netwerk ta’ barra: il-host irid jibqa’ fuq il-konnessjoni tiegħu, jissolva l-ġirien u jitgħallem il-limiti tal-passa ta’ dik il-konnessjoni. It-tieni hija s-semmiegħa kriptata, li taċċetta UDP fl-indirizz u l-port li għażilt. It-tielet hija s-sett ta’ servizzi deċifrati li trid li l-utenti tat-tunnel jilħqu.

Dawn huma tliet politiki differenti, u t-tieni u t-tielet biss għandhom x’jaqsmu mal-VPN. Sett ta’ regoli li jittrattahom bħala wieħed jiret mod ta’ falliment li fih it-tisħiħ tal-konfini tal-applikazzjoni ikisser is-silenzju l-irbit tal-host.

Żommhom fi ktajjen separati jew tal-inqas kummenti separati, biex il-persuna li jmiss tara liema linja teżisti u għaliex.

X’inhu jagħmel ICMPv6 għall-host

IPv6 jiddependi fuq ICMPv6 għal ħafna iktar mill-echo. It-talba u t-tħabbira tal-ġar jissostitwixxu l-ARP u huma meħtieġa għall-kunsinna lokali. Il-Packet Too Big iġġorr l-informazzjoni tal-MTU tal-passa, u li tinjoraha tipproduċi trasferimenti li jieqfu fuq pakketti kbar. It-tħabbiriet tar-router iġorru r-rotta prestabbilita u l-informazzjoni tal-prefiss meta l-konnessjoni tuża konfigurazzjoni awtomatika.

RFC 4890 tifred il-messaġġi li filtru tal-host irid jippermetti minn dawk li huma għażla amministrattiva, u tagħmel dan fi sezzjoni tal-host differenti mir-regoli għal router li jibgħad bejn in-netwerks. Li taqra biss is-sezzjoni tal-jibgħad tipproduċi politika tal-input wisq stretta għall-host li tħares.

Ir-regola prattika hi li tippermetti l-messaġġi essenzjali tal-iżbalji u tal-konfigurazzjoni fuq l-interface li teħtieġhom, limitati skont it-tip u s-sors fejn il-pjattaforma tippermetti, u tieħu deċiżjoni espliċita dwar il-bqija.

Li tissostitwixxi dan kollu b’permess ġenerali tal-ICMPv6 issolvi l-problema tad-disponibbiltà u tabbanduna l-filtrazzjoni. Li tissostitwixxih b’tarmija ġenerali ssolvi l-problema tal-filtrazzjoni u tabbanduna l-host.

Ħalli t-tunnel jgħaddi, imbagħad is-servizz

Aċċetta t-trasport tal-WireGuard fuq l-indirizz ta’ barra maħsub u l-port UDP, u aċċetta t-traffiku tar-ritorn permezz tal-intraċċar tal-konnessjonijiet. Imbagħad ħalli s-servizzi tal-applikazzjoni jgħaddu mill-interface tat-tunnel, mis-sorsi li tassew tawtorizza.

Permess għall-port UDP ta’ barra ma jawtorizzax it-talbiet deċifrati ġewwa fih. Din id-distinzjoni hija r-raġuni kollha għaliex l-interface tat-tunnel tidher fir-regoli tas-servizzi.

Aqra s-sett ta’ regoli kif inhu, mhux kif jiddeskrivih il-fajl:

sudo nft list ruleset
ip -6 addr show
ip -6 route show default

Semmiegħa fuq indirizz fiżiku hija espożizzjoni separata mill-istess servizz fuq l-indirizz tat-tunnel. Jekk il-magna tibgħad traffiku wkoll lejn magna oħra, dik hija deċiżjoni tal-katina tal-jibgħad u mhux din il-politika tal-input, u teħtieġ raġunament tagħha.

Ittestja l-konnessjoni, mhux biss it-tunnel

Tunnel li jaħdem wara l-bidla jipprova inqas milli jidher, għax entrata tal-ġar li teżisti u konnessjoni stabbilita jistgħu jaħbu messaġġ ta’ kontroll li l-politika issa tarmi.

Iċċekkja l-irbit direttament, imbagħad iċċekkja li l-passa eskluża għadha tfalli:

ip -6 neigh show
ping -6 -c 3 2001:db8:1::1
sudo nft -c -f /etc/nftables.conf

Tabella tal-ġirien li tibqa’ kompluta wara riavvjar hija s-sinjal li s-sejbien għadu jaħdem. Tabella li tiċċarja u qatt ma terġa’ timtela hija s-sinjal li ffiltrajtha barra. It-tielet kmand jivvalida s-sintassi tas-sett ta’ regoli mingħajr ma japplikah, u dan jiswa li jsir sakemm għad għandek sessjoni.

Irkupra host li ħbist lilek innifsek barra minnu

Qabel ma tibdel regoli tal-firewall li jġorru s-sessjoni amministrattiva tiegħek stess, żomm it-tieni kanal: console, konnessjoni serjali, jew irkupru skedat li jneħħi r-regoli l-ġodda jekk ma tikkanċellahx.

Jekk bidla tassew iħabbtek barra, l-irkupru jsir permezz ta’ dak il-kanal u mhux permezz tan-netwerk li għadek kemm neħħejt. Erġa’ stabbilixxi s-sett ta’ regoli preċedenti minn kopja salvata, ikkonferma li l-host jintlaħaq mill-ġdid, u imbagħad biss erġa’ applika l-politika maħsuba fi bċejjeċ iżgħar.

Il-politika finali mhijiex universali. L-indirizzar, ir-routing u l-implimentazzjoni tal-firewall huma inputs tal-varar, imma l-konfini huwa l-istess kullimkien: irrifjuta aċċess mhux mixtieq għall-applikazzjonijiet filwaqt li żżomm it-traffiku ta’ kontroll li jġorr it-tunnel awtorizzat.