Rregullat e murit të zjarrit vetëm për NEW nuk mbyllin çdo rrugë WAN

Refuzimi i lidhjeve të reja dalëse në WAN duket si politikë që mbyllet në dështim, por është një premtim më i ngushtë nga sa duket. Paketat që u përkasin rrjedhave ekzistuese nuk përputhen me të, dhe shumë përgjigje gjithashtu. Kjo e çarë është e lehtë të humbasë, sepse rregulli lexohet sikur mbulon ndërfaqen dhe jo një gjendje lidhjeje mbi të. Dhe leximi i përputhjes së gjendjes si verdikt është ai që krijon një ndjenjë të rreme mbylljeje.

Gjendja është kusht përputhjeje, jo verdikt

Ndjekja e lidhjeve i klasifikon paketat sipas asaj që muri i zjarrit ka parë tashmë, jo sipas asaj që beson aplikacioni. Një rrjedhë e vëzhguar në të dy drejtimet është e krijuar, dhe paketat e saj të mëvonshme mbeten të krijuara edhe kur rruga poshtë saj ndryshon nga një tunel në linjën e zakonshme lart. Edhe përgjigja ndaj një lidhjeje hyrëse mund të jetë trafik i krijuar. Ato paketa nuk bëhen kurrë përsëri të reja.

Prandaj një rregull i kufizuar vetëm në lidhjet e reja nuk mund të provojë që çdo paketë e mbrojtur është bllokuar. Ai i lë gjendjet e tjera asaj që bën pjesa tjetër e grupit të rregullave me to, dhe kjo mund të jetë një lejim i vendosur më herët në zinxhir.

Lexoni rregullin në rrethinën e tij

Një lejim i gjerë për trafikun e krijuar dhe të lidhur, i vendosur përpara bllokimit, e kalon një paketë përpara se bllokimi të vlerësohet fare. Heqja e kushtit të gjendjes nga një rregull i mëvonshëm nuk do ta ndryshojë këtë, sepse vlerësimi nuk arrin kurrë deri atje. Rezultatin e vendos rendi, dhe përputhja e gjendjes vendos cilat paketa arrijnë në atë rend.

Inspektoni grupin efektiv të rregullave dhe jo skedarin që keni redaktuar, duke përfshirë kërcimet në zinxhirë të tjerë dhe gjithçka që gjeneron platforma. Në një router të administruar me iptables, renditja e zinxhirit tregon përkufizimet e rregullave, dhe zinxhirët që ai referon duhet të ndiqen gjithashtu. Një sistem amë nftables kërkon ekzaminimin e grupit të vetë rregullave dhe prioriteteve të grepave, sepse firmware-i rrallë gjeneron zinxhirë identikë.

Numëruesit tregojnë se cili rregull përputhej në të vërtetë, dhe zakonisht janë më informues se një kapje paketash e marrë pas vendimit. Një rregull me numërues zero nuk është arritur, çfarëdo që sugjeron pozicioni i tij.

Shprehni ndalimin pavarësisht nga gjendja

Nëse një grup klientësh nuk duhet të arrijë kurrë internetin jashtë tunelit, thoni atë drejtpërdrejt në vend që ta përafroni me një gjendje të vetme. Rregulli duhet të zgjedhë sipas burimit, daljes dhe destinacionit pa u varur nga gjendja e lidhjes, dhe duhet të qëndrojë aty ku asnjë lejim i mëparshëm nuk mund ta anashkalojë. Pastaj qasja e menaxhimit dhe përjashtimet e rrjetit lokal marrin rregullat e tyre të qarta, kështu që qëllimi është i dukshëm në politikë.

Zgjedhja e reject në vend të drop ndryshon mënyrën se si dështon trafiku që përputhet, dhe nuk e zgjeron grupin e paketave që zgjedh rregulli. Një lidhje e refuzuar dhe një skadim i heshtur kohe janë simptoma të ndryshme që tregojnë të njëjtën zgjedhje.

Një politikë që lejon me qëllim përgjigjet ndaj qasjes së nisur nga larg përmes WAN është e mbrojtshme. Thjesht duhet përshkruar ashtu, në vend që të paraqitet si izolim total vetëm përmes tunelit.

Kontrolloni kush është në të vërtetë në grup

Shembulli mbulon trafikun IPv4 të përcjellë nga një prefiks përmes një ndërfaqeje. Nuk thotë asgjë për IPv6, për një linjë të dytë lart ose për trafikun që krijon vetë routeri. Një router që vepron si zgjidhës DNS dërgon pyetjet e veta lart, dhe ato nuk kalojnë fare nëpër zinxhirin forward.

Konfirmoni që klientët e mbrojtur ende kanë adresa brenda prefiksit të zgjedhur, sepse një pajisje që ka dalë jashtë tij është drejtpërdrejt rastësisht dhe jo sipas politikës. Zgjerimi i bllokimit në të gjithë LAN-in pa rishikuar dizajnin e përjashtimeve gjithashtu tenton të heqë rrugën tuaj administrative.

iptables -S FORWARD
iptables -L FORWARD -v -n
cat /proc/net/nf_conntrack | grep -c ESTABLISHED

Më pas provoni një rrjedhë të vjetër pranë një të reje. Një përpjekje e re lidhjeje dhe një transferim dykahësh tashmë aktiv sillen ndryshe nën këtë rregull, dhe vetëm testimi i të dyjave tregon se çfarë politike keni në të vërtetë.