Għaliex ir-risposta DNS tfalli fuq firewall tal-ġenb VPN mingħajr stat

It-tunnel huwa attiv, il-klijenti jistgħu jaslu għall-host VPN, u l-host ma jista' jsolvi xejn. Il-mistoqsijiet ħierġa tiegħu stess iħallu l-interface nodfa, għalhekk il-ħsara tinsab fit-triq lura: fuq ġenb 'il fuq li jiffiltra t-traffiku li jidħol mingħajr ma jiftakar x'bagħat il-host issa. Li tippermetti l-port tat-tunnel ma jiddeskrivix dik l-iskambju xejn. Ir-risposta għal mistoqsija DNS hija fluss separat, u jekk il-ġenb huwa mingħajr stat, xejn ma taha permess biex tirritorna.

Iż-żewġ skambji mhumiex l-istess skambju

Ikteb it-tuples u l-iżball isir ovvju. Il-port tad-destinazzjoni tat-talba jsir il-port tas-sors tar-risposta, li huwa l-oppost ta' dak li jixtarru ħafna nies meta jżidu regola li tidħol għall-port 53:

query:  203.0.113.10:53018 -> 198.51.100.53:53
reply:  198.51.100.53:53 -> 203.0.113.10:53018

Regola li tidħol li teħtieġ il-port tad-destinazzjoni 53 tiddeskrivi traffiku indirizzat lil semmiegħ DNS li qed jaħdem fuq il-host, u dik hija servizz kompletament differenti. Dawk l-indirizzi huma eżempji tad-dokumentazzjoni, u l-port tas-sors jintgħażel mill-klijent għal kull mistoqsija, għalhekk mhuwiex valur li tista' tikkopja f'regola u tistenna li jibqa' jaħdem.

Ġenb mingħajr stat kontra firewall tal-host bl-istat

Filtru tal-ġenb mingħajr stat jevalwa kull pakkett li jidħol kontra l-lista tar-regoli tiegħu mingħajr tabella tal-konnessjonijiet warajh. Mistoqsija ħierġa li ħarġet b'suċċess ma toħloqx permess għar-risposta li tidħol tagħha, għax l-apparat m'għandux rekord li l-mistoqsija qatt seħħet. Firewall tal-host bl-istat huwa l-oppost: it-traċċar tal-konnessjonijiet tiegħu jirrikonoxxi t-traffiku tar-ritorn ta' skambju permess u jgħaddih mingħajr regola għar-risposta. Iż-żewġ limiti jeżistu fi passaġġ tipiku, u t-tnejn iridu jippermettu l-pakkett maħsub.

Il-paragun huwa importanti għax iż-żewġ apparati jfallu b'mod differenti. Firewall bl-istat li jiċħad ir-risposta jirreġistra drop; ġenb mingħajr stat jiċħadha bil-kwiet, u għalhekk il-host sempliċement jispiċċa fi timeout.

Ibni l-permess madwar il-protokoll, mhux in-numru tal-port

Illimita r-regola għall-indirizzi veri tar-resolver, il-host tad-destinazzjoni u l-politika tal-port tal-wasla li tappoġġja l-prodott. Żomm f'moħħok ukoll il-passaġġ TCP tad-DNS, għax risposta kbira jew waqgħa lura minħabba tqassir iċċaqlaq l-iskambju għal TCP u regola biss għal UDP ma tkoprihx. Jekk il-ġenb jappoġġja spezzjoni bl-istat għal fluss definit, ippreferiha għal regola tar-risposta miktuba bl-idejn, għax il-passaġġ bl-istat isegwi awtomatikament il-portijiet li għażel il-klijent.

Imbagħad ikkonferma liema prodott fil-passaġġ verament jiffiltra t-traffiku. Ambitu tal-ġenb IPv4 dokumentat ma jistabbilixxix politika IPv6, u t-traffiku intern tal-fornitur jista' qatt ma jgħaddi minn dak l-istess filtru.

Għaliex li tippermetti kwalunkwe port tas-sors 53 mhuwiex tiswija

Regola li taċċetta kull ma jiddikjara li għandu l-port tas-sors 53 hija regola li taċċetta dak li jikteb min jibgħat f'qasam tal-intestatura. In-numru tal-port ma jawtentikax lill-mibgħat u ma jippruvax li l-payload hija risposta valida, għalhekk ir-regola twessa' l-espożizzjoni tal-host mingħajr ma tagħmel is-soluzzjoni aktar affidabbli. Żomm ir-restrizzjonijiet tas-sors u żomm il-verifiki tar-risposta tal-klijent stess, inkluża l-każwalizzazzjoni tal-port tas-sors, minflok tiddiżattivahom biex tissimplifika lista tal-aċċess.

Jekk ir-resolver hija servizz li tikkontrolla, illimitar għall-indirizzi tiegħu huwa biżżejjed. Jekk hija resolver pubbliku, illimita għall-indirizzi li approvajt u notahom fil-kumment tar-regola.

Ivverifika fil-limitu t-tajjeb, fid-direzzjoni t-tajba

Aqbad fuq il-host u fuq il-ġenb għall-istess mistoqsija, u qabbel it-tuples minflok l-għadd tal-pakketti. Mistoqsija li tidher fuq iż-żewġ naħat mingħajr risposta li tidher fuq in-naħa tal-host tindika l-filtru li jidħol; mistoqsija li tidher biss fuq in-naħa tal-host tindika r-routing jew ir-resolver innifsu. Erġa' agħmel b'mistoqsija TCP jekk għandek biss permess UDP, għax dak huwa l-vojt li l-ewwel test ma jistax jara.

Li tiffissa dan jitlesta skambju DNS li l-host verament jeħtieġ. Ma jagħmilx il-host resolver pubbliku, ma jawtorizzax flussi VPN mibgħuta 'l quddiem, u ma jippruvax li DNS kien il-kawża ta' xi problema tat-tunnel mhux relatata.