Transmission fuq Linux: infurza l-ħruġ skont is-sid tal-proċess

L-ibbliokkar tal-port tad-dħul ta' Transmission mhuwiex politika tal-VPN. Klijent tat-torrent jiftaħ konnessjonijiet tal-ħruġ lejn pari u trackers, jaqra ismiijiet u jista' jesponi xandara għall-kontroll mill-bogħod, u kull wieħed minn dawn jista' joħroġ minn interface li ma kontx ħsibt għaliha. Għaddi mill-ħames kontrolli fl-ordni u qis ir-regola tal-firewall, mhux is-settings tal-klijent, bħala l-konfini. L-aħħar żewġ kontrolli huma dawk li n-nies jaqbeżu, u huma dawk li jiddeċiedu jekk il-garanzija tibqax meta t-tunnel jaqa'.

Semmi l-proċess li għandu t-trasferiment

L-applikazzjoni tad-desktop u d-daemon tas-sistema jaħdmu taħt kontijiet differenti, u regola bbażata fuq is-sid issegwi l-kont minflok l-isem tal-programm. Skopri liema waħda qed taħdem qabel ma tikteb xi regola. Kont tas-servizz iddedikat jagħti lill-politika suġġett preċiż, filwaqt li utent tad-desktop jaqsam l-identità tiegħu ma' browsers, editors u kull ħaġa oħra fis-sessjoni. Ikkonferma l-UID minflok ma tassumi li l-isem tal-kont fil-pakkett huwa dak użat.

systemctl status transmission-daemon
ps -o user=,pid=,cmd= -C transmission-daemon

Jekk il-kont għadu ma jeżistix, oħolqu għal dan l-iskop u tagħtihx xi ħaġa oħra x'taħdem. Ikteb il-kont u l-UID fil-kumment tar-regola, għax regola mingħajr suġġett hi regola li ħadd ma jista' jeditja b'mod sikur.

Issepara l-oqsma tas-smigħ mir-rotta

Transmission 4.x jiddokumenta l-indirizzi tas-smigħ tal-pari b'mod separat minn rpc-bind-address, u d-differenza hija importanti. Is-setting RPC jikkontrolla biss ix-xandara tal-kontroll mill-bogħod, għalhekk li tibdilha ma tagħżelx rotta għat-traffiku tal-pari. Li taqra ż-żewġ settings bħala waħda hija l-aktar raġuni komuni għaliex konfigurazzjoni li tidher attentata xorta tnixxi. L-istess dokumentazzjoni tiddeskrivi fallback meta indirizz tas-smigħ tal-pari ma jkunx validu, għalhekk indirizz mhux disponibbli hu każ ta' fallback iddokumentat, mhux ċaħda garantita.

grep -E '"(peer-port|rpc-bind-address|bind-address-ipv4)"' /var/lib/transmission-daemon/.config/transmission-daemon/settings.json

Uża l-kontrolli tal-klijent għal dak li huma, u poġġi l-garanzija fil-firewall. Setting tas-smigħ xorta jista' jkun ta' siwi, imma ma jistabbilixxix li l-kuntatt mat-trackers, l-iskoperta lokali jew riżoluzzjoni delegata kollha joħorġu mit-tunnel. Meta t-tnejn ma jaqblux, il-firewall hu dak li jiddeċiedi.

Ikteb il-match tas-sid fil-katina t-tajba

Il-manwal Netfilter dwar il-match tas-sid jispjega kif pakketti ġġenerati lokalment jiġu attribwiti lill-utent jew lill-grupp sid il-fajl tas-socket. Din l-attribuzzjoni ma testendix għat-traffiku mgħoddi, u l-match ta' gruppi supplimentari jeħtieġ għażla espliċita. Aqra l-manwal għall-estensjoni li qed tuża tassew minflok l-ewwel eżempju li ssib.

iptables -A OUTPUT -m owner --uid-owner transmission -o tun0 -j ACCEPT
iptables -A OUTPUT -m owner --uid-owner transmission -j REJECT
ip6tables -A OUTPUT -m owner --uid-owner transmission -o tun0 -j ACCEPT
ip6tables -A OUTPUT -m owner --uid-owner transmission -j REJECT

L-ordni tgħodd daqs il-match. Aċċettazzjoni wiesgħa aktar 'il fuq fil-katina tannulla ċaħda preċiża aktar 'l isfel, għalhekk erġa' eżamina l-katina kollha minflok ma żżid regola u tittama. Inkludi ż-żewġ familji ta' indirizzi jekk il-host jaħdem IPv6, għax politika tal-v4 biss tħalli triq miftuħa li ħadd ma qed jissorvelja. Żomm ir-regoli installati matul restarts tal-klijent u tat-tunnel.

Iddeċiedi x'jiġri meta tun0 jitlaq

Il-politika tal-falliment hija l-qofol tal-eżerċizzju. Jekk it-tunnel jitlaq u l-istess hook ineħħi r-regoli, il-klijent hu liberu juża l-interface fiżika sakemm xi ħaġa oħra twaqqfu. Id-disinn sikur iżomm ir-regoli u jħallihom jiċħdu, u dan hu dak li jagħmel il-konfini indipendenti mis-saħħa tat-tunnel. Hook ta' teardown li jħassar ukoll ir-regoli hu l-oppost ta' politika tal-falliment.

ip link show tun0
iptables -S OUTPUT

Ittestjaha apposta: waqqaf it-tunnel, ibda trasferiment li hu sigur li tabbandunah u ara jekk joħroġx xi ħaġa. Imbagħad ġib it-tunnel lura u kkonferma li t-triq maħsuba taħdem mill-ġdid.

Kopri t-toroq li r-regola ma tarax

Ir-riżoluzzjoni tal-ismijiet tista' tiġi mmaniġġjata minn proċess resolver separat, u namespace jew gateway iddedikat jistgħu joffru konfini ieħor jekk it-toroq tal-qsim u tal-bootstrap tagħhom huma ddisinjati għal dan. Iddeċiedi liema komponent għandu d-DNS u jekk isegwixxix l-istess regola tal-ħruġ. Imbagħad ħares lejn l-RPC: jekk rpc-whitelist qed jiġi użat, in-netwerk tal-amministrazzjoni approvat hu parti mill-kuntratt, u firxa RFC1918 wiesgħa mhijiex.

ss -tunp | grep -i transmission

Il-kontaturi tal-interface jistgħu jikkorroboraw osservazzjoni, imma ma jistgħux jippruvaw liema proċess ipproduċa l-bytes. Agħmel trasferiment li tista' tabbandunah: l-ewwel fit-triq li taħdem, imbagħad mingħajr tunnel fil-bidu, u mbagħad permezz ta' interruzzjoni, rikonnessjoni u interface maħluqa mill-ġdid. Ittestja kemm tentattiv ġdid kif ukoll konnessjoni li kienet diġà miftuħa, għax ir-regola forsi ma ġietx applikata għas-socket l-anzjani. Innota d-data, il-kont u r-riżultat mat-test.

Li tippejstja eżempju li jbattal il-katina kollha jbiddel toqba waħda għal bosta, għalhekk żid regoli minflok ma tħassarhom. Meta jgħaddu l-ħames kontrolli kollha, il-garanzija hija espliċita: it-traffiku tal-klijent joħroġ mit-tunnel jew xejn, u r-regola li tinforzah tibqa' ħajja meta t-tunnel innifsu jonqos.