Ir-regoli tal-port 80 u 443 ma jgħaddux il-browser permezz ta' VPN
Qbil tal-port jagħżel flussi TCP, mhux browser. HTTP/3 taħdem fuq UDP, DNS jista' jieħu triq oħra, u l-aġġornatur jaqbel mal-istess regola li ktibt.
Xi ħadd jitlob li l-browser juża t-tunnel, u t-talba terġa' lura bħala regola tal-firewall li taqbel mal-portijiet tad-destinazzjoni 80 u 443. Tidher preċiża u mhijiex. Qbil tal-port jagħżel il-pakketti skont il-header tat-trasport tagħhom, mhux skont liema program fetaħ is-socket, u l-ibbrawżjar modern mhuwiex limitat għal dawk iż-żewġ portijiet fuq TCP. Ir-regola se taqbeż parti mit-traffiku li ridt tinkludi u se taqbad traffiku li qatt ma ħsibt li tmiss. Qabel ma tiktebha, iddeċiedi liema minn tliet konfini differenti trid tassew.
Ir-regola tiddeskrivi klassi tat-trasport, mhux applikazzjoni
Fuq Linux, qbil tal-port tad-destinazzjoni jispezzjona l-header TCP u xejn fuqu. Li timmarka dawk il-pakketti u tidderieġihom b'rotta tal-politika jaħdem eżattament kif huwa dokumentat, u ebda waħda minn dawn il-magni ma taf xi jfisser il-payload jew liema proċess bagħtu. Il-marka hija numru mwaħħal ma' pakkett, mhux identità mwaħħla ma' applikazzjoni.
nft add rule inet mangle output tcp dport { 80, 443 } meta mark set 0x1
ip rule add fwmark 0x1 table 100
ip route add default dev wg0 table 100Żewġ konsegwenzi jsegwu minnufih. L-aġġornatur tas-software li jikkuntattja TCP 443 jirċievi l-istess trattament bħall-browser, li jista' jkun tajjeb jew jista' jkun waqfien li qed jistenna ċ-ċiklu tal-aġġornament li jmiss. U servizz web ippubblikat apposta fuq port ieħor, ejja ngħidu 8443, jaqa' għal kollox barra mir-regola għalkemm għadu t-traffiku web li kien jimpurtah lill-utent.
In-numri huma seletturi leġittimi meta r-rekwiżit ikun tassew dwar dawk il-portijiet. Jisparixxu f'fizzjoni meta fit-ticket jinkiteb «browser» u fis-sett tar-regoli jiġi implimentat firxa ta' portijiet. Dan id-distakk mhuwiex dettall tad-dokumentazzjoni. Huwa d-differenza bejn regola li tista' tiddefendi f'reviżjoni u waħda li ħadd ma jista' jittestja.
HTTP/3 titlaq ir-regola TCP tiegħek bil-kwiet
HTTP/3 taħdem fuq QUIC, u QUIC jinġarr f'UDP. Regola li taqbel biss ma' TCP ma tistax tarah, għalhekk l-istess browser li jgħaddi l-paġna tat-test tiegħek jista' jibgħat talba aktar tard fuq UDP u jaqbeż it-tunnel mingħajr ħadd ma jbiddel setting. RFC 9114 jiddeskrivi HTTP/3 bħala protokoll ibbażat fuq QUIC, u QUIC juża UDP b'port awtomatiku 443 fl-iskjerament tas-soltu.
Jekk browser partikolari jippruvax HTTP/3 jiddependi mill-konfigurazzjoni tiegħu, mis-sit u mill-jekk attentat preċedenti rnexxiex. Dan jagħmilha ħaġa ħażina biex tirraġuna dwarha mill-memorja. Staqsi lill-għodda minflok:
curl --http3 -sS -o /dev/null -w '%{http_version} %{time_total}\n' https://example.com
ss -tunp | grep -E ':443\b'Il-linja curl tipprintja l-verżjoni nnegozjata, għalhekk 3 jikkonferma li ntużat it-triq UDP. Imbagħad il-lista tas-sockets turi jekk dak il-konnessjoni hijiex marbuta mal-interface tat-tunnel jew ma' dik fiżika. Jekk HTTP/3 mhijiex disponibbli fil-build curl tiegħek, il-bandiera tfalli b'ħoss qawwi minflok ma tirtira bil-kwiet, li hija l-ħniena żgħira tagħha stess.
