Blokiranje IPv6 zaradi zaščite WireGuarda pokvari gostitelja

Cilj je razumen: do storitev na tem stroju naj bi prišli le uporabniki tunela. Rešitev, po kateri ljudje posežejo, je dohodna veriga IPv6, ki zavrže vse razen WireGuarda, s tem pa zavrže tudi promet, ki drži gostitelja pripetega na njegovo lastno povezavo. Odkrivanje sosedov in sporočila za vzdrževanje poti niso dostop do storitev, njihova odstranitev pa ustvari stroj, ki je nedosegljiv iz razlogov, ki nimajo zveze z vašo politiko. Tunel se dvigne, storitve so pravilno omejene in nič drugega na povezavi ne deluje.

Tri odgovornosti, en nabor pravil

Prva odgovornost je delovanje zunanjega omrežja: gostitelj mora ostati na svoji povezavi, razreševati sosede in poznati meje poti te povezave. Druga je šifrirani poslušalec, ki sprejema UDP na naslovu in vratih, ki ste jih izbrali. Tretja je nabor dešifriranih storitev, do katerih naj bi prišli uporabniki tunela.

To so tri različne politike in le druga in tretja se nanašata na VPN. Nabor pravil, ki jih obravnava kot eno, podeduje način odpovedi, v katerem zaostritev meje aplikacije tiho zlomi pripetost gostitelja.

Držite jih v ločenih verigah ali vsaj ločenih komentarjih, da bo naslednja oseba videla, katera vrstica obstaja in zakaj.

Kaj ICMPv6 počne za gostitelja

IPv6 se na ICMPv6 zanaša pri veliko več kot pri odmevu. Zahteva in oznanilo soseda nadomestita ARP in sta potrebna za lokalno dostavo. Packet Too Big nosi informacijo o MTU poti, njegovo ignoriranje pa privede do prenosov, ki se ustavijo pri velikih paketih. Oznanila usmerjevalnika nosijo privzeto pot in informacijo o predponi, ko povezava uporablja samodejno konfiguracijo.

RFC 4890 loči sporočila, ki jih mora filter gostitelja dovoliti, od tistih, ki so administrativna izbira, in to v razdelku za gostitelja, ki se razlikuje od pravil za usmerjevalnik, ki posreduje med omrežji. Branje samo razdelka o posredovanju da dohodno politiko, ki je za zaščitenega gostitelja prestroga.

Praktično pravilo je dovoliti bistvena sporočila o napakah in konfiguraciji na vmesniku, ki jih potrebuje, omejena po vrsti in viru, kjer platforma to dovoljuje, in se o ostalih izrecno odločiti.

Nadomestiti vse to s splošnim dovoljenjem ICMPv6 reši težavo razpoložljivosti in se odreče filtriranju. Nadomestiti ga s splošnim zavrženjem reši težavo filtriranja in se odreče gostitelju.

Najprej spustite tunel, nato storitev

Sprejmite promet WireGuarda na predvidenem zunanjem naslovu in vratih UDP, povratni promet pa sprejmite s sledenjem povezav. Nato dovolite aplikacijskim storitvam prehod skozi vmesnik tunela, iz virov, ki jih resnično pooblastite.

Dovoljenje za zunanja vrata UDP ne pooblašča dešifriranih zahtev v njih. Prav ta razlika je celoten razlog, da se vmesnik tunela pojavi v pravilih storitev.

Berite nabor pravil tak, kakršen je, ne tak, kot ga opisuje datoteka:

sudo nft list ruleset
ip -6 addr show
ip -6 route show default

Poslušalec na fizičnem naslovu je ločena izpostavitev od iste storitve na naslovu tunela. Če stroj posreduje promet tudi na drug stroj, je to odločitev verige posredovanja in ne ta dohodna politika, zato potrebuje lastno utemeljitev.

Preizkusite povezavo, ne le tunela

Delujoč tunel po spremembi dokaže manj, kot se zdi, ker lahko obstoječi vnos soseda in vzpostavljena povezava skrijeta krmilno sporočilo, ki ga politika zdaj zavrže.

Preverite pripetost neposredno in nato preverite, da izločena pot še vedno ne uspe:

ip -6 neigh show
ping -6 -c 3 2001:db8:1::1
sudo nft -c -f /etc/nftables.conf

Tabela sosedov, ki po ponovnem zagonu ostane popolna, je znak, da odkrivanje še deluje. Tabela, ki se izprazni in se nikoli več ne napolni, je znak, da ste jo filtrirali. Tretji ukaz preveri sintakso nabora pravil brez uporabe, kar velja storiti, dokler imate še sejo.

Obnovite gostitelja, iz katerega ste se zaklenili

Preden spremenite pravila požarnega zidu, ki nosijo vašo lastno skrbniško sejo, imejte drug kanal: konzolo, serijsko povezavo ali načrtovano vrnitev, ki odstrani nova pravila, če je ne prekličete.

Če vas sprememba res zaklene, obnovitev poteka po tem kanalu in ne po omrežju, ki ste ga pravkar odstranili. Obnovite prejšnji nabor pravil iz shranjene kopije, potrdite, da je gostitelj spet dosegljiv, in šele nato uporabite predvideno politiko v manjših delih.

Končna politika ni univerzalna. Naslavljanje, usmerjanje in izvedba požarnega zidu so vhodi za uvedbo, a meja je povsod enaka: zavrnite neželen dostop aplikacij, hkrati pa ohranite krmilni promet, ki nosi pooblaščeni tunel.