SSH සහ VPN ආගමන නීති: අනුමත ලැයිස්තුව ඇත්තටම පාලනය කරන්නේ කුමක්ද

නීතියක් වෙනස් කිරීමට පෙර එක් වරක් සම්බන්ධ වී සේවාදායකයා එල්ලෙනවාද නැතහොත් වහාම ප්‍රතික්ෂේප වෙනවාද යන්න සටහන් කරන්න. එම එකම වෙනස කුමන තීරණය පැකට්ටුව ඉවත දැම්මාද යන්න කියයි, ප්‍රතිපත්ති ගොනු කියවීමේ පැයක් ඉතිරි කරයි. ඉතිරි ගමන කෙටිය: පැකට්ටුව කොක්කක් තරණය කරයි, නීතියකට ගැලපේ, එසේ නැත්නම් සවන්දෙන්නා වෙත ළඟා වේ. අනුමත ලැයිස්තුව එම කරුණු තුන වටා ගිණුම්කරණය පමණි.

එක් SSH උත්සාහයක් ආගමන කොක්ක දක්වා අනුගමනය කරන්න

සේවාදායකයා සත්කාරකයේ ලිපිනයට 22 වරායෙන් SYN යවයි, කර්නලය එම පැකට්ටුව දේශීය සේවාවකට ද යන්න තීරණය කරයි. එසේ නම් ආගමන මාර්ගය ක්‍රියාත්මක වන අතර නීති කට්ටලය පැකට්ටුව පිළිගනී හෝ ඉවත දමයි. නිශ්ශබ්දතාව යනු සවන්දෙන්නා එය දැකීමට පෙර SYN මිය ගිය බවයි, ඉක්මන් ප්‍රතික්ෂේපය යනු යමක් නැවත සැකසීමකින් පිළිතුරු දුන් බවයි. මේවා වෙනස් නීතිවල වෙනස් තීන්දු වන අතර දෙකම වලංගු ප්‍රතිඵල වේ.

ඉන්පසු සවන්දෙන්නා තහවුරු කරන්න, මක්නිසාද නැති සේවාවක් කිසිදු නීතියකින් ගලවා ගත නොහැක. ss -ltnp ධාවනය කර ඔබ අපේක්ෂා කරන වරාය සහ ලිපින පවුලට යමක් බැඳී ඇත්දැයි පරීක්ෂා කරන්න, පසුව සේවාදායකයේ ssh -v කියවා එය නතර වන්නේ කොහේදැයි බලන්න.

ඉදිරියට යැවීම වෙනම තීරණයකි

VPN සේවාදායකයක වඩාත් රසවත් කොක්ක forward වේ, මක්නිසාද සේවාදායකයාගේ ගමන් කරන දත්ත යන්ත්‍රයට භාර දීම වෙනුවට එය හරහා මාර්ගගත වේ. තමන්ගේම VPN සේවාදායකයා පමණක් ධාවනය කරන සත්කාරකයට අන් අයගේ පැකට්ටු යවන සත්කාරකයට වඩා බෙහෙවින් කුඩා නීති කට්ටලයක් අවශ්‍ය වේ. එකම යන්ත්‍රයේ ආකෘති දෙක මිශ්‍ර කිරීම නිවැරදි ලෙස පෙනෙන නමුත් කිසිවක් ගමන් නොකරන නීති ඇති කරයි.

අභ්‍යන්තර ප්‍රතිපත්තිය වෙනම ප්‍රශ්නයක් ලෙස ලියන්න: කුමන සේවාදායක ලිපිනයන්ට උමඟ හරහා කුමන ගමනාන්තවලට ළඟා විය හැකිද. පරිපාලන මාර්ගය, උදාහරණයක් ලෙස SSH, තමන්ගේම මූලාශ්‍ර සීමාව සමඟ ආගමන මාර්ගයේ තබන්න. පරීක්ෂණ කාලයේ එකතු කරන ලිහිල් forward නීතිය පරීක්ෂණයට වඩා දිගු කාලයක් ජීවත් වන සම්භාව්‍ය දෝෂයයි, එබැවින් වෙනසකට පසු ඔබ සංස්කරණය කළ එක පේළියක් නොව මුළු කට්ටලයම සමාලෝචනය කරන්න. උමඟේ සවන්දෙන්නා විවෘත කිරීම සම්බන්ධ වූ සෑම සේවාදායකයකටම සත්කාරකය පරිපාලනය කිරීමට අවසරයක් නොවේ.

ඉවත දැමීම සහ ප්‍රතික්ෂේප කිරීම ක්‍රියා වේ, ප්‍රතිපත්ති නොවේ

මූලික දාමයේ ප්‍රතිපත්තිය පිළිගනී හෝ ඉවත දමයි, එය තේරීම්වල සම්පූර්ණ ලැයිස්තුවයි, පවසන පරිදි nftables යොමුව. ප්‍රතික්ෂේපය තෝරාගත් පිළිතුරක් සහිත නීති ක්‍රියාවක් ලෙස පවතී, එබැවින් එය ප්‍රතිපත්තියක් ලෙස ලිවීම nftables සහ iptables දෙකේම අසාර්ථක වේ. ප්‍රායෝගිකව drop සේවාදායකයාට කිසිදු තොරතුරක් නොදෙයි, නමුත් reject ඔහුට ක්‍රියා කළ හැකි දෝෂයක් දෙයි.

