Bllokimi i IPv6 për të mbrojtur WireGuard prish hostin

Qëllimi është i arsyeshëm: vetëm përdoruesit e tunelit duhet të arrijnë shërbimet në këtë makinë. Zgjidhja që njerëzit marrin është një zinxhir hyrës IPv6 që hedh poshtë gjithçka përveç WireGuard, dhe kështu hedh poshtë edhe trafikun që mban hostin të lidhur me lidhjen e vet. Zbulimi i fqinjëve dhe mesazhet e mirëmbajtjes së rrugës nuk janë akses shërbimi, dhe heqja e tyre prodhon një makinë të paarritshme për arsye që nuk kanë lidhje me politikën tuaj. Tuneli ngrihet, shërbimet janë të kufizuara saktë, dhe asgjë tjetër në lidhje nuk funksionon.

Tre përgjegjësi, një grup rregullash

Përgjegjësia e parë është funksionimi i rrjetit të jashtëm: hosti duhet të qëndrojë në lidhjen e vet, të zgjidhë fqinjët dhe të njohë kufijtë e rrugës së asaj lidhjeje. E dyta është dëgjuesi i kriptuar, që pranon UDP në adresën dhe portën që zgjodhët. E treta është grupi i shërbimeve të dekriptuara që dëshironi të arrijnë përdoruesit e tunelit.

Këto janë tre politika të ndryshme, dhe vetëm e dyta dhe e treta kanë të bëjnë me VPN. Një grup rregullash që i trajton si një të vetëm trashëgon një mënyrë dështimi ku shtrëngimi i kufirit të aplikacionit thyen në heshtje lidhjen e hostit.

Mbajini në zinxhirë të veçantë ose të paktën komente të veçanta, që personi tjetër të shohë cila rresht ekziston dhe pse.

Çfarë bën ICMPv6 për hostin

IPv6 mbështetet në ICMPv6 për shumë më tepër sesa jehona. Kërkesa dhe njoftimi i fqinjit zëvendësojnë ARP dhe janë të nevojshëm për dorëzimin lokal. Packet Too Big mbart informacionin e MTU-së së rrugës, dhe injorimi i tij prodhon transferime që ngecin në paketa të mëdha. Njoftimet e ruterit mbartin rrugën e paracaktuar dhe informacionin e prefiksit kur lidhja përdor konfigurim automatik.

RFC 4890 ndan mesazhet që një filtër hosti duhet të lejojë nga ato që janë zgjedhje administrative, dhe e bën këtë në një seksion hosti të ndryshëm nga rregullat për një ruter që përcjell midis rrjeteve. Leximi vetëm i seksionit të përcjelljes prodhon një politikë hyrëse shumë të rreptë për hostin që mbron.

Rregulli praktik është të lejohen mesazhet thelbësore të gabimit dhe konfigurimit në ndërfaqen që i nevojiten, të kufizuara sipas llojit dhe burimit ku platforma e lejon, dhe të vendoset qartë për pjesën tjetër.

Zëvendësimi i gjithë kësaj me një leje të përgjithshme ICMPv6 zgjidh problemin e disponueshmërisë dhe heq dorë nga filtrimi. Zëvendësimi me një hedhje të përgjithshme zgjidh problemin e filtrimit dhe heq dorë nga hosti.

Pranoni tunelin, pastaj shërbimin

Pranoni transportin WireGuard në adresën e jashtme të synuar dhe portën UDP, dhe pranoni trafikun e kthimit përmes gjurmimit të lidhjeve. Pastaj lejoni shërbimet e aplikacioneve të kalojnë përmes ndërfaqes së tunelit, nga burimet që vërtet i autorizoni.

Një leje për portën e jashtme UDP nuk autorizon kërkesat e dekriptuara brenda saj. Ky dallim është e gjithë arsyeja pse ndërfaqja e tunelit shfaqet në rregullat e shërbimit.

Lexojeni grupin e rregullave ashtu si është, jo siç e përshkruan skedari:

sudo nft list ruleset
ip -6 addr show
ip -6 route show default

Një dëgjues në një adresë fizike është një ekspozim i veçantë nga i njëjti shërbim në adresën e tunelit. Nëse makina përcjell trafik edhe te një makinë tjetër, ky është vendim i zinxhirit të përcjelljes dhe jo kjo politikë hyrëse, dhe kërkon arsyetimin e vet.

Testoni lidhjen, jo vetëm tunelin

Një tunel që funksionon pas ndryshimit provon më pak sesa duket, sepse një zë fqinji ekzistues dhe një lidhje e vendosur mund të fshehin një mesazh kontrolli që politika tani e hedh poshtë.

Kontrolloni lidhjen drejtpërdrejt, pastaj kontrolloni që rruga e përjashtuar ende dështon:

ip -6 neigh show
ping -6 -c 3 2001:db8:1::1
sudo nft -c -f /etc/nftables.conf

Një tabelë fqinjësh që mbetet e plotë pas rinisjes është sinjali që zbulimi ende funksionon. Një tabelë që zbrazet dhe nuk mbushet më kurrë është sinjali që e filtruat. Komanda e tretë vërteton sintaksën e grupit të rregullave pa e zbatuar, dhe kjo ia vlen të bëhet sa kohë keni ende sesion.

Rikthejeni një host nga i cili u mbyllët jashtë

Përpara se të ndryshoni rregulla të mureve mbrojtëse që mbartin sesionin tuaj administrativ, mbani një kanal të dytë: një konsolë, një lidhje serike ose një kthim të planifikuar që heq rregullat e reja nëse nuk e anuloni.

Nëse një ndryshim ju mbyll vërtet jashtë, rikthimi bëhet përmes atij kanali dhe jo përmes rrjetit që sapo hoqët. Riktheni grupin e mëparshëm të rregullave nga një kopje e ruajtur, konfirmoni që hosti është përsëri i arritshëm, dhe vetëm atëherë zbatoni politikën e synuar në pjesë më të vogla.

Politika përfundimtare nuk është universale. Adresimi, rrugëtimi dhe zbatimi i murit mbrojtës janë hyrje të vendosjes, por kufiri është i njëjtë kudo: refuzoni aksesin e padëshiruar të aplikacioneve duke ruajtur trafikun e kontrollit që mbart tunelin e autorizuar.