Kanuni za firewall za NEW pekee hazifungi kila njia ya WAN

Kukataa miunganisho mipya ya kutoka kwenye WAN inaonekana kama sera inayofunga wakati wa kushindwa, lakini ni ahadi nyembamba kuliko inavyoonekana. Pakiti zinazomilikiwa na mitiririko iliyopo tayari hazilingani nayo, na majibu mengi pia hayalingani. Pengo hili ni rahisi kukosa kwa sababu kanuni inasomwa kana kwamba inashughulikia kiolesura badala ya hali moja ya muunganisho juu yake. Na kusoma ulinganifu wa hali kama hukumu ndiko kunakozalisha hisia ya uongo ya kufungwa.

Hali ni sharti la ulinganifu, si hukumu

Ufuatiliaji wa miunganisho huainisha pakiti kulingana na kile firewall imekwisha kiona, si kulingana na kile programu inaamini. Mtiririko unaoonekana katika pande zote mbili umeanzishwa, na pakiti zake za baadaye hubaki zimeanzishwa hata njia iliyo chini yake inapobadilika kutoka handaki kwenda kwenye mstari wa kawaida wa juu. Jibu kwa muunganisho unaoingia pia linaweza kuwa trafiki iliyoanzishwa. Pakiti hizo kamwe hazibadiliki kuwa mpya tena.

Kwa hiyo kanuni iliyo na mipaka ya miunganisho mipya pekee haiwezi kuthibitisha kwamba kila pakiti iliyolindwa imezuiwa. Inaacha hali nyingine kwa kile ambacho sehemu nyingine ya seti ya kanuni hufanya nazo, na hiyo inaweza kuwa idhini iliyowekwa mapema kwenye mnyororo.

Soma kanuni katika mazingira yake

Idhini pana kwa trafiki iliyoanzishwa na inayohusiana iliyowekwa kabla ya kuzuia hupitisha pakiti kabla ya kuzuia kuchunguzwa hata kidogo. Kuondoa sharti la hali kwenye kanuni ya baadaye hakutabadilisha hilo, kwa sababu tathmini kamwe haifikii hapo. Mpangilio huamua matokeo, na ulinganifu wa hali huamua pakiti zipi zinafikia mpangilio huo.

Kagua seti halisi ya kanuni badala ya faili uliyohariri, ikiwa ni pamoja na kuruka kwenda minyororo mingine na kila kitu kinachozalishwa na jukwaa. Kwenye kipanga njia kinachosimamiwa na iptables, kuorodhesha mnyororo kunaonyesha fasili za kanuni, na minyororo inayorejelewa lazima ifuatiliwe pia. Mfumo halisi wa nftables unahitaji seti yake ya kanuni na vipaumbele vya ndoano kuchunguzwa, kwa sababu firmware mara chache huzalisha minyororo inayofanana.

Vihesabu hueleza ni kanuni ipi iliyolingana kwa hakika, na kwa kawaida huwa na taarifa zaidi kuliko kunasa pakiti kulikofanywa baada ya uamuzi. Kanuni iliyo na kihesabu cha sifuri haijafikiwa, chochote kinachodokezwa na nafasi yake.

Eleza marufuku bila kutegemea hali

Ikiwa kikundi cha wateja hakiwezi kamwe kufikia intaneti nje ya handaki, sema hivyo moja kwa moja badala ya kukikadiria kwa hali moja. Kanuni lazima ichague kwa chanzo, kituo cha kutoka na lengwa bila kutegemea hali ya muunganisho, na lazima ikae mahali ambapo hakuna idhini ya awali inayoweza kuipita. Kisha ufikiaji wa usimamizi na isipokuwa za mtandao wa ndani hupata kanuni zao wazi, hivyo nia inaonekana katika sera.

Kuchagua reject badala ya drop hubadilisha jinsi trafiki inayolingana inashindwa, na hakupanui seti ya pakiti ambazo kanuni huchagua. Muunganisho uliokataliwa na ukomo wa muda wa kimya ni dalili tofauti zinazoelekeza kwenye chaguo moja.

Sera inayoruhusu kwa makusudi majibu kwa ufikiaji ulioanzishwa kwa mbali kupitia WAN inaweza kutetewa. Inapaswa tu kuelezwa hivyo badala ya kuwasilishwa kama utengano kamili kupitia handaki pekee.

Angalia ni nani hasa aliye kwenye kikundi

Mfano unahusu trafiki ya IPv4 inayosambazwa kutoka kiambishi awali kimoja kupitia kiolesura kimoja. Haisemi chochote kuhusu IPv6, mstari wa pili wa juu, au trafiki ambayo kipanga njia yenyewe huzalisha. Kipanga njia kinachofanya kazi kama kitatuzi cha DNS hutuma maswali yake ya juu, na hayo hayapiti kabisa kwenye mnyororo wa forward.

Thibitisha kwamba wateja waliolindwa bado wana anwani ndani ya kiambishi awali kilichochaguliwa, kwa sababu kifaa kilichohamia nje yake ni cha moja kwa moja kwa bahati na si kwa sera. Kupanua kizuizi hadi LAN yote bila kukagua muundo wa isipokuwa pia huelekea kuondoa njia yako mwenyewe ya usimamizi.

iptables -S FORWARD
iptables -L FORWARD -v -n
cat /proc/net/nf_conntrack | grep -c ESTABLISHED

Kisha jaribu mtiririko wa zamani kando ya mpya. Jaribio jipya la muunganisho na uhamishaji wa pande mbili ulio hai tayari hujiendesha tofauti chini ya kanuni hii, na kujaribu vyote viwili pekee kunaonyesha sera gani unayo kwa hakika.