Skript tal-isħib jew regola tal-firewall: liema twaqqaf it-tnixxija?

Żewġ disinji jwiegħdu l-istess ħaġa: meta l-mina taqa’, xejn ma joħroġ ’il barra fil-beraħ. Wieħed iħaddem skript waqt it-tisħib u jaqta’ l-interfaces. L-ieħor iħalli regola tal-firewall fis-seħħ u ma jitlob xejn mill-klijent VPN. Huma differenti f’min għandu l-privileġġ li jaġixxi, f’x’jiġri matul il-vojt u f’kif il-magna terġa’ tiġi online wara. Li tqabbilhom fuq dawn it-tliet punti huwa aktar utli milli targumenta liema huwa aktar strett.

L-istess xogħol b’żewġ mekkaniżmi

Il-klijent jista’ jħaddem hooks meta l-mina togħla u meta tiġi mħassra, sakemm il-profil jippermetti l-eżekuzzjoni tal-skript. Dak il-hook jaħdem fiċ-ċiklu tal-ħajja tal-klijent, fil-mument li fih il-konnessjoni tagħlaq. Regola tal-firewall, min-naħa l-oħra, hija proprjetà tas-sistema u ma timportahiex jekk il-klijent huwiex jaħdem, iġġarraf jew inqatel.

Dik it-tabella hija l-argument kollu. Skript li jaħdem biss fi għeluq ordnat ikopri l-każ li kien jinkwetak l-inqas; il-każ li jgħodd huwa l-iġġarraf jew in-netwerk li jisparixxi, u l-ebda wieħed minnhom ma jagħti tisħib nadif.

X’jista’ u x’ma jistax jagħmel il-hook tat-tisħib

Il-mudell dokumentat jgħaddi mill-interfaces tan-netwerk u jniżżel kollox ħlief loopback. Meta l-apparat fiżiku jkun niżżel, xejn ma jista’ jaħrab barra mill-mina, u dan huwa eżattament l-għan.

#!/bin/sh
for dev in /sys/class/net/*; do
  name=$(basename "$dev")
  [ "$name" = lo ] || ip link set dev "$name" down
done

Dan iniżżel ukoll in-netwerk lokali, kull servizz li l-magna tospita, u t-triq li kont tuża biex tissewwi l-problema. Fuq laptop l-apparat mingħajr fil spiss ikun jeħtieġ tibdil manwali wara, u għalhekk waqfa qasira ssir sessjoni ta’ tiswija. Agħar minn hekk, il-hook jista’ ma jkollux permess jagħmel xejn minn dan: meta l-klijent iċedi l-privileġġi, l-skript tat-tisħib jaħdem taħt il-kont mingħajr privileġġi, u kull bidla fl-interface tfalli bi żball ta’ permess miktub fil-mument li fih ħadd ma jaqra l-log.

Iċċekkja kif jinbeda l-klijent qabel ma tafda l-hook. Skript li jaħdem meta tħaddmu bl-idejn bħala root ma jipprovax xejn dwar is-servizz li jibda waqt il-boot.

X’tagħmel differenti r-regola tal-firewall

Regola li tippermetti biss it-traffiku tal-mina tibqa’ taħdem meta l-proċess tal-klijent ikun marret, għax il-kernel ma jiddependix minn dak il-proċess. Ir-regola hija wkoll idjaq: tiffiltra eżatt il-flussi li taqbel magħhom u tħalli loopback, is-subnet lokali u t-triq tal-irkupru waħedhom, u għalhekk ma tħallix il-magna mitlufa.

Il-prezz huwa li r-regola trid tinkiteb u tinżamm minn min għandu l-firewall tal-host, u trid issemmi l-apparat tal-mina li l-klijent fil-fatt joħloq. Dan ifisser li r-regola u l-profil iridu jinżammu flimkien; interface b’isem ġdid tħalli firewall li jiffiltra kollox u ma jispjega xejn.

L-ebda mekkaniżmu ma jagħmel lill-ieħor żejjed. Regola tal-firewall li qatt ma terġa’ tiġi mgħobbija wara modifika hija fittizja daqs skript li qatt ma jaħdem.

persist-tun jiddeċiedi jekk hemmx vojt

Meta l-apparat tal-mina jibqa’ wara qtugħ, jibqgħu wkoll ir-rotot li jmorru lejh. It-traffiku mbagħad jitwarrab minflok jiġi ridirett, u għalhekk ir-rotta default ma taqax lura għall-gateway fiżika. Dan l-imġiba hija li tagħmel tnixxija improbabbli saħansitra qabel ma tidħol xi regola tal-firewall.

Mingħajr dak is-setting l-apparat jitneħħa u r-rotot miegħu, u r-rotta default tista’ terġa’ tindika lejn il-gateway fiżika. Jekk tagħmilx hekk jiddependi mill-pjattaforma u mill-klijent, u għalhekk stess l-istat irid jiġi osservat u mhux preżunt. Ittratta s-setting bħala parti mill-kill switch, mhux bħala għażla tal-prestazzjoni.

Żomm it-triq tar-rijabitazzjoni ħajja, imbagħad ipprova erba’ stati

Blokk strett jista’ wkoll jimpedixxi l-klijent milli jerġa’ jqabbad, għax il-klijent għadu jeħtieġ rotta lejn is-server permezz tal-gateway fiżika waqt li kollox ieħor jiġi miċħud. Installa rotta tal-host għal dik l-indirizz wieħed qabel ma togħla l-mina, u ssolvi l-isem l-ewwel, għax id-DNS jista’ jkun imblukkat sa dak il-ħin li tkunu teħtieġu.

ip route add 198.51.100.20/32 via 192.168.0.1 dev wlan0

Imbagħad ivverifika l-istati u mhux it-tikketta. Ipprattika erba’ mumenti deliberatament: bidu kiesaħ mingħajr mina, sessjoni f’saħħitha, waqgħa li ħadd ma talabha, u s-sessjoni wara li tirkupra. F’kull mument aqra r-rotta default u għamel talba waħda li l-indirizz tal-ħruġ tagħha jidher. Applikazzjoni li tagħti l-armi waqt li l-mina hija niżżla ma tgħid xejn dwar klijent tal-posta jew aġġornatur, għalhekk erġa’ agħmel l-aħħar verifika b’applikazzjoni waħda fl-isfond. Ikteb ir-regola, l-ismijiet tal-interfaces u l-passi tal-irkupru, għax kill switch li ħadd ma jista’ jivverifika hija biss għajdut.