Regoli li jgħaddu kull port jistgħu jibilgħu l-WireGuard listener tiegħek
Regola wiesgħa ta' trażmissjoni tista' tibilgħa l-WireGuard u l-SSH listeners tal-gateway stess. Agħżel regoli dojoq jew indirizz pubbliku separat, imbagħad ittestja l-mogħdija tal-kontroll.
Gateway pubbliku diġà jħaddem WireGuard fuq UDP 51820, SSH fuq 22 u applikazzjoni waħda li trid tkun aċċessibbli mill-internet. Ir-regola li tħajjar tgħaddi kull port lill-peer u tgħid li spiċċat. Fuq gateway WireGuard regola bħal din tista' taqbad it-trasport tal-mina stess u tkeċċik 'il barra mill-magna li ttemmha. Il-pubblikazzjoni hija deċiżjoni ta' routing b'eċċezzjoni għall-pjan ta' kontroll, mhux linja DNAT waħda.
Dħul pubbliku jew dħul fil-mina: agħżel wieħed
Il-pubblikazzjoni ta' servizz toħloq punt ta' dħul ġdid lejn l-internet. Mhix l-istess bħall-għoti ta' sħubija VPN lil peer, għax il-viżitatur qatt ma jidħol fil-mina u l-gateway isir il-wiċċ pubbliku tal-backend. Dik id-distinzjoni tiddetermina l-udjenza tar-regola u ċ-ċertifikat tagħha.
L-interfaċċi amministrattivi rari jappartjenu f'dik il-pożizzjoni. Paġna amministrattiva li tintlaħaq mill-klijenti VPN awtorizzati żżomm il-wiċċ tal-attakk fil-mina u tevita li tħalli formola tal-login għal skanjar arbitrarju. L-endpoints pubbliċi tal-applikazzjoni għadhom jeħtieġu ċ-ċertifikat TLS tagħhom, awtentikazzjoni u limitu tar-rata; il-pass WireGuard iffurmat ma jipproteġix is-sieq tal-viżitatur sal-gateway.
Jekk is-servizz tassew irid ikun pubbliku, ikteb l-isem tal-host, iċ-ċertifikat li jkoprih u l-firxiet tal-viżitaturi li għandhom jilħquh. Dawk it-tliet fatti jiddeċiedu l-għamla tar-regola u l-politika tal-filtru aktar tard. Kull ħaġa barra minnhom hija tkabbir tal-ambitu fuq listener pubbliku.
Port wieħed jidħol, backend wieħed joħroġ
Uża port pubbliku wieħed u servizz backend wieħed. F'dan l-eżempju eth0 iġorr l-indirizz pubbliku 198.51.100.20, l-indirizz tal-mina tal-gateway huwa 10.200.0.1, u l-peer iħaddem l-applikazzjoni fuq 10.200.0.7. TCP 9443 pubbliku jiġi mappat għal TCP 8443 tal-peer:
iptables -t nat -A PREROUTING -i eth0 -d 198.51.100.20 -p tcp --dport 9443 -j DNAT --to-destination 10.200.0.7:8443
iptables -t nat -A POSTROUTING -o wg0 -d 10.200.0.7 -p tcp --dport 8443 -m conntrack --ctorigdst 198.51.100.20 --ctorigdstport 9443 -j SNAT --to-source 10.200.0.1Ir-regola SNAT taqbel mal-backend tradott u mad-destinazzjoni pubblika oriġinali, sabiex konnessjoni oħra mal-istess servizz backend tibqa' barra minn din il-mappa. Hija wkoll taħbi l-indirizz tal-viżitatur mill-peer, u dan huwa l-bdil li jagħmel ritorn routed li jippreserva s-sors disinn separat. Ir-referenza tal-estensjonijiet iptables tiddokumenta ż-żewġ miri u l-għażliet tat-tqabbil tagħhom.
It-trażmissjoni għadha trid tiġi attivata, u l-katina tal-filtru teħtieġ permess għad-destinazzjoni u l-port tradotti flimkien ma' tweġibiet stabbiliti. Il-katina FORWARD tara d-destinazzjoni tradotta wara DNAT, għalhekk regola miktuba kontra l-indirizz pubbliku ma taqbilx mal-pakkett tradott. Ikteb il-permess kontra t-tuple tal-backend, mhux dak pubbliku.
Il-peer irid jaċċetta l-konnessjoni tas-servizz mill-indirizz tal-mina tal-gateway u jibgħat it-tweġiba lura mill-mina. L-AllowedIPs tiegħu irid jawtorizza s-sors li jirċievi tassew, li taħt traduzzjoni tas-sors huwa l-indirizz tal-mina tal-gateway, u entrata wiesgħa 0.0.0.0/0 fuq kull peer mhix meħtieġa għal dan id-disinn. Dak li jwaqqa' t-traffiku tar-ritorn huwa peer li l-lista tiegħu tonqos minn dak l-indirizz, jew disinn li jippreserva s-sors u jgħaddi l-indirizz tal-viżitatur stess minflok, għalhekk iċċekkja s-sors li l-peer jara tassew u mhux dak fir-regola tiegħek.
