Kvifor heime-NAT ikkje vernar VPN-grensesnittet ditt

Berbare datamaskinar bak ein heimeruter utan portvideresending godtek framleis SSH-tilkoplingar som kjem over VPN. Det er inga motsetning, fordi to ulike einingar vurderer to ulike pakkar. Ruteren videresender den krypterte transporten, og verten avgjer kva som skal skje med den dekrypterte pakken som når tunnelgrensesnittet. Å halde dei to avgjerdene frå kvarandre er heile øvinga.

Ruteren videresender tunnelen, verten vurderer pakken

Teikn vegen frå den eksterne kjelda til tenesta før du ser på ein einaste regel. Den ytre delen er VPN-transporten, som ruteren og gatewayen handterer. Den indre delen byrjar når endepunktet fjernar tunnellaget og verten mottek ein pakke adressert til VPN-adressa si.

Slå saman dei to delane, og ruteren får æra for ei avgjerd verten tek. Ei side for portvideresending eller ein ruterlogg skildrar berre ytre samtalar, og ingen av dei seier kva dekryptert trafikk verten vil godta. Verten brukar sin eigen inngangspolicy på den indre pakken, på same måte som på ein kvar pakke som kjem til eit grensesnitt. Det er i den policyen eksponeringsspørsmålet faktisk vert avgjort.

Ein jokerlyttar er ikkje ei offentleg teneste

På Linux betyr binding til INADDR_ANY kvar lokal adresse, så ei teneste kan svare på eit tunnelgrensesnitt ho aldri har namngjeve. IP-socketreferansen skildrar den bindinga, og han er verdt å lese før du dreg konklusjonar frå ei lyttarliste. Ein jokerpost er eit faktum om socketen, ikkje ein påstand om tilgjenge.

Dei to linjene nedanfor er den same tenesta i to ulike bindingar, og skilnaden er heile svaret på om grensesnittet betyr noko. Les kva adresse socketen sit på før alt anna.

ss -lntp "sport = :22"
LISTEN 0 4096 0.0.0.0:22 0.0.0.0:* users:(("sshd",pid=812,fd=3))
LISTEN 0 4096 10.8.0.6:22 0.0.0.0:* users:(("sshd",pid=812,fd=4))

Namngje ordninga som kunne nå porten

Tre ordningar set ein pakke på det grensesnittet, og dei har ulike eigarar. Å namngje den rette avgjer kven som må endre ein policy.

Eit nettlesarresultat som viser ei offentleg utgangsadresse seier ingenting om nokon av dei tre, fordi det skildrar korleis utgåande trafikk forlèt, snarare enn kva inngåande trafikk har lov til. Arbeid baklengs frå lyttaren og kjeldadressa i tenesteloggen i staden. Viss kjelda er ein annan tunnelpeer, er gatewaypolicyen det interessante dokumentet. Viss det er ei omsett adresse, finn omsetjinga før du endrar ein regel.

Avgrense tenesta til vegen du meinte

Viss SSH berre er naudsynt frå ein administrasjonsveg, skriv den vegen ned som eit kjeldeområde pluss eit grensesnitt. Avgrense deretter inngangsreglane til verten etter grensesnitt, mål og kjelde i staden for etter nettverksnamn, sidan eit namn som ser privat ut kan stå for kva som helst adresse. Hald på ein rute for personen som skal løyse det neste problemet.

nft add rule inet filter input iifname "tun0" ip saddr 10.8.0.0/24 tcp dport 22 accept
nft list chain inet filter input

Ein regel som namngjev tunnelgrensesnittet og administrasjonsområdet, uttrykkjer hensikta på éin stad. Samanlikn han med ein regel skriven for Wi-Fi-nettverket, som ikkje seier noko om dekryptert tunneltrafikk. Når dei to laga er usamde, er vertens policy den pakken møter.

Lat innloggingar og oppdateringar vere nøyaktig der dei er; å nå ein port har aldri vore det same som å ha lov til å bruke han. Noter adressefamilien og tidspunktet for kvar ukjend kjelde, og undersøk før du gir ein funksjon eller ein sårbarheit skulda. Ein regel som slepp inn kvar tunnelpeer er eit anna design enn ein som slepp inn eit administrasjonssubnett, og inga logglinje vil seie kva som var meint.

Godta rettinga med éin suksess og éi avvising

Prov begge halvdelane: éin godkjend tilkopling lukkast, og éin utelukka veg vert avvist. Avvisinga er den halvdelen folk hoppar over, og det er den som viser at regelen gjer arbeid i staden for å stå ved sida av ein tillatande standardverdi. Test frå den utelukka sida i staden for å resonnere om det.

Gjenta paret etter ei gjenoppkopling, fordi ein tunnel som kjem tilbake med eit anna grensesnittnamn, stille kan omgå ein regel som er avgrensa til den gamle. Grensa som betyr noko, er den verten brukar på pakkar han faktisk mottek.