WireGuard सुरक्षित गर्न IPv6 ब्लक गर्दा होस्ट बिग्रन्छ

लक्ष्य उचित छ: यो मेसिनका सेवाहरूमा टनेल प्रयोगकर्ताले मात्र पुग्नुपर्छ। मानिसहरूले अपनाउने कार्यान्वयन WireGuard बाहेक सबै खसाल्ने IPv6 इनपुट चेन हो, जसले होस्टलाई आफ्नै लिङ्कमा जोडिराख्ने ट्राफिक पनि खसाल्छ। छिमेकी खोज र मार्ग मर्मत सन्देशहरू सेवा-पहुँच होइनन्, र तिनीहरू हटाउँदा तपाईंको नीतिसँग सम्बन्ध नभएका कारणले नपुग्ने मेसिन बन्छ। टनेल माथि आउँछ, सेवाहरू ठीकसँग सीमित छन्, र लिङ्कमा अरु केही चल्दैन।

तीन जिम्मेवारी, एक नियमसङ्ग्रह

पहिलो जिम्मेवारी बाह्य नेटवर्कको सञ्चालन हो: होस्ट आफ्नै लिङ्कमा रहनुपर्छ, छिमेकीहरू समाधान गर्नुपर्छ र त्यो लिङ्कको मार्ग सीमा जान्नुपर्छ। दोस्रो इन्क्रिप्टेड श्रोता हो, जसले तपाईंले छानेको ठेगाना र पोर्टमा UDP स्वीकार गर्छ। तेस्रो तपाईंले टनेल प्रयोगकर्तालाई पुर्‍याउन चाहेका डिक्रिप्ट गरिएका सेवाहरूको समूह हो।

यी तीन फरक नीति हुन्, र दोस्रो र तेस्रो मात्र VPNसँग सम्बन्धित छन्। जुन नियमसङ्ग्रहले यिनलाई एक मान्छ, त्यसले एप्लिकेसन सीमा कडा गर्दा होस्टको जडान चुपचाप तोडिने विफलता-विधि पाउँछ।

तीनलाई छुट्टै चेन वा कम्तीमा छुट्टै टिप्पणीमा राख्नुहोस्, ताकि अर्को व्यक्तिले कुन लाइन कुन कारणले छ भन्ने देखोस्।

ICMPv6 होस्टका लागि के गर्छ

IPv6 इकोभन्दा धेरै कुराका लागि ICMPv6 मा भर पर्छ। छिमेकी अनुरोध र घोषणाले ARP लाई प्रतिस्थापन गर्छन् र स्थानीय डेलिभरीका लागि आवश्यक छन्। Packet Too Big ले मार्गको MTU जानकारी बोक्छ, र त्यसलाई बेवास्ता गर्दा ठूला प्याकेटमा अड्किने स्थानान्तरण हुन्छ। लिङ्कले स्वचालित कन्फिगरेसन प्रयोग गर्दा राउटर घोषणाले पूर्वनिर्धारित मार्ग र प्रिफिक्स जानकारी बोक्छ।

RFC 4890 ले होस्ट फिल्टरले अनिवार्य रूपमा अनुमति दिनुपर्ने सन्देशहरूलाई प्रशासनिक छनोट हुने सन्देशहरूबाट अलग गर्छ, र त्यो नेटवर्कबीच अग्रसारण गर्ने राउटरका नियमभन्दा फरक होस्ट खण्डमा गर्छ। अग्रसारण खण्ड मात्र पढ्दा संरक्षित होस्टका लागि धेरै कडा इनपुट नीति बन्छ।

व्यावहारिक नियम भनेको आवश्यक इन्टरफेसमा मुख्य त्रुटि र कन्फिगरेसन सन्देश अनुमति दिनु, प्लेटफर्मले अनुमति दिएको ठाउँमा प्रकार र स्रोतअनुसार सीमित गर्नु, र बाँकीबारे स्पष्ट निर्णय गर्नु हो।

यी सबैलाई सर्वव्यापी ICMPv6 अनुमतिले प्रतिस्थापन गर्दा उपलब्धताको समस्या टर्छ तर फिल्टरिङ छोड्नुपर्छ। यसलाई सर्वव्यापी खसालाइले प्रतिस्थापन गर्दा फिल्टरिङको समस्या टर्छ तर होस्ट छोड्नुपर्छ।

