Għaliex in-NAT tad-dar ma jipproteġix l-interfaċċa VPN tiegħek

Il-laptops wara router tad-dar mingħajr port forwarding għadhom jaċċettaw konnessjonijiet SSH li jaslu mill-VPN. Din mhix kontradizzjoni, għax żewġ apparati differenti jiġġudikaw żewġ pakketti differenti. Ir-router jgħaddi t-trasport encrypted, u l-host jiddeċiedi x'għandu jsir mill-pakkett deċifrat li jasal fl-interfaċċa tat-tunnel tiegħu. Li żżomm dawn iż-żewġ deċiżjonijiet separati hija l-eżerċizzju kollu.

Ir-router jgħaddi t-tunnel, il-host jiġġudika l-pakkett

Pinġi t-triq mis-sors remot sal-servizz qabel ma tħares lejn regola waħda. Ix-xaqliba ta' barra hija t-trasport VPN, imħaddma mir-router u l-gateway. Ix-xaqliba ta' ġewwa tibda meta l-endpoint ineħħi s-saff tat-tunnel u l-host jirċievi pakkett indirizzat lejn l-indirizz VPN tiegħu.

Għaqqad dawn iż-żewġ partijiet u r-router jieħu l-lira għal deċiżjoni li jieħu l-host. Paġna tal-port forwarding jew log tar-router jiddeskrivu biss konversazzjonijiet ta' barra, u lanqas waħda ma tgħid liema traffiku deċifrat se jaċċetta l-host. Il-host japplika l-politika tad-dħul tiegħu għall-pakkett ta' ġewwa, bl-istess mod bħal għal kull pakkett li jasal fuq interfaċċa. F'dik il-politika l-kwistjoni tal-espożizzjoni tiġi deċiża tassew.

Semmiegħ wildcard mhuwiex servizz pubbliku

Fuq Linux, irbit ma' INADDR_ANY ifisser kull indirizz lokali, allura servizz jista' jwieġeb fuq interfaċċa tat-tunnel li qatt ma semma. Ir-referenza tas-socket IP tiddeskrivi dak ir-rabta, u jiswa li taqraha qabel ma tislet konklużjonijiet minn lista ta' semmiegħa. Entrata wildcard hija fatt dwar is-socket, mhux stqarrija dwar l-aċċessabbiltà.

Iż-żewġ linji hawn taħt huma l-istess servizz f'żewġ rabtiet differenti, u d-differenza hija t-tweġiba kollha għal jekk l-interfaċċa fiha xejn. Aqra fuq liema indirizz tpoġġi s-socket qabel kull ħaġa oħra.

ss -lntp "sport = :22"
LISTEN 0 4096 0.0.0.0:22 0.0.0.0:* users:(("sshd",pid=812,fd=3))
LISTEN 0 4096 10.8.0.6:22 0.0.0.0:* users:(("sshd",pid=812,fd=4))

Semmi l-arranġament li jista' jasal għall-port

Tliet arranġamenti jpoġġu pakkett fuq dik l-interfaċċa, u għandhom sidien differenti. Li ssemmi dak it-tajjeb jiddeċiedi min għandu jbiddel politika.

Riżultat tal-browser li juri indirizz ta' ħruġ pubbliku ma jgħid xejn dwar l-ebda waħda mit-tlieta, għax jiddeskrivi kif it-traffiku li joħroġ joħroġ aktar milli x'inhu permess għat-traffiku li jidħol. Aħdem lura mis-semmiegħ u l-indirizz tas-sors fil-log tas-servizz. Jekk is-sors huwa peer ieħor tat-tunnel, il-politika tal-gateway hija d-dokument interessanti. Jekk huwa indirizz tradott, sib it-traduzzjoni qabel ma tbiddel regola.

Illimita s-servizz għat-triq li kellek f'moħħok

Jekk l-SSH huwa meħtieġ biss minn triq tal-amministrazzjoni, ikteb dik it-triq bħala firxa tas-sors flimkien ma' interfaċċa. Imbagħad illimita r-regoli tad-dħul tal-host skont l-interfaċċa, id-destinazzjoni u s-sors minflok skont l-isem tan-netwerk, għax isem li jidher privat jista' jirrappreżenta kwalunkwe indirizz. Ħalli rotta għall-persuna li se ssolvi l-problema li jmiss.

nft add rule inet filter input iifname "tun0" ip saddr 10.8.0.0/24 tcp dport 22 accept
nft list chain inet filter input

Regola li ssemmi l-interfaċċa tat-tunnel u l-firxa tal-amministrazzjoni tesprimi l-ħsieb f'post wieħed. Qabbelha ma' regola miktuba għan-netwerk Wi-Fi, li ma tgħid xejn dwar traffiku tat-tunnel deċifrat. Meta ż-żewġ saffi ma jaqblux, il-politika tal-host hija dik li tiltaqa' magħha l-pakkett.

Ħalli l-logins u l-patches eżatt fejn huma; il-ħaġa li tasal għal port qatt ma kienet l-istess bħall-permess li tużah. Irreġistra l-familja tal-indirizzi u l-ħin għal kull sors mhux magħruf, u investiga qabel ma tagħti tort lil karatteristika jew vulnerabbiltà. Regola li tammetti kull peer tat-tunnel hija disinn differenti minn waħda li tammetti subnet tal-amministrazzjoni, u ebda linja tal-log ma tgħid liema kienet maħsuba.

Aċċetta l-fix b'suċċess wieħed u rifjut wieħed

Ipprova ż-żewġ nofsijiet: konnessjoni approvata tirnexxi u triq eskluża tiġi rrifjutata. Ir-rifjut huwa n-nofs li n-nies jaqbżu, u huwa dak li juri li r-regola qed taħdem minflok ma toqgħod ħdejn valur awtomatiku permissiv. Ittestja min-naħa eskluża minflok ma targumenta dwarha.

Errepeti l-par wara konnessjoni mill-ġdid, għax tunnel li jerġa' lura b'isem differenti tal-interfaċċa jista' jaqbeż bil-kwiet regola limitata għal dik il-qadima. Il-konfini li jimporta huwa dak li l-host japplika għall-pakketti li jirċievi tassew.