Żomm il-listeners tal-gateway stess barra mir-regola
It-traduzzjoni tad-destinazzjoni sseħħ qabel ma l-magna tiddeċiedi li pakkett huwa lokali, għalhekk UDP 51820 jista' jispiċċa għand il-peer minflok għand il-proċess li jżomm kull konnessjoni tal-peer. Ir-regola tgħabbi b'suċċess u l-mina tmut, li hija falliment diffiċli biex taqrah min-naħa tal-peer.
SSH, l-aġenti tal-monitoraġġ u kull servizz ieħor fuq il-gateway għandhom l-istess espożizzjoni. Regola li tgħaddi kollox ma tiddistingwix il-pjan tal-kontroll mill-applikazzjoni ppubblikata, u l-ewwel reboot wara l-bidla huwa meta l-illokkjar isir ovvju. Ir-regola li tkopri kollox ma twissi dwar is-servizz li tieħu f'idejha bil-kwiet. Inti tiskopriha meta l-konnessjoni li jmiss tfalli.
Jekk it-trażmissjoni wiesgħa hija tassew meħtieġa, irriżerva l-ports tal-kontroll qabel ir-regola li tkopri kollox jew uża indirizz pubbliku separat għall-pubblikazzjoni. It-tieni għażla hija iktar nadifa għax l-indirizz tal-kontroll iżomm il-politika tiegħu, imma l-fornitur irid jipprovdi dak l-indirizz; iż-żieda ta' rekord DNS ma talloka wieħed.
It-trażmissjoni wiesgħa TCP u UDP mhijiex lanqas il-protokolli kollha. ICMP, IPv6, feedback tal-MTU tal-passaġġ u t-trasport estern tal-VPN jeħtieġu l-politika tagħhom, u regola li tkopri TCP u UDP tħalli dawk il-każijiet lill-katina default.
Agħżel il-mudell qabel ma tikteb ir-regoli
Erba' għamliet ikopru l-biċċa l-kbira tal-pubblikazzjonijiet tal-gateway, u l-għażla tiddependi minn kemm tmexxi servizzi u kemm riskju tal-pjan tal-kontroll tista' tittollera. It-tabella hawn taħt tordnahom mill-iktar dejjaq għall-iktar wiesgħa.
| Model | What it protects | Cost | Use when |
|---|---|---|---|
| Narrow port forward | Every other listener, including the VPN | One rule per service | Few services, stable ports |
| Catch-all with reserved ports | Ports named in the exception list | Rule order becomes critical | Many services and disciplined review |
| Separate public address | Control address fully isolated | Provider must supply the address | High-value publication |
| VPN-only access | No public entry at all | Visitors need the tunnel | Admin interfaces and internal tools |
Ibda bil-mudell dejjaq anki jekk tistenna iktar servizzi aktar tard. Huwa l-iktar faċli biex jiġi awditjat, u li tbiddel sett ta' regoli dojoq f'regola waħda riveduta li tkopri kollox huwa iktar sempliċi milli tiskopri liema listener qabdet regola wiesgħa. Liema mudell tgħażel, żomm ir-regoli għand is-sid tal-firewall. L-applikazzjoni ta' linji iptables ħdejn konfigurazzjoni UFW jew nftables li tmexxi l-istess ktajjen tipproduċi politika li tinbidel skont l-ordni tal-boot.
Ipprova kemm il-pubblikazzjoni kif ukoll il-mogħdija tal-kontroll
Ittestja minn klijent estern awtorizzat bl-isem tal-host approvat u b'ċertifikat validu għalih. Ikkonferma liema backend wieġeb, imbagħad iċċekkja li l-ports pubbliċi mhux relatati jibqgħu miċħuda. Kontroll taċ-ċertifikat diżattivat mhuwiex test HTTPS li jgħaddi, u konnessjoni li tilħaq il-backend ħażin hija agħar minn waħda li tfalli.
Wara dan, ivverifika l-gateway stess: qabbad peer WireGuard, iftaħ sessjoni SSH u kkonferma li l-monitoraġġ għadu jirrapporta. Is-servizz ippubblikat jista' jaħdem waqt li l-pjan tal-kontroll ikun miksur, għalhekk iż-żewġ kontrolli jappartjenu fl-istess tieqa tal-bidla. Reboot darba biex tipprova li r-regoli jerġgħu jiġu applikati fl-ordni mistenni, imbagħad neħħi l-pubblikazzjoni u kkonferma li t-tneħħija tassew taqbel maż-żieda. Sett kbir ta' żidiet tal-bidu b'tneħħija mhux kompluta huwa kif test temporanju jsir fetħa permanenti.