Regoli tad-dħul SSH u VPN: x’inhi tassew tikkontrolla l-lista tal-permessi

Segwi konnessjoni waħda mill-klijent sal-host: liema ganċ taqsam, għaliex li tiddendel u li tiġi miċħuda jfissru regoli differenti u għaliex iċ-ċaħda qatt mhi politika.

Qabbad darba qabel ma tibdel regola u innota jekk il-klijent jiddendilx jew jiġix miċħud minnufih. Dik id-differenza waħda tgħidlek liema deċiżjoni tefgħet il-pakkett u tiffranka siegħa ta’ qari ta’ fajls tal-politika. Il-bqija tal-vjaġġ hija qasira: il-pakkett jaqsam ganċ, jaqbel ma’ regola u jew jasal għand semmiegħ jew ma jasalx. Il-lista tal-permessi mhija xejn ħlief kontabbiltà madwar dawk it-tliet fatti.

Segwi tentattiv wieħed ta’ SSH sal-ganċ tad-dħul

Klijent jibgħat SYN lill-indirizz tal-host fuq il-port 22, u l-qalba tiddeċiedi jekk dak il-pakkett huwiex għal servizz lokali. Jekk iva, il-passaġġ tad-dħul jiġri u s-sett tar-regoli jew jaċċetta l-pakkett jew jarmih. Is-skiet ifisser li s-SYN miet qabel ma s-semmiegħ rah, filwaqt li ċaħda mgħaġġla tfisser li xi ħaġa wieġbet b’risettjar. Dawn huma verdetti differenti minn regoli differenti, u t-tnejn huma riżultati leġittimi.

Imbagħad ikkonferma s-semmiegħ, għax l-ebda regola ma ssalva servizz li ma jeżistix. Mexxi ss -ltnp u ċċekkja li xi ħaġa hija marbuta mal-port u mal-familja tal-indirizzi li tistenna, imbagħad aqra ssh -v fuq il-klijent biex tara fejn jieqaf.

L-għoti lil quddiem hija deċiżjoni separata

Fuq server VPN il-ganċ iktar interessanti huwa forward, għax it-traffiku tal-klijent jiġi mgħoddi mill-magna minflok mogħti lilha. Host li jmexxi biss il-klijent VPN tiegħu stess għandu bżonn sett tar-regoli ferm iżgħar minn dak li jgħaddi l-pakketti ta’ ħaddieħor. It-taħlit taż-żewġ disinji fuq magna waħda jipproduċi regoli li jidhru korretti u ma jgħaddu xejn.

Ikteb il-politika interna bħala mistoqsija għaliha: liema indirizzi tal-klijent jistgħu jaslu għal liema destinazzjonijiet mit-tunnel. Żomm il-passaġġ amministrattiv, bħal SSH, fuq il-passaġġ tad-dħul bir-restrizzjoni tas-sors tiegħu stess. Regola forward permissiva miżjuda waqt l-ittestjar hija d-difett klassiku li jgħix itwal mill-ittestjar, għalhekk wara bidla rrevedi s-sett kollu tar-regoli u mhux il-linja waħda li editjajt. Il-ftuħ tas-semmiegħ tat-tunnel mhuwiex permess biex kull klijent konness jamministra l-host.

It-tarmija u ċ-ċaħda huma azzjonijiet, mhux politiki

Il-politika ta’ katina bażika taċċetta jew tarmi u dik hija l-lista kollha tal-għażliet, kif tgħid ir-referenza nftables. Iċ-ċaħda teżisti bħala azzjoni ta’ regola b’risposta magħżula, u għalhekk li tiktebha bħala politika tfalli kemm fuq nftables kif ukoll fuq iptables. Fil-prattika drop ma jagħti lill-klijent ebda informazzjoni, filwaqt li reject jagħtih żball li jista’ jaġixxi fuqu.

table inet admin {
    chain input {
        type filter hook input priority filter; policy drop;
        ct state established,related accept
        ip saddr 203.0.113.0/28 tcp dport 22 accept
        udp dport 51820 accept
        icmp type { destination-unreachable, time-exceeded } accept
    }
}

Aqra dak l-abbozz bħala l-forma ta’ deċiżjoni u mhux fajl li tippejstja, għax il-firxiet tal-indirizzi huma eżempji. Reject espliċitu fuq il-port SSH iġiegħel klijent mhux awtorizzat ifalli f’sekonda minflok jistenna skadenza, u dan iqassar id-debugging tiegħek stess. Is-skiet jiskoraġġixxi l-iskanjar każwali u ma jgħid xejn lil utent awtorizzat. Agħżel għal kull servizz u ikteb għaliex, inkella l-persuna li jmiss se tibdilha lura.

Żomm it-traffiku ta’ kontroll li tassew għandek bżonnu

L-imblukkar tal-ICMP kollu huwa default popolari li jkisser l-iskoperta tal-MTU tal-passaġġ, u s-sintomu huwa konnessjoni li tistabbilixxi u mbagħad toqgħod fuq pakketti akbar. L-iskoperta tal-ġirien fuq IPv6 tiddependi fuq it-tipi ICMPv6 tagħha stess, u t-tarmija tagħhom tkisser il-ħolqa qabel ma tiġi kkonsultata xi regola TCP. It-tnejn jappartjenu għal-lista tal-permessi bħala dipendenzi msemmija u mhux bħala permessi ġenerali. Politika li tkisser l-iskoperta bis-skiet hija agħar minn waħda li tammetti ftit traffiku dijanjostiku.

Ħalli l-istati established u related għall-konnessjonijiet li bdejt int, u ħalli l-magna tal-istat tieħu ħsieb it-tweġibiet. Imbagħad ikkonferma li l-passaġġ tat-tweġiba mhuwiex imblukkat iktar ’il barra, għax restrizzjoni fuq it-traffiku ħiereġ biss iktar ’il fuq tipproduċi l-istess skadenza li kont se tagħti tort lill-host.

Ipprova l-irkupru qabel ma tirtira l-passaġġ il-qadim

Żomm sessjoni tal-console miftuħa, applika l-bidla u iftaħ konnessjoni amministrattiva ġdida għal kollox minn terminal ieħor. Sessjoni eżistenti ma tipprova xejn, għax tista’ tgħix minn regola li timblokka kull login ġdid, u dan jagħmilha l-iktar pożittiv falz konvinċenti fix-xogħol tal-ħitan tan-nar. Jekk sistema ta’ monitoraġġ tiċċekkja l-host, żid l-indirizz tas-sors tagħha qabel il-bidla u mhux wara l-ewwel twissija. Imbagħad ipprova pakkett kbir u wieħed żgħir biex tipprova li l-iskoperta għadha taħdem.

Għal servizz VPN, erġa’ agħmel il-prova minn klijent li qatt ma qabbad, għax sessjoni mġedda tista’ terġa’ tuża stat li waħda ġdida trid tinnegozja. Innota s-sett eżatt tar-regoli li għadda, b’checksum jew b’kopja, sabiex editjar aktar tard ikun jista’ jitqabbel u mhux imbassar. Ikkordina ma’ min jippossjedi l-ordni tar-regoli, għax regola preċedenti tirbaħ bis-skiet dik li żidt.

Artikli relatati