Kif tissakkar il-ħruġ ta' Linux biex xejn ma jnixxi meta l-VPN taqa'

Immaġina media box fuq linja tad-dar li suppost tilħaq l-internet biss permezz ta' tunnel. Meta t-tunnel jaqa', l-applikazzjoni għandha tieqaf minflok ma tkompli bil-kwiet fuq l-interface fiżika. Li tikseb dan l-imġiba hija problema tal-firewall u mhux tal-instradar, u d-distinzjoni hija importanti għax rotta tista' tiġi sostitwita billi jerġa' jibda d-daemon filwaqt li filtru jibqa' fejn poġġejtu. Dan li ġej huwa kif il-passaġġ tal-pakkett verament jiddeċiedi, u mbagħad kif jiġu limitati l-eċċezzjonijiet li jżommu t-tunnel jerġa' jgħaqqad.

Il-ħruġ lokali huwa ganċ differenti mill-fforwardjar

Pakkett li joħroġ minn applikazzjoni fuq il-magna jgħaddi mill-ganċ tal-ħruġ; pakkett li l-magna tinstrada għal host ieħor jgħaddi mill-fforwardjar. Politika li ssemmi biss forward tillimita t-tieni u tħalli l-ewwel miftuħ għalkollox, u għalhekk ħafna sakkijiet tal-ħruġ jidhru korretti u ma jagħmlu xejn. It-tqabbil tal-interface jappartjeni għall-istess regola: oifname "tun0" accept jgħaddi traffiku li diġà ġie installat 'il barra mit-tunnel. L-instradar u l-iffiltrar ukoll jibqgħu deċiżjonijiet separati, għalhekk rotta tal-uplink tista' teżisti filwaqt li l-filtru jirrifjuta l-pakkett. Fuq din is-separazzjoni qed tistrieħ.

Gateway li jforwards għal apparati oħra jeħtieġ iż-żewġ gancijiet. Issakkar il-ħruġ biss jipproteġi l-magna nnifisha u jħalli lil kull klijent ta' taħt ħieles biex inixxi.

Ikteb il-lista tal-eċċezzjonijiet mill-punt tat-tmiem 'il barra

Ibda mill-punt tat-tmiem tat-tunnel: indirizz wieħed ta' destinazzjoni jew sett żgħir approvat, il-protokoll tat-trasport u l-port tad-destinazzjoni, pereżempju udp dport 1194 ip daddr 203.0.113.7 accept. Jekk il-klijent jissolvi isem tal-host, l-iskambju DNS inizjali jeħtieġ regola tiegħu limitata għar-resolver u għall-port 53, mhux permess ġenerali għall-indirizz ta' dak ir-resolver. Kull eċċezzjoni għandha ssemmi r-raġuni għalfejn teżisti. Permess għat-traffiku UDP kollu lejn il-port tal-VPN ikopri ħafna aktar mis-servizz awtentikat wieħed li kellek f'moħħok.

Is-soluzzjoni inizjali hija l-post fejn is-sakkijiet normalment jitmermru. Sett ta' indirizzi li jiġi aġġornat b'timer jeħtieġ imġiba definita meta l-aġġornament ifalli, u dik l-imġiba ma tistax tkun li tiftaħ il-linja sakemm jirnexxi. Aġġorna mit-tunnel waqt li t-tunnel ikun wieqaf, u inkella mur lura għall-aħħar punt tat-tmiem magħruf b'saħħtu.

L-amministrazzjoni lokali teħtieġ l-istess trattament. Subnet tal-ġestjoni mhijiex affidabbli għax l-indirizzi tagħha huma privati, u regola li tafda fiha tistieden tieni passaġġ madwar is-sakka.

It-tqabbil tal-interface mhuwiex prova ta' tunnel b'saħħtu

Regoli li jaċċettaw kull ma joħroġ minn tun0 jassumu li pakkett fuq dik l-interface ġie mit-tunnel. L-ismijiet tal-interface jinħolqu mill-ġdid, u isem mhuwiex identità kriptografika. Il-pari jista' wkoll ikun telaq waqt li l-interface tibqa' miftuħa, u dan jagħmel ir-regola nuqqas ta' azzjoni konvinċenti ħafna.

Il-monitoraġġ tal-konnessjonijiet iżid nassa relatata. Regola wiesgħa għall-konnessjonijiet stabbiliti terġa' tilgħab il-permess li fluss kiseb qabel, għalhekk sessjoni li bdiet qabel ma waqa' t-tunnel tkompli taħdem warajh. Illimita l-aċċettazzjoni bbażata fuq l-istat għall-interfaces u l-indirizzi li verament trid, inkella bnejt sakka li tiftaħ lilha nfisha. Ir-regoli tal-input u tal-output ukoll iwieġbu mistoqsijiet differenti, u li twebbes waħda waqt li tinjora l-oħra tħalli l-magna tilħaq fid-direzzjoni li ma ħsibtx fiha.

X'jibqa' ħaj wara crash tad-daemon

Filtru installat minn skript li jitħaddem wara li jogħla t-tunnel jisparixxi mat-tunnel, eżatt fil-mument li kien meħtieġ. Għabbi s-sakka mal-boot u ħalli lid-daemon jamministra biss l-eċċezzjonijiet tiegħu.

It-tħassir tar-rotta default mhuwiex sostitut lanqas. Ir-rotta hija stat li d-daemon jippossjedi u jerġa' jikteb, u t-tneħħija tagħha tista' tieħu l-passaġġ meħtieġ biex terġa' tgħaqqad. IPv6 jeħtieġ pjan tiegħu, għax l-iskoperta tal-ġirien u l-avviżi tar-router huma servizzi tal-link li għandhom jibqgħu jaħdmu waqt li t-traffiku ordinarju huwa mblukkat. DHCP jaqa' fl-istess kategorija. Ikteb dawn bħala eċċezzjonijiet bi skop, minflok ma tiskoprihom aktar tard bħala qtugħ.

Passaġġ tal-irkupru qabel l-implimentazzjoni

Ittesta s-sakka kif se tfalli: boot mingħajr tunnel, oqtol id-daemon, ibdel il-punt tat-tmiem u erġa' għaqqad. Kull każ għandu jwaqqaf l-applikazzjonijiet u jħalli l-kanal tal-irkupru jaħdem. Agħmilha minn console, għax shell remot huwa s-sessjoni li aktarx tiġi msakkra mir-regola tiegħek innifsek.

Imbagħad iċċekkja fejn applikazzjoni ordinarja għadha tista' tasal, b'destinazzjoni mingħajr ħsara u talba li tista' tivverifika. Ir-riżultat li trid huwa rifjut fuq il-linja u suċċess mit-tunnel, mhux timeout ambigwu li jista' jfisser it-tnejn. Żomm is-sett ta' regoli taħt l-istess sid bħall-bqija tal-firewall, minflok ma tissostitwixxi t-tabella kollha minn skript tal-shell. Politika fejn kull permess jista' jiġġustifika lilu nnifsu tiswa aktar minn sett twil ta' regoli li ħadd ma jista' jispjega.