Pravila vatrozida samo za NEW ne zatvaraju svaki WAN put

Odbijanje novih odlaznih veza na WAN-u izgleda kao politika zatvorenog odbijanja, ali to je uže obećanje nego što se čini. Paketi koji pripadaju već postojećim tokovima ne odgovaraju tom pravilu, a ni mnogi odgovori. Taj se jaz lako previdi jer se pravilo čita kao da pokriva sučelje, a ne jedno stanje veze na njemu. A čitanje podudaranja stanja kao presude stvara lažni osjećaj zatvorenosti.

Stanje je uvjet podudaranja, a ne presuda

Praćenje veza razvrstava pakete prema onome što je vatrozid već vidio, a ne prema onome što aplikacija vjeruje. Tok promatran u oba smjera je uspostavljen i njegovi kasniji paketi ostaju uspostavljeni čak i kada se ruta ispod njega promijeni s tunela na običnu uzlaznu vezu. Odgovor na dolaznu vezu također može biti uspostavljeni promet. Ti paketi nikada više ne postaju novi.

Zato pravilo ograničeno na nove veze ne može dokazati da je svaki zaštićeni paket blokiran. Ono ostala stanja prepušta onome što s njima radi ostatak skupa pravila, a to može biti dopuštenje postavljeno ranije u lancu.

Čitajte pravilo u njegovu okruženju

Široko dopuštenje za uspostavljeni i povezani promet postavljeno prije bloka propušta paket prije nego što se blok uopće ocijeni. Uklanjanje uvjeta stanja iz kasnijeg pravila to neće promijeniti jer ocjena do njega nikada ne stigne. Redoslijed odlučuje ishod, a podudaranje stanja odlučuje koji paketi stižu do tog redoslijeda.

Pregledajte stvarni skup pravila, a ne datoteku koju ste uredili, uključujući skokove u druge lance i sve što platforma generira. Na usmjerivaču kojim upravlja iptables ispis lanca pokazuje definicije pravila, a lanci na koje upućuje također se moraju slijediti. Izvorni nftables sustav zahtijeva pregled vlastitog skupa pravila i prioriteta kuka jer firmware rijetko generira identične lance.

Brojači pokazuju koje je pravilo stvarno odgovaralo i obično su informativniji od snimke paketa načinjene nakon odluke. Pravilo s nultim brojačem nije dosegnuto, što god njegov položaj sugerirao.

Izrazite zabranu neovisno o stanju

Ako skupina klijenata nikada ne smije doći na internet izvan tunela, recite to izravno umjesto da to približavate jednim stanjem. Pravilo mora birati po izvoru, izlazu i odredištu bez ovisnosti o stanju veze i mora stajati tamo gdje ga nikakvo ranije dopuštenje ne može zaobići. Tada administrativni pristup i izuzeci za lokalnu mrežu dobivaju vlastita izričita pravila pa je namjera vidljiva u politici.

Odabir reject umjesto drop mijenja kako obuhvaćeni promet ne uspijeva i ne povećava skup paketa koje pravilo odabire. Odbijena veza i tihi istek vremena različiti su simptomi koji upućuju na isti odabir.

Politika koja namjerno dopušta odgovore na pristup koji je izvana pokrenut preko WAN-a je obranjiva. Samo je treba tako i opisati, umjesto predstavljati je kao potpunu izolaciju isključivo kroz tunel.

Provjerite tko je zapravo u skupini

Primjer obuhvaća proslijeđeni IPv4 promet iz jednog prefiksa kroz jedno sučelje. Ne govori ništa o IPv6, drugoj uzlaznoj vezi ili prometu koji sam usmjerivač stvara. Usmjerivač koji djeluje kao DNS razrješivač šalje vlastite uzlazne upite i oni uopće ne prolaze kroz forward lanac.

Potvrdite da zaštićeni klijenti još imaju adrese unutar odabranog prefiksa, jer uređaj koji je izašao iz njega izravan je slučajno, a ne po politici. Proširenje bloka na cijeli LAN bez pregleda dizajna izuzetaka također obično ukloni vaš vlastiti administrativni put.

iptables -S FORWARD
iptables -L FORWARD -v -n
cat /proc/net/nf_conntrack | grep -c ESTABLISHED

Zatim isprobajte stari tok uz novi. Svjež pokušaj veze i već aktivan dvosmjerni prijenos ponašaju se različito pod ovim pravilom i samo testiranje obaju pokazuje koju politiku doista imate.