Ir-regoli tal-firewall NEW biss ma jagħlqux kull triq WAN

Li tirrifjuta konnessjonijiet ġodda li joħorġu fuq il-WAN jidher bħala politika li tagħlaq meta tfalli, iżda hija wegħda eqreb milli tidher. Il-pakketti li jappartjenu għal flussi li diġà jeżistu ma jaqblux magħha, u lanqas ħafna tweġibiet. Din il-lakuna hija faċli li titlefha, għax ir-regola tinqara bħallikieku tkopri l-interface u mhux stat wieħed ta’ konnessjoni fuqha. U li taqra t-tqabbil tal-istat bħala sentenza hija dak li toħloq sens falz ta’ għeluq.

L-istat huwa kundizzjoni ta’ tqabbil, mhux sentenza

Is-segwitu tal-konnessjonijiet jikklassifika l-pakketti skont dak li l-firewall diġà ra, mhux skont dak li temmen l-applikazzjoni. Fluss osservat fiż-żewġ direzzjonijiet huwa stabbilit, u l-pakketti tiegħu ta’ wara jibqgħu stabbiliti anke meta r-rotta ta’ taħtu tinbidel minn tunnel għall-linja tal-ogħla normali. Tweġiba għal konnessjoni li tidħol tista’ wkoll tkun traffiku stabbilit. Dawk il-pakketti qatt ma jerġgħu jsiru ġodda.

Għalhekk regola limitata għall-konnessjonijiet ġodda ma tistax tipprova li kull pakkett protett huwa mblukkat. Hija tħalli l-istati l-oħra għal dak li jagħmel magħhom il-bqija tas-sett tar-regoli, li jista’ jkun aċċettazzjoni mqiegħda qabel fil-katina.

Aqra r-regola fl-inħawi tagħha

Aċċettazzjoni wiesgħa għat-traffiku stabbilit u relatat imqiegħda qabel il-blokk tgħaddi pakkett qabel ma l-blokk jiġi evalwat xejn. It-tneħħija tal-kundizzjoni tal-istat minn regola aktar tard mhix se tibdilha, għax l-evalwazzjoni qatt ma tasal għaliha. L-ordni tiddeċiedi r-riżultat, u t-tqabbil tal-istat jiddeċiedi liema pakketti jaslu għal dik l-ordni.

Spezzjona s-sett tar-regoli effettiv u mhux il-fajl li editjajt, inklużi qbiż għal ktajjen oħra u kull ma jiġġenera l-pjattaforma. Fuq router immaniġġjat bl-iptables, l-elenkar tal-katina juri d-definizzjonijiet tar-regoli, u l-ktajjen li għalihom tirreferi għandhom jiġu segwiti wkoll. Sistema nattiva nftables teħtieġ li jiġu eżaminati s-sett tar-regoli tagħha u l-prijoritajiet tal-hooks, għax il-firmware rarament jiġġenera ktajjen identiċi.

Il-kontaturi jgħidu liema regola effettivament tqabbdet, u normalment huma aktar informattivi minn qabda ta’ pakketti meħuda wara d-deċiżjoni. Regola b’kontatur ta’ żero ma ntlaħqitx, tkun xi tkun il-pożizzjoni tagħha.

Esprimi l-projbizzjoni indipendentement mill-istat

Jekk grupp ta’ klijenti qatt m’għandu jasal għall-internet barra t-tunnel, għidha direttament minflok tqarrbu b’stat wieħed. Ir-regola trid tagħżel fuq is-sors, il-ħruġ u d-destinazzjoni mingħajr ma tiddependi mill-istat tal-konnessjoni, u trid toqgħod fejn ebda aċċettazzjoni preċedenti ma tista’ tevita magħha. Imbagħad l-aċċess tal-maniġment u l-eċċezzjonijiet tan-netwerk lokali jingħataw regoli espliċiti tagħhom, sabiex l-intenzjoni tkun viżibbli fil-politika.

L-għażla ta’ reject minflok drop tibdel kif jonqos it-traffiku li jqabbel, u ma tkabbirx is-sett ta’ pakketti li tagħżel ir-regola. Konnessjoni miċħuda u timeout siekta huma sintomi differenti li jindikaw l-istess għażla.

Politika li apposta tippermetti tweġibiet għal aċċess mibdi mill-bogħod fuq il-WAN hija difendibbli. Trid biss tiġi deskritta hekk minflok ma tiġi ppreżentata bħala iżolament sħiħ permezz tat-tunnel biss.

Iċċekkja min huwa verament fil-grupp

L-eżempju jkopri traffiku IPv4 mgħoddi minn prefiss wieħed minn interface wieħed. Ma jgħid xejn dwar IPv6, linja tal-ogħla oħra, jew traffiku li l-router innifsu jiġġenera. Router li jaġixxi bħala solvatur DNS jibgħat il-mistoqsijiet tiegħu lejn fuq, u dawk qatt ma jgħaddu mill-katina forward.

Ikkonferma li l-klijenti protetti għad għandhom indirizzi fi ħdan il-prefiss magħżul, għax apparat li ċċaqlaq barra minnu huwa dirett b’inċident u mhux bil-politika. It-twessigħ tal-blokk għall-LAN kollu mingħajr ma tiġi riveduta d-disinn tal-eċċezzjonijiet ukoll għandu tendenza jneħħi t-triq amministrattiva tiegħek stess.

iptables -S FORWARD
iptables -L FORWARD -v -n
cat /proc/net/nf_conntrack | grep -c ESTABLISHED

Imbagħad ipprova fluss antik ħdejn wieħed ġdid. Attentat ta’ konnessjoni ġdid u trasferiment bidirezzjonali diġà attiv iġibu ruħhom b’mod differenti taħt din ir-regola, u huma biss it-test tat-tnejn li juri liema politika għandek verament.