Irranġa d-DNS tal-mistieden libvirt imblukkat minn firewall VPN ibbażat fuq il-marki

Firewall VPN ibbażat fuq il-marki jwaqqa' d-DNS tal-mistieden qabel ma kwalunkwe katina ta' filtru tarah. Regola waħda ta' prijorità mangle timmarka l-mistoqsija u t-tweġiba tagħha, mingħajr ma tiftaħ ix-xibka lokali tiegħek.

Il-mistednin fuq ix-xibka libvirt awtomatika jsolvu l-ismijiet perfettament sakemm tidher l-interface WireGuard, u mbagħad kull tfittxija tieqaf fl-istess post. dnsmasq għadha tisma' fuq 192.168.122.1:53, il-mistieden għad għandu dak l-indirizz bħala s-solver tiegħu, u l-mistoqsija għadha tasal. Dak li nbidel hu li l-mistoqsija upstream tal-host stess, jew it-tweġiba għaliha, issa tinġarr mit-tqegħid minn regola li tiġi evalwata qabel kwalunkwe katina ta' filtru li inti taħseb li trid tibdel. It-triq 'il barra hija marka applikata kmieni biżżejjed, fuq konnessjoni li t-tweġiba tirtiha.

Il-mistednin jitilfu d-DNS fil-mument li titla' t-tunnel

Ikkonferma l-forma qabel ma tibdel xejn. Niżżel it-tunnel, ħaddem dig @192.168.122.1 example.com minn mistieden, u ara jweġib. Għolli t-tunnel, irrepeti, u ara jiskadi. Dak il-par riżultati jeskludi xibka libvirt miksur, indirizz tas-solver żbaljat, u dnsmasq mejjet f'pass wieħed.

Imbagħad ħares lejn in-naħa tal-host. Jekk dnsmasq jirreġistra l-mistoqsija u l-forward upstream tagħha, il-pakkett wasal u l-falliment huwa fuq l-egress. Jekk dnsmasq qatt ma jirreġistra xejn, il-mistoqsija tal-mistieden qed tinġarr fuq l-ingress u l-eċċezzjoni trid tkun fuq hook differenti minn dak li jimmarrka dan l-artiklu.

Għaliex regola accept f'katina aktar tard qatt ma taqbad

Firewall VPN ibbażat fuq il-marki jiddeċiedi billi jħares lejn il-marka tal-pakkett jew il-marka tal-konnessjoni, mhux lejn l-indirizz tas-sors tiegħek. Kull ma jasal fuq l-interface fiżika mingħajr il-marka mistennija jiġi rrifjutat, u dak ir-rifjut iseħħ fis-sett ta' regoli li jippossjedi t-test tal-marka. ip saddr 192.168.122.0/24 accept linja miżjuda ma' kwalunkwe katina aktar tard sempliċement qatt ma tiġi kkonsultata għal dak il-pakkett, u għalhekk ir-regola ovvja tidher korretta u ma tibdel xejn.

It-twessigħ tagħha sakemm xi ħaġa taħdem huwa t-tieni nassa. Li taċċetta s-subnet libvirt kollha fil-perkors input tal-host jiftaħ kull servizz tal-host għall-mistednin, meta l-ħtieġa attwali hija port wieħed.

Il-mekkaniżmu li jagħmel eċċezzjoni dejqa possibbli hija l-kontroll tal-konnessjonijiet. Meta tistabbilixxi ct mark fuq pakkett, il-valur jinħażen fuq l-entrata conntrack u mhux fuq il-pakkett biss, għalhekk kull pakkett f'dik il-konnessjoni jġorrha wara, inkluża t-tweġiba mill-host lura lejn il-mistieden. Dan huwa l-ingann kollu: immarka t-talba darba, u t-triq tar-ritorn hija diġà mmarkata.

