یوازې د NEW فایروال قواعد د WAN هر مسیر نه بندوي

په WAN باندې د نویو وتلو پیوستونونو ردول د ناکامۍ پر مهال د بندېدونکې پالیسۍ په څېر ښکاري، خو له ښکارېدونکي څخه تنګه ژمنه ده۔ هغه پاکټونه چې له مخکې موجودو جریانونو سره تړاو لري ورسره سمون نه خوري، او ډېر ځوابونه هم نه۔ دا تشه په اسانۍ له پامه غورځېدای شي، ځکه قاعده داسې لوستل کېږي لکه انټرفېس پوښي، نه پر هغه باندې یو د پیوستون حالت۔ او د حالت سمون د پرېکړې په توګه لوستل هماغه څه دي چې د بندېدو ناسم احساس جوړوي۔

حالت د سمون شرط دی، پرېکړه نه

د پیوستونونو تعقیب پاکټونه د هغه څه له مخې ډلبندي کوي چې فایروال مخکې لیدلي، نه د هغه څه له مخې چې اپلیکیشن باور لري۔ هغه جریان چې په دواړو لورو ولیدل شي جوړ شوی دی، او وروستي پاکټونه یې جوړ پاتې کېږي، حتی کله چې لاندې لار له تونل څخه عادي پورتنۍ کرښې ته بدله شي۔ د راغلي پیوستون ځواب هم کولای شي جوړ ترافیک وي۔ هغه پاکټونه بیا هېڅکله نوي نه کېږي۔

نو هغه قاعده چې یوازې نویو پیوستونونو ته محدوده ده نشي کولای ثابته کړي چې هر خوندي پاکټ بند دی۔ نور حالتونه د قاعدو د ټولګې نورو برخو ته پرېږدي، چې کېدای شي په زنځیر کې مخکې اېښودل شوی اجازه وي۔

قاعده د هغې په چاپېریال کې ولولئ

د بندېدو مخکې اېښودل شوې پراخه اجازه د جوړ او تړلي ترافیک لپاره پاکټ مخکې له دې چې بندېدل وارزول شي تېر وي۔ له وروستۍ قاعدې څخه د حالت د شرط لرې کول به دا نه بدلوي، ځکه ارزونه هېڅکله هلته نه رسېږي۔ پایله ترتیب ټاکي، او دا چې کوم پاکټونه هغه ترتیب ته رسېږي د حالت سمون ټاکي۔

د هغې فایل پر ځای چې تاسو سمولی، اغېزمنه قاعدهټولګه وګورئ، په نورو زنځیرونو کې ټوپونه او هر هغه څه چې پلیټفارم جوړوي هم په کې شامل دي۔ په iptables مدیریت شوي روټر باندې د زنځیر لیست کول د قاعدو تعریفونه ښيي، او هغه زنځیرونه چې یادونه یې کوي باید تعقیب شي۔ اصلي nftables سیستم باید خپله قاعدهټولګه او د هنګ لومړیتوبونه وڅېړي، ځکه فرم وېر په ندرت سره ورته زنځیرونه جوړوي۔

شمېرونکي وایي چې کومه قاعده په رښتیا سمه ولګېده، او معمولاً له هغه پاکټ نیول چې له پرېکړې وروسته شوي ډېر معلوماتي دي۔ هغه قاعده چې شمېرونکی یې صفر دی نه ده رسېدلې، هر څه چې د هغې موقعیت ښکارندوی کوي۔

بندیز له حالت څخه خپلواک څرګند کړئ

که چېرې یوه ډله کلینټانو باید هېڅکله له تونل بهر انټرنېټ ته ونه رسېږي، هغه په یو حالت اټکلولو پر ځای په مستقیمه توګه ووایاست۔ قاعده باید پر سرچینه، وتلو او منزل انتخاب کړي پرته له دې چې د پیوستون حالت ته تړاو ولري، او باید هلته ودرېږي چې هېڅ پخوانې اجازه نشي کولای ترې تېر شي۔ بیا مدیریتي لاسرسی او د ځایي شبکې استثناوې خپل ښکاره قواعد ترلاسه کوي، نو نیت په پالیسۍ کې ښکاري۔

د drop پر ځای reject غوره کول بدلوي چې سمون خوړونکی ترافیک څنګه ناکامېږي، او هغه پاکټونه نه پراخوي چې قاعده یې غوره کوي۔ رد شوی پیوستون او غلې مودې پای دوه بېلابېلې نښې دي چې یوې غوره کړنې ته اشاره کوي۔

هغه پالیسي چې په قصد سره له WAN باندې د لرې څخه پیل شوي لاسرسي ځوابونو ته اجازه ورکوي د دفاع وړ ده۔ یوازې باید همداسې بیان شي، نه دې ته چې د تونل یوازینی بشپړ جلاوالي په توګه وړاندې شي۔

وګورئ چې په ډله کې واقعاً څوک دي

بېلګه له یوه انټرفېس څخه د یوې مختاړې لېږل شوی IPv4 ترافیک رانغاړي۔ دا د IPv6، دویمې پورتنۍ کرښې، یا هغه ترافیک چې روټر پخپله جوړوي هېڅ نه وایي۔ هغه روټر چې د DNS حل کوونکي په توګه کار کوي خپلې پورتنۍ پوښتنې لېږي، او هغه د forward زنځیر څخه هېڅکله نه تېرېږي۔

تایید کړئ چې خوندي کلینټان لا هم د ټاکل شوې مختاړې دننه پته لري، ځکه هغه وسیله چې ورڅخه ووتلې په ناڅاپي توګه مستقیمه ده نه د پالیسۍ له مخې۔ د استثناوو ډیزاین له بیاکتنې پرته بندیز په ټول LAN پورې غځول هم ستاسو خپل اداري مسیر لرې کوي۔

iptables -S FORWARD
iptables -L FORWARD -v -n
cat /proc/net/nf_conntrack | grep -c ESTABLISHED

بیا زوړ جریان د نوي ترڅنګ وآزمویاست۔ نوې د پیوستون هڅه او له مخکې فعاله دوهلوري لېږد د دې قاعدې لاندې بېلابېل چلند کوي، او یوازې د دواړو آزمویل ښيي چې واقعاً کومه پالیسي لرئ۔