NEW සඳහා පමණක් වන ෆයර්වෝල් නීති සියලු WAN මාර්ග වසා නොදමයි

WAN මත නව පිටතට යන සම්බන්ධතා ප්‍රතික්ෂේප කිරීම අසාර්ථක විට වැසෙන ප්‍රතිපත්තියක් මෙන් පෙනේ, නමුත් එය පෙනෙන ප්‍රමාණයට වඩා පටු පොරොන්දුවකි. දැනටමත් පවතින ප්‍රවාහවලට අයත් පැකට් එයට නොගැලපේ, බොහෝ පිළිතුරු ද නොගැලපේ. මෙම පරතරය මඟ හැරීම පහසුය, මන්ද නීතිය අතුරුමුහුණත ආවරණය කරන ලෙස කියවෙන අතර එය මත එක් සම්බන්ධතා තත්ත්වයක් නොවේ. තත්ත්ව ගැලපීම තීන්දුවක් ලෙස කියවීම වැසී ඇති බවේ වැරදි හැඟීම ඇති කරයි.

තත්ත්වය යනු ගැලපීමේ කොන්දේසියකි, තීන්දුවක් නොවේ

සම්බන්ධතා නිරීක්ෂණය පැකට් වර්ගීකරණය කරන්නේ ෆයර්වෝලය දැනටමත් දුටු දෙයින් මිස යෙදුම විශ්වාස කරන දෙයින් නොවේ. දෙපැත්තටම නිරීක්ෂණය වූ ප්‍රවාහයක් ස්ථාපිත වේ, එහි පසු පැකට් යටින් ඇති මාර්ගය උමං මාර්ගයකින් සාමාන්‍ය ඉහළ සබැඳියට වෙනස් වුවත් ස්ථාපිතව පවතී. ඇතුළතට එන සම්බන්ධතාවයකට දෙන පිළිතුර ද ස්ථාපිත ගමන් විය හැක. ඒ පැකට් නැවත කිසිදා නව නොවේ.

එබැවින් නව සම්බන්ධතාවලට පමණක් සීමා වූ නීතියකට සෑම ආරක්ෂිත පැකට් එකක්ම අවහිර කර ඇත යන්න ඔප්පු කළ නොහැක. එය අනෙක් තත්ත්ව නීති කට්ටලයේ ඉතිරි කොටස ඒවා සමඟ කරන දෙයට භාර දෙයි, එය දාමයේ කලින් තබා ඇති අවසරයක් විය හැක.

නීතිය එහි පරිසරය තුළ කියවන්න

අවහිරයට පෙර තබා ඇති ස්ථාපිත සහ සම්බන්ධිත ගමන් සඳහා විශාල අවසරයක් අවහිරය ඇගයීමට පෙරම පැකට් එක ඉදිරියට යැවීමට ඉඩ දෙයි. පසු නීතියකින් තත්ත්ව කොන්දේසිය ඉවත් කිරීම එය වෙනස් නොකරයි, මන්ද ඇගයීම එහි නොලැඟෙන බැවිනි. ප්‍රතිඵලය අනුපිළිවෙලින් තීරණය වේ, කුමන පැකට් එම අනුපිළිවෙලට ළඟා වේ ද යන්න තත්ත්ව ගැලපීම තීරණය කරයි.

ඔබ සංස්කරණය කළ ගොනුව නොව බලපැවැත්වෙන නීති කට්ටලය පරීක්ෂා කරන්න, වෙනත් දාමවලට පනින සහ වේදිකාව නිපදවන සියල්ල ඇතුළුව. iptables මගින් කළමනාකරණය වන රවුටරයක දාමය ලැයිස්තුගත කිරීම නීති අර්ථ දැක්වීම් පෙන්වයි, එය යොමු වන දාම ද අනුගමනය කළ යුතුය. ස්වදේශීය nftables පද්ධතියක් සිය නීති කට්ටලය සහ කොකු ප්‍රමුඛතා පරීක්ෂා කළ යුතුය, මන්ද ෆර්ම්වෙයර් සමාන දාම නිපදවන්නේ කලාතුරකිනි.

