iptables: ħalli l-klijenti VPN jaslu għand host wieħed biss

Ir-regola li għandek bżonn tinsab f’FORWARD, mhux f’INPUT. Ħalli destinazzjoni waħda għall-grupp VPN, warrab il-bqija, imbagħad ipprova dan bil-kontaturi u b’kmand ta’ rkupru.

Żewġ biljetti ta’ appoġġ li jidhru mhux marbuta fl-aħħar jaqsmu kawża waħda. Fl-ewwel wieħed, amministratur irid li s-server jaċċetta konnessjonijiet biss mit-tunnel; fit-tieni, il-utenti VPN għandhom jaslu għal host intern wieħed u xejn aktar. Iż-żewġ politiki jappartjenu lil FORWARD, u t-tnejn is-soltu jiġu ppruvati f’INPUT. Ir-riżultat jidher qisu firewall u jġib ruħu bħal sostitut temporanju.

Liema katina twieġeb il-mistoqsija tiegħek

Il-pakketti li klijent VPN jibgħat lil host fil-LAN, jew ’il quddiem lejn l-internet, jiġu mibgħuta mill-qalba u jiġu evalwati f’FORWARD. INPUT u OUTPUT jaraw biss traffiku li jispiċċa fuq is-server innifsu jew li joħroġ minnu. Għalhekk ċaħda għal kull ma ma jaslx fuq tun0 tipproteġi l-udjenza tas-server innifsu, u se ttemm ukoll is-sessjoni SSH tiegħek sakemm il-flussi stabbiliti ma jiġux ammessi l-ewwel. Ma tibdel xejn dwar fejn il-klijenti jistgħu jmorru.

Semmi l-mistoqsija l-ewwel: min jista’ jasal għas-server, jew fejn jistgħu jmorru l-klijenti. Ħafna netwerks jeħtieġu ż-żewġ tweġibiet, fi ktajjen differenti.

L-ewwel l-istat, imbagħad il-permess, imbagħad iċ-ċaħda

Lista tal-permessi taħdem biss jekk il-permess speċifiku jkun fuq iċ-ċaħda ġenerali u jekk it-traffiku tar-ritorn ikun ammess fuq it-tnejn. Daħħal ir-regoli f’pożizzjonijiet espliċiti, imbagħad iffun il-katina bil-iptables -S FORWARD sabiex l-ordni tkun tidher u mhux preżunta.

POOL=10.99.0.0/24
iptables -I FORWARD 1 -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
iptables -I FORWARD 2 -s "$POOL" -d 172.31.20.15 -p tcp -m multiport --dports 443,3389 -j ACCEPT
iptables -I FORWARD 3 -s "$POOL" -j REJECT

Żewġ dettalji jiddeċiedu jekk dan jiflaħx għall-kuntatt mat-traffiku veru. Mingħajr ir-regola tal-istat, it-tweġibiet għall-konnessjonijiet li għadek kif ammettejt jiġu evalwati huma stess kontra ċ-ċaħda u jintefgħu. Regola LOG bla limitu tista’ timla partizzjoni żgħira l-ewwel darba li skanjar jilqagħha, għalhekk żid -m limit --limit 10/min qabel ma tkompli tirreġistra. REJECT jirritorna żball minnufih, li huwa iktar ħabib waqt li tkun qed taġġusta l-lista; DROP jarmi fis-skiet, għalhekk kull żball jidher bħala skadenza. Agħżel wieħed b’ħsieb u ikteb l-għażla fir-rekord tal-bidla.

It-trażmissjoni u n-NAT iridu diġà jaħdmu

Il-filtrazzjoni ma tistax tipprova li teżisti triq. Ikkonferma l-ewwel li l-qalba tgħaddi xejn, u agħmel dan is-setting permanenti minflok kmand wieħed tal-qoxra. Il-filtru huwa l-aħħar saff, mhux l-ewwel.

sysctl -w net.ipv4.ip_forward=1
iptables -t nat -A POSTROUTING -s "$POOL" -o eth0 -j MASQUERADE

Fejn tmur il-maskerata tiddependi minn fejn joħorġu l-klijenti. Jekk joħorġu lejn netwerk imbiegħed mit-tunnel, ir-regola NAT tmur fuq dak l-interface u mhux fuq l-interface WAN. Imbagħad ħares lejn il-kontaturi: jekk il-kontatur POSTROUTING qatt ma jiċċaqlaq waqt li n-numru ta’ ammissjonijiet f’FORWARD jogħla, it-triq tar-ritorn hija miksura u l-filtru huwa tajjeb. Dak il-qari jifranka nofs ta’ jum ta’ kitba mill-ġdid ta’ regoli li qatt ma kienu l-problema.

Il-blokk tal-posta jappartjeni katina ’l bogħod

L-iblukkar tal-port 25 f’INPUT iwaqqaf biss posta indirizzata lis-server VPN. Klijent kompromess li jibgħat posta mit-tunnel jiġi mgħoddi, għalhekk il-blokk irid ikun f’FORWARD ħdejn 465 u 587. Jekk applikazzjoni waħda tgħaddi l-posta b’mod leġittimu, poġġi d-destinazzjoni u l-port tagħha fuq dik ir-regola.

iptables -I FORWARD 2 -s "$POOL" -p tcp -m multiport --dports 25,465,587 -j REJECT

Ħalli l-kontatur taċ-ċaħdiet jaħdem ġimgħa qabel ma tissikka xi ħaġa oħra. In-numru li jieqaf jitla’ huwa l-fluss leġittimu li għadek kif kissirt.

Aqrah lura, imbagħad ippruvah minn klijent

Aqra s-sett ta’ regoli kif jirrappurtah il-qalba, mhux kif kitebha l-iskript tiegħek. Ibda bil-iptables -S FORWARD, imbagħad it-tabella NAT bil-iptables -t nat -L POSTROUTING -n -v, imbagħad id-daħla conntrack għall-fluss li qed tittestja. Żomm kmand ta’ rkupru jew tneħħija skedata sakemm idum ix-xogħol. Kull sejħa teħtieġ -w, inkella żewġ amministraturi jaħbtu ma’ xulxin fuq is-serratura xtables. Xejn minn dan mhu fakultattiv f’tieqa ta’ bidla.

Iffinalizza billi tittestja minn klijent ġewwa l-grupp u minn wieħed barra minnu. Regola li taħdem biss mill-magna li ktibt fiha mhijiex politika.

Artikli relatati