Host iptables biss bil-VPN: semmi l-apparat tun, mhux tun+

Li tikteb -o tun+ iħossu bħal struzzjoni preċiża u fil-verità huwa wildcard li jaqbel ma’ kull mina li għandu l-qalba. Klijent VPN ieħor, pont tal-kontenituri jew interface li ħalliet sessjoni li ġġarraf kollha jissodisfawh, u l-host imbagħad jippermetti traffiku li l-politika kienet maħsuba biex tipprevjeni. Il-proċedura hawn taħt tiffissa isem wieħed tal-apparat, tordna l-eċċezzjonijiet sabiex il-mina tkun tista’ tassew tifforma, u tħallilek triq lura jekk ir-regoli jaqgħu ħażin. Kull pass huwa qasir biżżejjed biex jitwarrab waħdu.

Pass 1: innota r-regoli li għandek bħalissa

Qabel ma tibdel politika awtomatika, ħaddan l-istat attwali sabiex ir-rollback ikun kmand u mhux tifkira. iptables-save > /root/iptables.pre jikteb kull tabella f’fajl li tista’ tħaddan mill-ġdid, u t-tieni terminal b’sessjoni root miftuħa mhuwiex paranojja meta l-politika li se tistabbilixxi tqaċċat il-konnessjoni li ġġorrha. Jekk taħdem mill-bogħod, ippjana wkoll flush bħala swiċċ ta’ emerġenza.

Imbagħad elenka l-interfaces, għax isem li wieħed assuma huwa isem li kellek taqra: ip -br link juri x’jeżisti bħalissa, u l-mina mhux se tidher qabel ma tkun qiegħda. Ikteb l-ismijiet tal-apparati kif taqrahom.

Pass 2: agħti lill-mina isimha stess

OpenVPN jaċċetta dev tun_work fil-konfigurazzjoni tal-klijent, u mbagħad Linux joħloq interface b’dak l-isem eżatt minflok ma jalloka tun0. L-isem jibqa’ stabbli bejn konnessjonijiet mill-ġdid sakemm ħadd ieħor ma jippretendih, u dan huwa dak li jagħmel regola li ssemmi l-apparat sinifikanti.

Fejn l-isem ma jistax jiġi kkontrollat, qabbel fl-indirizz tal-mina jew marka tal-pakkett minflok. It-tnejn jaħdmu, it-tnejn huma itqal biex taqrahom, u t-tnejn ifallu aktar siekta meta l-mina terġa’ tinumerata. F’kull każ, qabbel ħaġa waħda u kun espliċitu liema.

Pass 3: ikteb il-politika bl-eċċezzjoni tal-endpoint l-ewwel

Host biss bil-VPN huwa host b’rifjut awtomatiku u lista qasira ta’ eċċezzjonijiet, u l-eċċezzjoni li timporta l-iktar hija dik li tħalli lill-mina teżisti. Ibnu b’dan l-ordni, bir-regola tal-endpoint qabel ir-regola tal-apparat tal-mina, sabiex il-handshake ikollu fejn imur:

# allow the tunnel to be built, then everything the tunnel carries
iptables -P INPUT DROP
iptables -P OUTPUT DROP
iptables -A INPUT  -i lo -j ACCEPT
iptables -A OUTPUT -o lo -j ACCEPT
iptables -A OUTPUT -d 198.51.100.7 -p udp --dport 1194 -j ACCEPT
iptables -A OUTPUT -o tun_work -j ACCEPT
iptables -A INPUT  -i tun_work -j ACCEPT
iptables -A INPUT  -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT

L-indirizz u l-port litterali tal-endpoint huma tal-fornitur tiegħek, mhux ta’ din il-paġna. Jekk l-endpoint huwa isem tal-host, issolvih darba u ffissa r-riżultat, għax regola ma tistax tfittex isem u tweġiba li ddur se tkisser il-politika fis-sikta wara l-bidla li jmiss fid-DNS. Iċċekkja l-port ukoll, għax il-fornituri li jċaqalquk għall-TCP 443 inkella jkollhom bżonn regola li ħadd ma kiteb. Mina li taħdem biss fuq protokoll wieħed hija ġeneralment dan in-nuqqas u mhux ħsara tal-firewall.

Fuq router l-istess forma tmur fil-katina FORWARD għall-klijenti warajh, u t-traffiku tar-router innifsu jeħtieġ ir-regoli tiegħu stess. Sett ta’ regoli li jkopri biss pakketti mibgħuta ’l quddiem iħalli SSH u DNS fit-triq il-qadima, u hekk router isir mhux aċċessibbli fil-mument li l-mina titla’.

Pass 4: iċċekkja l-ordni, mhux biss il-preżenza

Ir-regoli jiġu evalwati fl-ordni, għalhekk ACCEPT li jiġi qabel sempliċement jaħbi r-REJECT li żidt warajh. Il-qbil established u related huwa dak li jħalli tweġibiet għat-talbiet tiegħek ħierġa lura mingħajr ma jiftaħ triq ġenerali tad-dħul, u li tqiegħdu wara l-aċċettazzjoni tal-mina jfisser li mina waqgħet xorta tgħaddi traffiku tar-ritorn fuq l-interface tagħha stess.

Żomm in-numru ta’ regoli żgħir biżżejjed biex jinqara fuq skrin wieħed. Sett ta’ regoli li ma tistax tawditjah huwa dak li se titgħallmu billi żżid eċċezzjonijiet fuq nett, u hekk il-politiki ta’ rifjut awtomatiku bil-mod jiksbu tarf ta’ permess awtomatiku. Għodd l-ACCEPTs qabel u wara l-bidla.

Pass 5: agħmilha tibqa’ ħajja wara l-boot u l-familja tal-indirizzi

Regoli mdaħħla bl-idejn jisparixxu meta terġa’ tibda, għalhekk għabbihom mis-servizz tal-firewall tad-distribuzzjoni jew minn unit li jaħdem wara li l-interface tal-mina teżisti. Li tirreferi għal tun_work fi skript li jaħdem qabel ma jibda OpenVPN huwa mod komuni kif toħloq linja tal-boot ta’ traffiku mitluf.

Imbagħad iċċekkja IPv6 separatament, għax politika tajba ta’ rifjut awtomatiku għall-IPv4 ma tgħid xejn dwar il-familja l-oħra. ip -6 route jgħidlek jekk il-host għandux triq li tista’ ġġorr traffiku madwar mina li tittratta biss IPv4, u ip6tables jew nftables jeħtieġu r-regoli ekwivalenti tagħhom stess. Ipprova b’destinazzjoni IPv6-only minflok ma tafda s-simmetrija tas-sett ta’ regoli.

Pass 6: ivverifika u kun lest biex tirrestawra

Tellgħa l-mina, ikkonferma li s-servizz maħsub jaħdem, imbagħad ipprova xi ħaġa li l-politika għandha tirrifjuta. Irrestawra b’iptables-restore < /root/iptables.pre jekk it-tweġiba tissorprendik, u biss imbagħad ibda teditja r-regoli. It-tifsila flimkien ma’ triq tar-restawr ippruvata hija dak li jagħmel dan bidla li tista’ tagħmel darbtejn.