NEW मात्र भएका फायरवाल नियमहरूले हरेक WAN बाटो बन्द गर्दैनन्

WAN मा नयाँ बाहिर जाने जडान अस्वीकार गर्नु विफलतामा बन्द हुने नीति जस्तो देखिन्छ, तर यो देखिने भन्दा साँघुरो वाचा हो। पहिले नै रहेका प्रवाहमा पर्ने प्याकेट यससँग मेल खाँदैनन्, र धेरै जवाफ पनि खाँदैनन्। यो खाडल चुक्न सजिलो छ, किनभने नियम इन्टरफेस ढाक्ने गरी पढिन्छ, त्यसमाथिको एउटा जडान स्थिति होइन। र स्थिति-मिलानलाई फैसला मानेर पढ्नुले नै झुटो बन्द भएको भावना बनाउँछ।

स्थिति एउटा मिलान सर्त हो, फैसला होइन

जडान ट्र्याकिङले प्याकेटहरूलाई फायरवालले पहिले के देखेको छ त्यसका आधारमा वर्गीकरण गर्छ, एप्लिकेसनले के विश्वास गर्छ त्यसका आधारमा होइन। दुवै दिशामा देखिएको प्रवाह स्थापित मानिन्छ, र त्यसपछिका प्याकेट स्थापित नै रहन्छन्, तलको बाटो सुरुङबाट सामान्य अपलिङ्कमा बदलिए पनि। आउने जडानको जवाफ पनि स्थापित ट्राफिक हुन सक्छ। ती प्याकेट फेरि कहिल्यै नयाँ हुँदैनन्।

त्यसैले नयाँ जडानमा मात्र सीमित नियमले हरेक सुरक्षित प्याकेट अवरुद्ध छ भनी प्रमाणित गर्न सक्दैन। यसले बाँकी स्थितिलाई नियमसमूहको बाँकी भागले तिनीहरूसँग के गर्छ भन्नेमा छोड्छ, जुन शृंखलामा पहिले राखिएको अनुमति पनि हुन सक्छ।

नियमलाई यसको वरपरको सन्दर्भमा पढ्नुहोस्

अवरोध अघि राखिएको स्थापित र सम्बन्धित ट्राफिकका लागि व्यापक अनुमतिले प्याकेटलाई अवरोध मूल्याङ्कन हुनु अघ्यै पार गराउँछ। पछिको नियमबाट स्थिति-सर्त हटाउँदा त्यो बदलिँदैन, किनभने मूल्याङ्कन त्यहाँ कहिल्यै पुग्दैन। नतिजा क्रमले निर्धारण गर्छ, र कुन प्याकेट त्यो क्रमसम्म पुग्छन् भन्ने स्थिति-मिलानले निर्धारण गर्छ।

तपाईंले सम्पादन गरेको फाइल नभई लागू भएको नियमसमूह जाँच्नुहोस्, अरू शृंखलामा हुने उफ्रन् र प्लेटफर्मले उत्पन्न गर्ने सबै समेत। iptables द्वारा व्यवस्थापित राउटरमा शृंखला सूचीबद्ध गर्दा नियमका परिभाषा देखिन्छन्, र यसले सन्दर्भ गर्ने शृंखलाहरू पनि पछ्याउनुपर्छ। मूल nftables प्रणालीले आफ्नै नियमसमूह र हुक प्राथमिकता जाँच्न आवश्यक छ, किनभने फर्मवेयरले एकै प्रकारका शृंखला विरलै उत्पन्न गर्छ।

काउन्टरहरूले कुन नियम वास्तवमा मिल्यो भनी बताउँछन्, र तिनीहरू सामान्यतया निर्णयपछि लिइएको प्याकेट क्याप्चरभन्दा बढी जानकारीपूर्ण हुन्छन्। शून्य काउन्टर भएको नियमसम्म पुगिएको छैन, त्यसको स्थानले जे सुझाव दिए पनि।

निषेधलाई स्थितिबाट स्वतन्त्र रूपमा व्यक्त गर्नुहोस्

यदि क्लाइन्टहरूको समूहले सुरुङबाहिर इन्टरनेटमा कहिल्यै पुग्नु हुँदैन भने, एउटा स्थितिबाट अनुमान गर्नुको सट्टा त्यो सिधै भन्नुहोस्। नियमले जडान स्थितिमा निर्भर नभई स्रोत, निर्गमन र गन्तव्यमा छनोट गर्नुपर्छ, र पहिलेको कुनै अनुमतिले यसलाई छल्न नसक्ने ठाउँमा बस्नुपर्छ। त्यसपछि व्यवस्थापन पहुँच र स्थानीय सञ्जालका अपवादहरूले आफ्नै स्पष्ट नियम पाउँछन्, जसले गर्दा मनसाय नीतिमा देखिन्छ।

drop को सट्टा reject छान्दा मिल्ने ट्राफिक कसरी असफल हुन्छ भन्ने बदलिन्छ, र नियमले छान्ने प्याकेटको समूह ठूलो बन्दैन। अस्वीकृत जडान र शान्त समयसमाप्ति एउटै छनोटतर्फ सङ्केत गर्ने फरक लक्षण हुन्।

WAN माथि टाढाबाट सुरु भएको पहुँचका जवाफहरूलाई जानाजान अनुमति दिने नीति तर्कसंगत छ। यसलाई सुरुङबाट मात्र पूर्ण अलगावका रूपमा प्रस्तुत गर्नुको सट्टा त्यसै गरी वर्णन गर्नुपर्छ।

समूहमा वास्तवमा को छ भनी जाँच्नुहोस्

उदाहरणले एउटा इन्टरफेसबाट एउटा प्रिफिक्सको अगाडि पठाइएको IPv4 ट्राफिक समेट्छ। यसले IPv6, दोस्रो अपलिङ्क वा राउटर आफैले उत्पन्न गर्ने ट्राफिकबारे केही भन्दैन। DNS रिजोल्भरका रूपमा काम गर्ने राउटरले आफ्नै माथिल्लो प्रश्नहरू पठाउँछ, र ती forward शृंखलाबाट पटक्कै जाँदैनन्।

सुरक्षित क्लाइन्टसँग अझै छानिएको प्रिफिक्सभित्र ठेगाना छन् भनी पुष्टि गर्नुहोस्, किनभने त्यसबाट बाहिर गएको यन्त्र नीतिअनुसार होइन, संयोगले सिधै छ। अपवादको डिजाइन समीक्षा नगरी अवरोध पूरै LAN सम्म फैलाउँदा तपाईंको आफ्नै प्रशासनिक बाटो हट्ने गर्छ।

iptables -S FORWARD
iptables -L FORWARD -v -n
cat /proc/net/nf_conntrack | grep -c ESTABLISHED

त्यसपछि पुरानो प्रवाहलाई नयाँको छेउमा परीक्षण गर्नुहोस्। नयाँ जडान प्रयास र पहिले नै सक्रिय दुईतर्फी स्थानान्तरण यस नियमअन्तर्गत फरक व्यवहार गर्छन्, र दुवै परीक्षण गर्दा मात्र वास्तवमा कुन नीति छ भन्ने देखिन्छ।