Kuzuia IPv6 ili kulinda WireGuard huvunja mwenyeji

Lengo ni la busara: watumiaji wa handaki pekee wanapaswa kufikia huduma kwenye mashine hii. Suluhisho ambalo watu huchukua ni mnyororo wa kuingiza IPv6 unaotupa kila kitu isipokuwa WireGuard, na hivyo pia hutupa trafiki inayoshikilia mwenyeji kwenye kiungo chake mwenyewe. Ugunduzi wa majirani na jumbe za utunzaji wa njia si ufikiaji wa huduma, na kuziondoa hutoa mashine isiyofikika kwa sababu zisizohusiana na sera yako. Handaki huinuka, huduma zimewekewa mipaka ipasavyo, na hakuna kingine kwenye kiungo kinachofanya kazi.

Majukumu matatu, kanuni moja

Jukumu la kwanza ni uendeshaji wa mtandao wa nje: mwenyeji lazima abaki kwenye kiungo chake, atatue majirani na ajifunze mipaka ya njia ya kiungo hicho. La pili ni msikilizaji aliyesimbwa, anayekubali UDP kwenye anwani na mlango uliochagua. La tatu ni seti ya huduma zilizofunguliwa ambazo unataka watumiaji wa handaki zifikie.

Hizi ni sera tatu tofauti, na ni ya pili na ya tatu tu zinazohusiana na VPN. Kanuni zinazozichukulia kama moja hurithi hali ya kushindwa ambapo kukaza mpaka wa programu huvunja kiungo cha mwenyeji kimya kimya.

Weka kwenye minyororo tofauti au angalau maoni tofauti, ili mtu anayefuata aone mstari gani upo kwa sababu gani.

ICMPv6 hufanya nini kwa mwenyeji

IPv6 hutegemea ICMPv6 kwa mambo mengi zaidi ya mwangwi. Ombi na tangazo la jirani huchukua nafasi ya ARP na ni muhimu kwa uwasilishaji wa ndani. Packet Too Big hubeba taarifa ya MTU ya njia, na kuipuuza hutoa uhamishaji unaokwama kwenye pakiti kubwa. Matangazo ya kipanga njia hubeba njia ya chaguo-msingi na taarifa ya kiambishi awali wakati kiungo kinatumia usanidi wa kiotomatiki.

RFC 4890 hutenganisha jumbe ambazo chujio cha mwenyeji lazima kiruhusu na zile ambazo ni chaguo la kiutawala, na hufanya hivyo katika sehemu ya mwenyeji tofauti na kanuni za kipanga njia kinachosambaza kati ya mitandao. Kusoma sehemu ya usambazaji pekee hutoa sera ya kuingiza iliyo kali mno kwa mwenyeji inaolinda.

Kanuni ya kivitendo ni kuruhusu jumbe muhimu za hitilafu na usanidi kwenye kiolesura kinachozihitaji, zikiwa na mipaka kwa aina na chanzo pale jukwaa linaporuhusu, na kufanya uamuzi wazi kuhusu zilizosalia.

Kubadilisha yote hayo na ruhusa ya jumla ya ICMPv6 hutatua tatizo la upatikanaji na huacha uchujaji. Kubadilisha na kutupa kwa jumla hutatua tatizo la uchujaji na huacha mwenyeji.

Ruhusu handaki kwanza, kisha huduma

Kubali usafirishaji wa WireGuard kwenye anwani ya nje iliyokusudiwa na mlango wa UDP, na kubali trafiki ya kurudi kupitia ufuatiliaji wa miunganisho. Kisha ruhusu huduma za programu kupitia kiolesura cha handaki, kutoka vyanzo unavyoidhinisha kwa kweli.

Ruhusa ya mlango wa nje wa UDP haiidhinishi maombi yaliyofunguliwa ndani yake. Tofauti hiyo ndiyo sababu nzima ya kiolesura cha handaki kuonekana katika kanuni za huduma.

Soma kanuni kama zilivyo, si kama faili linavyoeleza:

sudo nft list ruleset
ip -6 addr show
ip -6 route show default

Msikilizaji kwenye anwani halisi ni ufichuzi tofauti na huduma hiyo hiyo kwenye anwani ya handaki. Ikiwa mashine pia inasambaza trafiki kwa mashine nyingine, huo ni uamuzi wa mnyororo wa usambazaji na si sera hii ya kuingiza, na unahitaji hoja yake mwenyewe.

Jaribu kiungo, si handaki pekee

Handaki inayofanya kazi baada ya mabadiliko huthibitisha kidogo kuliko inavyoonekana, kwa sababu ingizo la jirani lililopo na muunganisho ulioanzishwa vinaweza kuficha ujumbe wa udhibiti ambao sera sasa inautupa.

Angalia kiungo moja kwa moja, kisha angalia kwamba njia iliyotengwa bado inashindwa:

ip -6 neigh show
ping -6 -c 3 2001:db8:1::1
sudo nft -c -f /etc/nftables.conf

Jedwali la majirani linalobaki kamili baada ya kuwasha upya ni ishara kwamba ugunduzi bado unafanya kazi. Jedwali linalofunguka na kutojazwa tena ni ishara kwamba uliichuja. Amri ya tatu huthibitisha sarufi ya kanuni bila kuitumia, jambo ambalo linafaa kufanywa ukiwa bado na kipindi.

Rejesha mwenyeji uliojifungia nje

Kabla ya kubadilisha kanuni za ngome ya moto zinazobeba kipindi chako cha utawala, weka njia ya pili: konsoli, muunganisho wa mfululizo, au kurudi nyuma kwa ratiba kunakotoa kanuni mpya ikiwa hutaghairi.

Ikiwa mabadiliko yatakufungia nje, urejeshaji hupitia njia hiyo na si kupitia mtandao uliouondoa sasa hivi. Rejesha kanuni za awali kutoka nakala iliyohifadhiwa, thibitisha kwamba mwenyeji anafikika tena, na kisha tu tumia sera iliyokusudiwa kwa vipande vidogo.

Sera ya mwisho si ya jumla. Anwani, uelekezaji na utekelezaji wa ngome ya moto ni pembejeo za usambazaji, lakini mpaka ni ule ule kila mahali: kataa ufikiaji wa programu usiokusudiwa huku ukihifadhi trafiki ya udhibiti inayobeba handaki iliyoidhinishwa.