table inet admin {
    chain input {
        type filter hook input priority filter; policy drop;
        ct state established,related accept
        ip saddr 203.0.113.0/28 tcp dport 22 accept
        udp dport 51820 accept
        icmp type { destination-unreachable, time-exceeded } accept
    }
}

එම කටු සටහන අලවන ගොනුවක් ලෙස නොව තීරණයක හැඩය ලෙස කියවන්න, මක්නිසාද ලිපින පරාස උදාහරණ වේ. SSH වරායේ පැහැදිලි reject අනවසර සේවාදායකයාට කල් ඉකුත්වීම බලා සිටීම වෙනුවට එක් තත්පරයකින් අසාර්ථක කරයි, එය ඔබේම දෝෂ නිරාකරණය කෙටි කරයි. නිශ්ශබ්දතාව අහම්බෙන් ස්කෑන් කිරීම් නිරුත්සාහ කරන අතර අවසර ලත් පරිශීලකයාට කිසිවක් නොකියයි. සේවාව අනුව තෝරාගෙන හේතුව ලියන්න, එසේ නොමැති නම් ඊළඟ පුද්ගලයා එය නැවත වෙනස් කරයි.

ඔබට ඇත්තටම අවශ්‍ය පාලන ගමන් කරන දත්ත තබා ගන්න

සියලු ICMP අවහිර කිරීම මාර්ග MTU සොයාගැනීම බිඳ දමන ජනප්‍රිය පෙරනිමියකි, රෝග ලක්ෂණය වන්නේ ස්ථාපිත වී පසුව විශාල පැකට්ටුවල නතර වන සම්බන්ධතාවයි. IPv6 හි අසල්වාසී සොයාගැනීම එහිම ICMPv6 වර්ග මත රඳා පවතී, ඒවා ඉවත දැමීම කිසිදු TCP නීතියක් සලකා බැලීමට පෙර සබැඳිය බිඳ දමයි. දෙකම පුළුල් අවසර ලෙස නොව නම් කළ යැපීම් ලෙස අනුමත ලැයිස්තුවට අයත් වේ. සොයාගැනීම නිශ්ශබ්දව බිඳ දමන ප්‍රතිපත්තිය තරමක් රෝග විනිශ්චය ගමන් කරන දත්ත ඉඩ දෙන එකට වඩා නරකය.

ඔබ ආරම්භ කළ සම්බන්ධතා සඳහා established සහ related තත්ත්වයන්ට අවසර දෙන්න, පිළිතුරු තත්ත්වය දන්නා එන්ජිමට භාර දෙන්න. ඉන්පසු පිළිතුරු මාර්ගය තවදුරටත් අවහිර වී නැති බව තහවුරු කරන්න, මක්නිසාද ඉහළින් පිටතට යන ගමන් කරන දත්තවලට පමණක් ඇති සීමාව ඔබ සත්කාරකයට දොස් පැවරීමට ගිය එම කල් ඉකුත්වීමම ඇති කරයි.

පැරණි මාර්ගය අත්හැරීමට පෙර ප්‍රතිසාධනය ඔප්පු කරන්න

කොන්සෝල සැසියක් විවෘතව තබා, වෙනස යොදන්න, තවත් ටර්මිනලයකින් සම්පූර්ණයෙන් නව කළමනාකරණ සම්බන්ධතාවක් විවෘත කරන්න. පවතින සැසියක් කිසිවක් ඔප්පු නොකරයි, මක්නිසාද එය සෑම නව පිවිසුමක්ම අවහිර කරන නීතියකින් ගැලවී යා හැක, එය ගිනිපවුරු කටයුතුවල වඩාත්ම විශ්වාසදායක අසත්‍ය ධනාත්මක බවට පත් කරයි. නිරීක්ෂණ පද්ධතියක් සත්කාරකය පරීක්ෂා කරන්නේ නම්, පළමු අනතුරු ඇඟවීමෙන් පසු නොව වෙනසට පෙර එහි මූලාශ්‍ර ලිපිනය එකතු කරන්න. ඉන්පසු එක් විශාල සහ එක් කුඩා පැකට්ටුවක් පරීක්ෂා කර සොයාගැනීම තවමත් ක්‍රියා කරන බව ඔප්පු කරන්න.

VPN සේවාවක් සඳහා, කිසි විටෙක සම්බන්ධ නොවූ සේවාදායකයෙකුගෙන් නැවත කරන්න, මක්නිසාද නැවත ආරම්භ කළ සැසියක් නව එකක් සාකච්ඡා කළ යුතු තත්ත්වය නැවත භාවිත කළ හැක. සමත් වූ නිශ්චිත නීති කට්ටලය චෙක්සම් හෝ පිටපතක් සමඟ සටහන් කරන්න, පසුව කරන සංස්කරණය අනුමානයෙන් නොව සංසන්දනය කළ හැකි වන පරිදි. නීති අනුපිළිවෙල හිමි අය සමඟ සම්බන්ධීකරණය වන්න, මක්නිසාද කලින් නීතියක් ඔබ එකතු කළ නීතියට නිශ්ශබ්දව ජය ගනී.