د SSH او VPN د ننوتلو قواعد: د اجازې لړلیک په رېښتيا څه کنټرولوي

د يوه قانون د بدلولو دمخه يو ځل نښلول وکړئ او وګورئ چې کلاينټ ځړېږي که سمدلاسه ردېږي۔ همدا يوه توپير درته وايي کومې پرېکړې پيکټ وغورځاوه او د تګلارې د فايلونو لوستلو يو ساعت ژغوري۔ د پاتې سفر لنډ دی: پيکټ يو کنډک تېريږي، له يو قانون سره سمون خوري او يا اورېدونکي ته رسېږي يا نه۔ د اجازې لړلیک يوازې د هغو درېو حقايقو شاوخوا حساب کتاب دی۔

د يو SSH هڅه تر ننوتلو کنډک پورې تعقيب کړئ

کلاينټ د هوسټ پتې ته په 22 پورټ کې SYN لېږي، او کرنل پرېکړه کوي چې هغه پيکټ د ځايي خدمت لپاره دی که نه۔ که داسې وي، د ننوتلو لار چليږي او د قاعدو ټولګه پيکټ مني يا يې غورځوي۔ چوپتيا معنا دا ده چې SYN د اورېدونکي تر ليدلو دمخه مړ شو، په داسې حال کې چې ژر ردېدل معنا دا ده چې يو څه د بيا برابرولو سره ځواب ورکړ۔ دا د بېلو قاعدو بېل حکمونه دي او دواړه سمې پايلې دي۔

وروسته اورېدونکی تثبيت کړئ، ځکه چې نه شته خدمت هيڅ قانون نه شي ژغورلی۔ ss -ltnp وچلوئ او وګورئ چې يو څه ستاسو د تمې پورټ او پتې کورنۍ سره تړلي دي، بيا په کلاينټ کې ssh -v ولولئ چې وګورئ چېرته درېږي۔

د لېږدول تګلاره بېله پرېکړه ده

په يو VPN سرور کې ډېر په زړه پورې کنډک forward دی، ځکه چې د کلاينټ ترافيک ماشين ته سپارل کېږي نه، بلکې د هغه له لارې تېريږي۔ هغه هوسټ چې يوازې خپل VPN کلاينټ چلوې د نورو د پيکټونو لېږدونکي هوسټ په پرتله ډېر کوچنی د قاعدو ټولګه غواړي۔ دواړه طرحې په يوه ماشين کې ګډول داسې قاعدې جوړوي چې سمې ښکاري او هيڅ هم نه تېروي۔

داخلي تګلاره د بېل پوښتنې په توګه وليکئ: کومې کلاينټ پتې د تونل له لارې کومو منزلو ته رسېدلی شي۔ اداري لار، لکه SSH، د خپل سرچينې محدوديت سره د ننوتلو په لار کې وساتئ۔ هغه اسانه forward قانون چې د ازموينې پر مهال ورزيات شو هغه کلاسيک نيمګړتيا ده چې له ازموينې اوږده ژوند کوي، نو له بدلون وروسته ټوله ټولګه وګورئ نه هغه يوه کرښه چې تاسو سمه کړې۔ د تونل اورېدونکی پرانيستل هر نښلول شوي کلاينټ ته د هوسټ د اداره کولو اجازه نه ده۔

غورځول او ردول کړنې دي، تګلارې نه

د بنسټيز ځنځير تګلاره مني يا غورځوي او دا د ټاکلو بشپړه لړلیک دی، لکه څنګه چې د nftables حواله وايي۔ ردول د ټاکل شوي ځواب سره د قانون د کړنې په توګه شته، نو ځکه يې د تګلارې په توګه ليکل په nftables او iptables دواړو کې ناکامېږي۔ په عمل کې drop کلاينټ ته هيڅ معلومات نه ورکوي، په داسې حال کې چې reject هغه ته داسې تېروتنه ورکوي چې پر بنسټ يې کولای شي عمل وکړي۔

table inet admin {
    chain input {
        type filter hook input priority filter; policy drop;
        ct state established,related accept
        ip saddr 203.0.113.0/28 tcp dport 22 accept
        udp dport 51820 accept
        icmp type { destination-unreachable, time-exceeded } accept
    }
}

هغه طرحه د فيصلې بڼه وګڼئ نه د نښلولو فايل، ځکه چې د پتو حدونه بېلګې دي۔ په SSH پورټ کې روښانه reject بې اجازې کلاينټ په يوه ثانيه کې ناکاموي نه دا چې د وخت د پاى انتظار وکړي، او دا ستاسو خپله ډيبګ لنډوي۔ چوپتيا ناڅاپي سکن کول کمزوري کوي او اجازه لرونکي کارونکي ته هيڅ نه وايي۔ د هر خدمت لپاره وټاکئ او ولې يې وليکئ، که نه بل کس به يې بېرته بدل کړي۔

هغه کنټرول ترافيک وساتئ چې واقعاً ورته اړتيا لرئ

ټول ICMP بندول يو مشهور ډيفالټ دی چې د لارې د MTU کشف ماتوي، او نښه يې هغه اړيکه ده چې جوړېږي او بيا په لويو پيکټونو کې درېږي۔ په IPv6 کې د ګاونډيانو کشف خپلو ICMPv6 ډولونو ته تړلی دی، او د هغو غورځول د هر TCP قانون له کتلو دمخه تړاو ماتوي۔ دواړه د پراخه اجازې په توګه نه، بلکې د نومول شوي تړاو په توګه د اجازې لړلیک ته ځي۔ هغه تګلاره چې کشف په چوپتيا ماتوي له هغې بدتره ده چې لږ تشخيصي ترافيک قبلوي۔

هغو اړيکو لپاره چې تاسو پخپله پيل کړې established او related حالتونه اجازه کړئ، او ځوابونه د حالت پوه انجن ته پرېږدئ۔ بيا تثبيت کړئ چې د ځواب لار نوره بهر بنده نه ده، ځکه چې يوازې وتونکي ترافيک ته محدوديت پورته هماغه د وخت پاى جوړوي چې تاسو به يې تور پر هوسټ اچاوه۔

د زوړې لارې پرېښودو دمخه بېرته راوستل ثابت کړئ

يو کنسول ناسته پرانيستې وساتئ، بدلون پلي کړئ او له بلې ټرمينل څخه په بشپړ ډول نوې اداري اړيکه پرانيستئ۔ شته ناسته هيڅ ثابتوي نه، ځکه چې کېدای شي له هغه قانون څخه وژغورل شي چې هر نوی ننوتل بندوي، او دا هغه په دېوال کار کې تر ټولو باوري درواغجن مثبت ګرځوي۔ که د څارنې يو نظام هوسټ ګوري، د لومړي خبرداري وروسته نه، د بدلون دمخه يې د سرچينې پته ورزياته کړئ۔ بيا يو لوی او يو کوچنی پيکټ وآزموئ چې ثابت شي کشف لا هم کار کوي۔

د VPN خدمت لپاره له هغه کلاينټ څخه تکرار کړئ چې هيڅکله نه دی نښلول شوی، ځکه چې بيا پيل شوې ناسته کولای شي هغه حالت بيا وکاروي چې نوې ناسته بايد پرې خبرې وکړي۔ هغه دقيقې قاعدې ټولګه چې بريالې شوه ولیکئ، د چکسم يا کاپي سره، تر څو وروستنی سمون پرتله شي نه اټکل۔ له هغه چا سره همغږي وکړئ چې د قاعدو ترتيب لري، ځکه چې پخوانی قانون په چوپتيا ستاسو پر زيات شوي قانون بريالی کېږي۔