Hakuna tun0? Linganisha IPsec iliyofumbuliwa katika nftables na meta ipsec

Unatarajia kiolesura cha handaki, unakitafuta, na hakuna cha kulinganisha kwenye ngome ya moto. Hii ni kawaida kwa lango linalotegemea sera: mabadilishano yaliyosimbwa hufika kwenye kiolesura halisi, na pakiti ya ndani iliyofumbuliwa inayopelekwa mbele pia huzingatiwa ikifika kwenye kiolesura hicho hicho. Hakuna tun0 kwa sababu hakuna kilichoiumba.

Ombi la ndani bado ni pakiti tofauti yenye chanzo chake, lengo na huduma yake, na kiini hujua ilitoka kwenye muungano upi wa usalama. Maarifa hayo ndiyo ambayo sheria ya ngome ya moto inaweza kulinganisha.

Pakiti mbili, kiolesura kimoja

Fikiria mwelekeo wa kuingia. Pakiti iliyofungwa katika ESP au UDP inafika, kiini hupata sera inayolingana, huifumbua na kuikabidhi pakiti tambara kwenye njia ya upelekaji. Sheria inayoangalia tu jina la kiolesura haiwezi kutofautisha pakiti hiyo na trafiki nyingine yoyote inayofika kwenye waya huo huo.

Kinachoitunga ni muktadha wa njia ya usalama inayoingia ulioambatishwa kwenye pakiti. nftables huionesha kama meta ipsec exists, ambayo ni kweli pakiti inapofika kupitia njia ya usalama ya IPsec. Ichanganye na kundi la wateja, lengo na huduma, na sheria inakuwa mahususi vya kutosha kuwa salama.

Kuacha muktadha ni kosa la kawaida, na ni kosa la usalama na si la urembo. Sheria inayokubali kila kitu kinachotoka kwenye kundi la wateja hukubali kwa urahisi sawa pakiti ya kughushi kutoka mtandao wa ndani, kwa sababu anwani ya chanzo peke yake si uthibitisho wa kitu chochote. Muktadha wa njia ya usalama ndiyo njia ya bei nafuu ya kufanya chanzo kiwe na maana. Andika sheria ukiwa nao tangu mwanzo badala ya kuiongeza baada ya ukaguzi.

Andika sheria ya upelekaji

Chukulia kuwa kuna huduma ya ufikiaji wa mbali ya IPv4 iliyothibitishwa na wateja katika 10.90.0.0/24 na lengo moja lililoidhinishwa kwenye 203.0.113.40. Kipande cha sheria kwa mtiririko huo kinaonekana hivi.

meta ipsec exists ip saddr 10.90.0.0/24 \
  ip daddr 203.0.113.40 tcp dport 443 \
  oifname "eth0" counter accept

Anwani na kiolesura ni mifano ya kubadilisha. Weka kifaa sawa kilichopitiwa katika sera ya upelekaji kabla ya sheria ambayo ingekataa mtiririko huo, na usifute seti ya sheria zilizopo ili kuisakinisha; lango si jaribio la chumba safi.

Neno oifname linafaa kubaki. Hurekodi uamuzi wa kutoka na huzuia sheria kulingana katika mwelekeo ambao hukukusudia, jambo ambalo ni muhimu kwenye lango lenye njia kadhaa kwenda intaneti. Kwenye sanduku la majaribio lenye kiungo kimoja cha juu neno huonekana la ziada, na ndiyo sababu huondolewa kabla sanduku kupata kiungo cha pili.

Ruhusa za mabadilishano ya nje ni tofauti. Njia ya kuingia ya lango inahitaji bandari za IKE na ESP au ufungaji wa UDP ambazo hutumia kweli, na ruhusa hizo haziruhusu chochote kuhusu pakiti iliyofumbuliwa ndani. Kuchanganya hizo mbili ndiyo njia ambayo handaki linalofanya kazi huishia na ngome ya moto inayopeleka kila kitu.