Immarka l-mistoqsija qabel ma t-tabella VPN taraha

Qiegħed l-eċċezzjoni fit-tabella tagħha stess sabiex qarrej aktar tard isibha mingħajr ma janalizza r-regoli VPN:

table inet allowedLocal {
  chain guest_dns {
    type filter hook input priority mangle; policy accept;
    ip saddr 192.168.122.0/24 meta l4proto { tcp, udp } \
      th dport 53 ct mark set 0x00000f41
  }
}

priority mangle hija negattiva, li tqiegħed din il-katina quddiem il-katini tal-filtru ordinarji li l-pakkett VPN jinstalla fi prijorità żero. L-ordni tal-hook hija dik li tagħmel ir-regola effettiva; l-istess regola f'katina li tiġi wara l-katina VPN hija biss dekorazzjoni.

In-numru tal-marka nnifsu mhuwiex portabbli. Ħu l-valur li r-regoli VPN installati jaċċettaw għat-traffiku tagħhom stess, aqrah mis-sett ta' regoli ħaj, u użah. Marka żbaljata tipproduċi regola li tgħabbi nadifa, taqbel ma' kull mistoqsija, u ma tdaħħal xejn.

Żomm it-toqba daqs il-wisa' tal-port 53

Kif miktub, dan jippermetti DNS mis-subnet libvirt lill-host fuq TCP jew UDP port 53 u xejn aktar. Ma jħallix lill-mistednin jilħqu l-internet barra mit-tunnel, u ma jħallix lill-host jiftaħ konnessjonijiet lejn il-mistednin. Jekk mistieden ikollu bżonn servizz ieħor tal-host aktar tard, żid regola separata li ssemmi dak il-port tad-destinazzjoni minflok ma tħoll din.

Kun onest dwar dak li qed tibdel. Mistieden li jista' jilħaq solver jista' wkoll jagħmel tunnel ta' data arbitrarja permezz ta' mistoqsijiet DNS, u din l-eċċezzjoni hija vojt intenzjonat fil-konfini tal-VPN u mhux dikjarazzjoni li x-xibka lokali hija fdata. Li tillimita s-sors għal 192.168.122.0/24 iżżomm il-vojt 'il bogħod minn kull subnet lokali ieħor, u l-għadd ta' mistoqsijiet kontra dak is-sors huwa rħis jekk it-theddida tinteressak.

Agħmilha tippersisti wara reboot u pprova ż-żewġ nofsijiet

Regola mistajpja fuq prompt tal-shell tisparixxi fil-boot li jmiss, u regola mgħobbija wara li l-interface VPN diġà qed tgħaddi traffiku titlef it-tellieqa fuq l-ewwel konnessjoni. Qiegħed it-tabella fil-konfigurazzjoni nftables persistenti tal-host, jew f'unit ordnata qabel is-servizz VPN, u iċċekkja l-ordni minflok ma tassumiha.

Il-verifika teħtieġ tliet tweġibiet separati. Ikkonferma li l-katina hija mgħobbija u ordnata l-ewwel, ikkonferma li l-entrata conntrack turi l-marka fiż-żewġ direzzjonijiet, u ikkonferma li tfittxija tal-mistieden tirritorna indirizz. Imbagħad ikkonferma n-nofs l-ieħor: traffiku web ordinarju tal-mistieden lejn host pubbliku xorta jonqos waqt li t-tunnel huwa 'l isfel jew qed jimblokka. Jekk id-DNS jaħdem u kollox ieħor joħroġ, ir-regola tiegħek hija usa' minn dik ta' fuq.

Jekk it-tfittxijiet xorta jonqsu wara li l-marka tkun fis-seħħ, irażżan ix-xewqa li twessa' s-sors. Iċċekkja lejn xiex jgħaddi dnsmasq, jekk is-solver tal-mistieden huwiex indikat lejn 192.168.122.1 jew lejn indirizz pubbliku li xi ħadd ittajpja, u jekk il-mistoqsija tasalx għand il-host. L-immarkar idaħħal il-pakkett u xejn aktar, għalhekk upstream ħażin jew xibka virtwali miksura tibqa' miksura kemm ma żżidx regoli.

Artikli relatati