ගණක මඟින් ඇත්තටම ගැලපුණු නීතිය පෙන්වයි, ඒවා සාමාන්‍යයෙන් තීරණයෙන් පසුව ගන්නා ලද පැකට් අල්ලාගැනීමට වඩා තොරතුරු සපයයි. ශුන්‍ය ගණකයක් ඇති නීතියට ළඟා වී නැත, එහි පිහිටීම කුමක් යෝජනා කළත්.

තහනම තත්ත්වයෙන් ස්වාධීනව ප්‍රකාශ කරන්න

සේවාදායක කණ්ඩායමක් උමං මාර්ගයෙන් පිටත අන්තර්ජාලයට කිසිදා නොපැමිණිය යුතු නම්, එක් තත්ත්වයකින් ආසන්න කිරීම වෙනුවට එය කෙළින්ම කියන්න. නීතිය සම්බන්ධතා තත්ත්වය මත රඳා නොපවතිමින් මූලාශ්‍රය, පිටවීම සහ ගමනාන්තය අනුව තෝරා ගත යුතු අතර, කලින් අවසරයකට එය මඟ හැරිය නොහැකි තැනක තිබිය යුතුය. එවිට කළමනාකරණ ප්‍රවේශය සහ දේශීය ජාලයේ ව්‍යතිරේකවලට තමන්ගේ පැහැදිලි නීති ලැබේ, එනිසා අභිප්‍රාය ප්‍රතිපත්තියේ පෙනේ.

drop වෙනුවට reject තේරීම ගැලපෙන ගමන් අසාර්ථක වන ආකාරය වෙනස් කරයි, නීතිය තෝරන පැකට් කට්ටලය පුළුල් නොකරයි. ප්‍රතික්ෂේප කළ සම්බන්ධතාවය සහ නිහඬ කාලසීමාව එකම තේරීමක් දෙසට යොමු වන වෙනස් ලක්ෂණ වේ.

WAN හරහා දුරස්ථව ආරම්භ වූ ප්‍රවේශයට පිළිතුරු දෙන ප්‍රතිපත්තියක් ආරක්ෂා කළ හැකි ය. එය උමං මාර්ගයෙන් පමණක් සම්පූර්ණ හුදකලා කිරීමක් ලෙස ඉදිරිපත් කිරීම වෙනුවට එලෙසම විස්තර කළ යුතුය.

කණ්ඩායම තුළ ඇත්තටම කවුරුන් සිටී දැයි පරීක්ෂා කරන්න

උදාහරණය එක් අතුරුමුහුණතකින් එක් උපසර්ගයක යවන ලද IPv4 ගමන් ආවරණය කරයි. එය IPv6, දෙවන ඉහළ සබැඳිය, හෝ රවුටරයම නිපදවන ගමන් ගැන කිසිවක් නොකියයි. DNS විසඳන්නක් ලෙස ක්‍රියා කරන රවුටරය තමන්ගේම ඉහළ විමසුම් යවයි, ඒවා forward දාමය හරහා කිසිසේත් නොයයි.

ආරක්ෂිත සේවාදායකයන්ට තවමත් තෝරාගත් උපසර්ගය තුළ ලිපින ඇති බව තහවුරු කරන්න, මන්ද ඉන් පිටතට ගිය උපාංගය ප්‍රතිපත්තිය අනුව නොව අහම්බෙන් සෘජු වේ. ව්‍යතිරේක සැලසුම සමාලෝචනය නොකර අවහිරය මුළු LAN එකට ව්‍යාප්ත කිරීම ද ඔබේම පරිපාලන මාර්ගය ඉවත් කිරීමට නැඹුරු වේ.

iptables -S FORWARD
iptables -L FORWARD -v -n
cat /proc/net/nf_conntrack | grep -c ESTABLISHED

පසුව පැරණි ප්‍රවාහයක් නව එකක් අසල පරීක්ෂා කරන්න. නව සම්බන්ධතා උත්සාහයක් සහ දැනටමත් සක්‍රීය ද්වි-දිශා මාරු කිරීමක් මෙම නීතිය යටතේ වෙනස් ලෙස හැසිරේ, දෙකම පරීක්ෂා කළ විට පමණක් ඇත්තටම කුමන ප්‍රතිපත්තියක් ද යන්න පෙනේ.