Kill switch fuq ir-router li jkopri FORWARD, OUTPUT u IPv6

Tidħol fir-router, tippejstja sett ta’ regoli kill switch minn post fuq forum, u l-LAN jieqaf jibbrawżja fil-mument li jaqa’ t-tunnel. Jumejn wara r-router għadu qed jaġġorna r-rekord DNS dinamiku tiegħu fuq il-WAN tas-soltu, u l-laptop tal-mistiedna għadu qed jilħaq is-siti IPv6. Iż-żewġ imġiba huma normali, għax ir-regoli mpejstjati koprew katina waħda u familja waħda ta’ indirizzi, u l-ebda waħda minnhom mhija r-router kollu. Li tgħaddi mill-mogħdijiet tal-pakketti bl-ordni turi eżatt x’inqabeż.

Ibda mir-router, mhux mill-laptop

Politika fil-livell tar-router hija attraenti għal uffiċċju żgħir għax kull apparat warajh jiret l-istess imġiba u ħadd ma jista’ jinsa jixgħel swiċċ fuq il-klijent. Tagħtik ukoll post wieħed biex tittestja wara kull aġġornament tal-firmware. Dak li ma tagħtix hija kopertura awtomatika tat-traffiku tar-router stess jew ta’ tieni familja ta’ indirizzi, u dawk huma ż-żewġ lakuni wara ħafna mill-varar fallut.

Qabel ma tibdel xejn, innota tliet fatti fuq il-karta: l-isem tal-interface WAN, l-isem tal-pont LAN, u l-indirizz u l-port tal-punt tat-tarf tal-VPN. Ikollok bżonn it-tlieta fir-regoli, u l-istima tal-ismijiet tal-interface hija l-aktar raġuni komuni għaliex sett ta’ regoli li jidher korrett ma jagħmel xejn.

Għaddi mit-tliet mogħdijiet li jista’ jieħu pakkett

It-traffiku minn laptop għall-internet jiġi mgħoddi ’l quddiem, għalhekk jgħaddi mill-katina FORWARD. It-traffiku li r-router innifsu jiġġenera, bħall-passa DNS, il-mistoqsijiet NTP, l-aġġornamenti DDNS u l-kanal ta’ kontroll tal-VPN, jgħaddi minn OUTPUT. It-traffiku tal-maniġment indirizzat lir-router jasal permezz ta’ INPUT.

Għalhekk kill switch mibni biss f’FORWARD jipproteġi lill-klijenti u xejn aktar. It-tabella turi għaliex it-tnixxija fix-xena tal-bidu hija prevedibbli u mhux misteru.

F’ħafna mid-disinni m’għandekx bżonn kill switch fuq INPUT, imma trid iżżomm l-aċċess tal-maniġment jaħdem waqt li t-tunnel ikun mitfi. Inkella l-ewwel darba li l-VPN ifalli, issokta lejn l-uffiċċju b’kejbil tal-console.

Irranġa r-regoli sabiex it-tunnel xorta jista’ jitla’

Kill switch li jaħdem huwa lista ta’ permessi li tispiċċa b’rifjut, u l-ordni hija dak li jagħmilha kill switch minflok brikka. Ippermetti l-ewwel loopback, il-punt tat-tarf tal-VPN, it-tweġibiet għall-flussi stabbiliti u l-interface tat-tunnel; irrifjuta l-bqija l-aħħar.

iptables -A OUTPUT -o lo -j ACCEPT
iptables -A OUTPUT -d 198.51.100.7 -p udp --dport 51820 -j ACCEPT
iptables -A OUTPUT -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -o wg0 -j ACCEPT
iptables -A OUTPUT -o eth0 -j REJECT

Il-punt tat-tarf f’dan il-punt irid ikun indirizz, mhux isem ta’ host. Ladarba r-rifjut finali jimblokka d-DNS, regola li ssemmi l-isem tal-host tal-fornitur ma tistax tiġi solvuta aktar, u it-tunnel qatt ma jerġa’ jibda wara restart. Jekk il-fornitur iddawwar il-punti tat-tarf, solvi l-isem qabel ma tiġi applikata l-politika u aġġorna dik ir-regola mill-istess skript.