Muktadha wa kuingia si muktadha wa kutoka

Familia hiyo hiyo ya misemo inashughulikia mwelekeo mwingine kwa rt ipsec, ambayo inaelezea muungano wa usalama wa kutoka ambao pakiti itatumia. Inajibu swali tofauti: si pakiti hii ilitoka wapi, bali kama italindwa katika sehemu yake inayofuata.

Tofauti hiyo ni muhimu kwenye lango linalomaliza handaki moja na wakati huo huo kupeleka ndani ya lingine. Pakiti inaweza kufika ikiwa imefumbuliwa na bado lazima itoke ikiwa imesimbwa, na kibali kilichoandikwa kwa muktadha wa kuingia peke yake hakisemi chochote kuhusu sharti la kutoka. Ikiwa sera inahitaji ulinzi huo, seti ya sheria inapaswa kuueleza badala ya kudhani uelekezaji utashughulikia.

Weka maswali mawili katika sheria tofauti ili msomaji aone lipi linatekelezwa. Sheria moja yenye werevu inayochunguza yote mawili ni ngumu zaidi kukagua na ngumu zaidi kutatua hitilafu wakati nusu yake inaacha kulingana. Sheria mbili zenye vihesabu pia zinakuambia sharti lipi linashindwa, jambo ambalo sheria moja iliyounganishwa haitafanya kamwe.

NAT si uamuzi wa ngome ya moto

Trafiki kwenda intaneti kutoka kundi la wateja wa kibinafsi kwa kawaida inahitaji tafsiri ya chanzo ili jibu lipate njia ya kurudi. Lakini trafiki iliyochaguliwa kwa sera nyingine ya IPsec ya kutoka lazima ihifadhi msamaha wake unaohitajika, na kufunika kila chanzo cha kibinafsi bila kufikiri kuhusu uamuzi ujao wa ulinzi huvunja hilo.

Kibali ndani ya mnyororo wa NAT pia si ruhusa ya jumla. NAT na uchujaji vina kazi tofauti, na mnyororo wa NAT hauchunguzi kila pakiti ya baadaye ya mtiririko ulioimarishwa, na ndiyo sababu kutegemea hilo kwa usalama hutoa sheria zinazoonekana kufanya kazi kwenye jaribio na kushindwa chini ya mzigo.

Kinyume chake pia ni kweli na huwashangaza watu: kibali mahali fulani katika mnyororo mmoja wa msingi wa uchujaji hakina uzito wowote dhidi ya kukataliwa kwa baadaye katika mnyororo mwingine unaotumika. Matokeo huamuliwa na mpangilio na wigo wa mnyororo, si kuwepo kwa kibali kwenye faili.

Thibitisha huduma halisi ya ndani

Jaribu lengo na bandari mahususi ulizoidhinisha, kutoka mteja halisi, na uthibitishe kuwa jibu linarejea. Kisha jaribu kitu ambacho hukuidhinisha na uangalie kuwa hakipiti, kwa sababu sheria pana mno hupita jaribio la kwanza vizuri kama sheria sahihi. Ombi ambalo haliondoki kamwe kwa mteja pia si matokeo ya ngome ya moto, kwa hiyo soma vihesabu kuona kama pakiti ilitathminiwa hata kidogo. Majaribio mawili na usomaji mmoja wa kihesabu yatakuambia zaidi ya alasiri nzima ya kusoma seti ya sheria.

Rejea ya nftables huandika meta ipsec, rt ipsec na misemo mahususi kwa mwelekeo, na hapo ndipo mahali pa kuchunguza sintaksia dhidi ya toleo lako lililosakinishwa. Na weka wigo wazi: huu ni mfano wa IPv4, hausemi chochote kuhusu IPv6, na haufanyi upelekaji holela wa bandari za umma kuwa sehemu ya huduma ya VPN.