पहिले टनेललाई, त्यसपछि सेवालाई अनुमति दिनुहोस्

इच्छित बाह्य ठेगाना र UDP पोर्टमा WireGuard यातायात स्वीकार गर्नुहोस्, र फर्कने ट्राफिक कनेक्सन ट्र्याकिङमार्फत स्वीकार गर्नुहोस्। त्यसपछि टनेल इन्टरफेसबाट एप्लिकेसन सेवाहरूलाई अनुमति दिनुहोस्, तपाईंले साँच्चै अधिकार दिने स्रोतहरूबाट।

बाह्य UDP पोर्टको अनुमतिले त्यसभित्रका डिक्रिप्ट गरिएका अनुरोधलाई अधिकार दिँदैन। यही भिन्नता सेवा-नियममा टनेल इन्टरफेस देखिनुको पूरा कारण हो।

फाइलले वर्णन गरेझैं होइन, नियमसङ्ग्रह जस्तो छ त्यस्तै पढ्नुहोस्:

sudo nft list ruleset
ip -6 addr show
ip -6 route show default

भौतिक ठेगानामा श्रोता टनेल ठेगानाको त्यही सेवाबाट छुट्टै खुलासा हो। यदि मेसिनले अर्को मेसिनतिर पनि ट्राफिक अग्रसारण गर्छ भने त्यो यो इनपुट नीति होइन, अग्रसारण चेनको निर्णय हो, र त्यसलाई आफ्नै तर्क चाहिन्छ।

टनेल मात्र होइन, लिङ्क परीक्षण गर्नुहोस्

परिवर्तनपछि चल्ने टनेलले देखिनेभन्दा कम प्रमाणित गर्छ, किनकि अवस्थित छिमेकी प्रविष्टि र स्थापित कनेक्सनले नीतिले अब खसाल्ने नियन्त्रण सन्देश लुकाउन सक्छन्।

जडान सिधै जाँच्नुहोस्, त्यसपछि बाहिर राखिएको मार्ग अझै असफल हुन्छ कि जाँच्नुहोस्:

ip -6 neigh show
ping -6 -c 3 2001:db8:1::1
sudo nft -c -f /etc/nftables.conf

रिबुटपछि पनि छिमेकी तालिका पूर्ण रहेको हुनु खोज अझै चल्ने सङ्केत हो। खाली भएर फेरि कहिल्यै नभरिने तालिका तपाईंले त्यसलाई फिल्टर गर्नुभयो भन्ने सङ्केत हो। तेस्रो आदेशले नियमसङ्ग्रह लागू नगरी त्यसको वाक्यरचना प्रमाणित गर्छ, जुन सत्र हुँदै गर्दा गर्न लायक छ।

आफैंलाई बाहिर थुनिएको होस्ट पुनःप्राप्त गर्नुहोस्

आफ्नै प्रशासनिक सत्र बोक्ने फायरवल नियम बदल्नुअघि दोस्रो च्यानल राख्नुहोस्: कन्सोल, सिरियल जडान, वा रद्द नगरेमा नयाँ नियम हटाउने तालिकाबद्ध रोलब्याक।

यदि परिवर्तनले साँच्चै बाहिर थुन्छ भने, पुनःप्राप्ति त्यही च्यानलबाट हुन्छ, भर्खरै हटाएको नेटवर्कबाट होइन। सुरक्षित प्रतिबाट अघिल्लो नियमसङ्ग्रह पुनःस्थापित गर्नुहोस्, होस्ट फेरि पुग्नयोग्य भएको पुष्टि गर्नुहोस्, र त्यसपछि मात्र इच्छित नीति साना टुक्रामा लागू गर्नुहोस्।

अन्तिम नीति सार्वभौमिक छैन। ठेगाना, राउटिङ र फायरवल कार्यान्वयन तैनाथीका इनपुट हुन्, तर सीमा सबै ठाउँमा एउटै छ: अधिकृत टनेल बोक्ने नियन्त्रण ट्राफिक राखेर अनपेक्षित एप्लिकेसन पहुँच अस्वीकार गर्नुहोस्।