Irreplika l-forma f’FORWARD għat-traffiku tal-klijenti, u qiegħed regola tal-maniġment espliċita fuq ir-rifjut. Żomm dik ir-regola dejqa imma aċċessibbli, u kkonfermaha billi tiftaħ it-tieni sessjoni SSH qabel ma tagħlaq l-ewwel waħda. Li tissakkar barra waqt bidla ta’ kill switch huwa komuni biżżejjed biex tippjana għalih. Fuq router li jħaddem WireGuard, l-allowed-ips tal-peer jiddeċiedu x’jidħol fit-tunnel, filwaqt li dawn ir-regoli jiddeċiedu x’jista’ joħroġ mingħajru.

IPv6 jeħtieġ bieb tiegħu stess

Kollox hawn fuq huwa IPv4. Jekk il-LAN tiegħek għandu IPv6 li jaħdem u t-tunnel iġorr biss IPv4, kull apparat kopert xorta għandu rotta diretta għall-internet li r-regoli l-ġodda tiegħek qatt ma jaraw. Laptop b’żewġ stackijiet se jippreferiha bil-qalb, u l-kill switch se jidher miksur biss għall-persuna li tittestja bl-IPv4.

ip6tables -A FORWARD -i br-lan -j REJECT
ip6tables -A OUTPUT -o eth0 -j REJECT
ip6tables -A OUTPUT -o lo -j ACCEPT

Hawn ukoll l-ordni hija importanti: il-permess tal-loopback irid jiġi qabel ir-rifjut tal-WAN, inkella servizzi lokali fuq ir-router jibdew ifallu b’modi strambi. Jekk in-netwerk ma jużax IPv6 xejn, li tiddiżattivah fuq il-WAN u l-LAN huwa aktar sempliċi u ma jħalli xejn biex tinsa.

Xi klijenti VPN jinstallaw rotta default biss għall-IPv4 u jħallu r-rotta default IPv6 eżistenti ma jmissuhiex. Iċċekkja t-tabella tal-routing wara li jitqabbad it-tunnel minflok ma tassumi li l-klijent ħadha ħsieb.

Ipprova dan bit-tunnel mitfi

Waqqaf it-tunnel mir-router u ittestja minn tliet postijiet f’din l-ordni:

# systemctl stop wg-quick@wg0
# ip route get 203.0.113.1
# curl -m 5 -sS http://example.com || echo blocked
# iptables -vnL OUTPUT | head
# ip6tables -vnL OUTPUT | head

It-tfittxija tar-rotta tgħidlek fejn jista’ jmur pakkett, u l-kontaturi jgħidulek jekk ir-regoli tiegħek qatt qablu. Regola b’żero pakketti wara test fallut ma tipproteġi xejn, u l-kawża tas-soltu hija isem tal-interface li jkun differenti minn dak li ttajpjajt. Ittestja b’mod espliċitu t-traffiku ġġenerat mir-router, għax test min-naħa tal-LAN ma jistax jeżerċita OUTPUT.

Iddeċiedi l-mod tal-falliment qabel ma tkun teħtieġu. Fail-closed iżomm il-klijenti offline sakemm jirritorna t-tunnel; fail-open jerġa’ jġib l-aċċess normali tal-WAN u jħassar l-iskop għat-traffiku li kien jimpurtak minnu. Rotta blackhole lejn il-pool tal-VPN b’metrika għolja hija tieni saff utli għad-disinni fail-closed, għax tibqa’ ħajja meta l-rotta tat-tunnel tisparixxi minflok ma taqa’ lura għall-default.

Aċċetta l-konfigurazzjoni biss meta klijent tal-LAN, talba ġġenerata mir-router u talba IPv6 kollha jfallu bit-tunnel mitfi, u t-tlieta jerġgħu jaħdmu ladarba jitla’.