DNS hija deċiżjoni separata li trid tieħu
Regola tal-port għat-traffiku web ma tgħid xejn dwar is-soluzzjoni tal-ismijiet. Il-browser jista' juża s-solver tas-sistema, solver ikkonfigurat ġewwa l-browser, jew wieħed li tkaxkar l-aħħar konnessjoni. Kull wieħed minnhom jista' jibgħat mistoqsijiet fuq triq differenti minn dik li tagħżel ir-regola tiegħek, u dan jipproduċi l-qasma klassika: il-paġna tgħabbi, l-isem jiġi solvut f'post li ma kontx qed tistenna, u s-sit intern jiġi solvut għal indirizz pubbliku jew xejn.
Iddeċiedih b'mod espliċitu. Jekk l-ismijiet interni għandhom jiġu solvuti permezz tat-tunnel, is-solver irid ikun ġo fih, u s-sett tar-regoli irid jippermetti DNS lejn dak is-solver filwaqt li jżomm mistoqsijiet oħra barra. Jekk il-browser juża DNS over HTTPS lejn fornitur pubbliku, il-mistoqsija taqbeż għal kollox is-solver tiegħek u r-regola tal-port ma tistax tgħin. Ikteb l-għażla fl-istess rekord tal-bidla bħar-regola tar-routing, għax it-tnejn jinqraw flimkien min min jiddebbuggja l-falliment li jmiss.
Imbagħad ivverifika mas-solver minflok mal-paġna:
resolvectl query intranet.example.internal
resolvectl status | grep -A3 'Current DNS Server'Tweġiba nieqsa hija problema ta' soluzzjoni anke meta l-messaġġ tal-iżball tal-browser jakkuża n-netwerk. Dawn iż-żewġ fallimenti jidhru identiċi lill-utent u huma tickets kompletament differenti.
Tliet konfini, tliet mekkaniżmi differenti
Il-biċċa l-kbira tal-konfużjoni tisparixxi hekk kif issemmi l-konfini li trid. Mhumiex interkambjabbli, u kull waħda għandha mod differenti kif tfalli waqt waqfien tat-tunnel.
| What you actually want | Mechanism that fits | What it does not cover |
|---|---|---|
| These transport ports use this exit | Firewall mark plus policy route | Applications, HTTP/3 over UDP, DNS |
| This browsing session stays separate | Application-aware VPN, or a separate network namespace plus a proxy | Other applications in the same session |
| Only these private sites are reachable | Destination-based routes with private DNS | Public sites on the same address family |
Profil tal-browser separat hija n-nassa fir-ringiela tan-nofs. Tissepara l-cookies u l-istorja, u ma tbiddel xejn fit-tabella tar-routing tal-host, għalhekk iż-żewġ profili jieħdu l-istess triq. L-iżolament jeħtieġ xi ħaġa li l-kernel jinfurza, jiġifieri spazju tal-ismijiet, container jew applikazzjoni li għandha l-interface tat-tunnel tagħha stess.
Liema ringiela tapplika, ikteb x'għandu jiġri meta t-tunnel jaqa'. Rotta bbażata fuq marka li tisparixxi mal-interface normalment taqa' lura għar-rotta awtomatika fiżika, li hija mġiba fail-open. Dan jista' jkun aċċettabbli għall-ibbrawżjar u inaċċettabbli għal kull ħaġa oħra, u hija deċiżjoni, mhux dettall tal-implimentazzjoni.
Ittestja l-flussi li tgħid li tkopri
It-test tal-aċċettazzjoni irid isegwi l-konfini li ktibt, mhux in-numri tal-port li kienu konvenjenti. Agħżel fluss wieħed li jrid jgħaddi mit-tunnel, wieħed li m'għandux, u wieħed li juża trasport li ma ħsibtx dwaru:
ip route get 203.0.113.40
curl -sS -o /dev/null -w 'v4 %{http_version} %{remote_ip}\n' https://example.com
nft list ruleset | grep -A2 'dport'It-tfittxija tar-rotta tgħidlek liema interface tuża destinazzjoni tassew, u dan huwa l-fatt li l-biċċa l-kbira tar-rapporti jiżbaljaw. Il-linja curl tikkonferma l-verżjoni nnegozjata u l-familja tal-indirizzi. Id-dump tas-sett tar-regoli jaqbad ir-regola li żidt waqt l-ittestjar u nsejt tillimita, u hekk marka temporanja ssir routing fail-open permanenti.
Irreġistra t-tliet outputs kollha b'timbru tal-ħin u żommhom mal-bidla. Meta aktar tard xi ħadd jirrapporta li «il-VPN kissret l-intranet», id-differenza bejn il-konfini maħsub u dak implimentat tkun tidher f'dak ir-rekord, u s-sewqan ikun bidla fir-regola, mhux argument.