Kanuni za kuingia za SSH na VPN: orodha ya ruhusa inadhibiti nini kwa kweli

Fuatilia muunganisho mmoja kutoka kwa mteja hadi kwa mwenyeji: ni ndoano ipi inayovuka, kwa nini kuning’inia na kukataliwa humaanisha kanuni tofauti na kwa nini kukataa kamwe si sera.

Ungana mara moja kabla ya kubadilisha kanuni na uangalie kama mteja ananing’inia au anakataliwa papo hapo. Tofauti hiyo moja inakuambia uamuzi upi ulitupa pakiti na kuokoa saa moja ya kusoma faili za sera. Sehemu iliyobaki ya safari ni fupi: pakiti inavuka ndoano, inalingana na kanuni na kufikia msikilizaji au haifiki. Orodha ya ruhusa ni hesabu tu kuzunguka ukweli huo mitatu.

Fuatilia jaribio moja la SSH hadi ndoano ya kuingia

Mteja hutuma SYN kwa anwani ya mwenyeji kwenye lango 22, na kiini huamua kama pakiti hiyo ni ya huduma ya ndani. Ikiwa ndivyo, njia ya kuingia huendeshwa na seti ya kanuni inakubali pakiti au kuiondoa. Ukimya humaanisha SYN ilikufa kabla msikilizaji kuiona, wakati kukataliwa haraka humaanisha kitu kilijibu kwa kuweka upya. Hizi ni hukumu tofauti kutoka kanuni tofauti, na zote ni matokeo halali.

Kisha thibitisha msikilizaji, kwa sababu hakuna kanuni inayoweza kuokoa huduma isiyopo. Endesha ss -ltnp na uangalie kama kitu kimefungwa kwenye lango na familia ya anwani unayotarajia, kisha soma ssh -v kwa mteja ili kuona inaposimama.

Uelekezaji ni uamuzi tofauti

Kwenye seva ya VPN ndoano ya kuvutia zaidi ni forward, kwa sababu trafiki ya mteja inapitishwa kwenye mashine badala ya kupewa mashine. Mwenyeji anayeendesha tu mteja wake wa VPN anahitaji seti ndogo sana ya kanuni kuliko anayeelekeza pakiti za watu wengine. Kuchanganya miundo hiyo miwili kwenye mashine moja hutoa kanuni zinazoonekana sahihi na hazipitishi chochote.

Andika sera ya ndani kama swali lake: ni anwani zipi za mteja zinazoweza kufikia maeneo gani kupitia handaki. Weka njia ya utawala, kama SSH, kwenye njia ya kuingia ikiwa na kizuizi chake cha chanzo. Kanuni ya forward inayoruhusu iliyoongezwa wakati wa majaribio ni kasoro ya kawaida inayoishi zaidi ya jaribio, kwa hiyo baada ya mabadiliko pitia seti yote ya kanuni na si mstari mmoja uliouhariri. Kufungua msikilizaji wa handaki si ruhusa kwa kila mteja aliyeunganishwa kusimamia mwenyeji.

Kutupa na kukataa ni vitendo, si sera

Sera ya mnyororo wa msingi inakubali au inatupa na hiyo ni orodha yote ya chaguo, kama inavyosema marejeo ya nftables. Kukataa hupo kama kitendo cha kanuni chenye jibu lililochaguliwa, ndiyo sababu kuiandika kama sera kushindwa kwenye nftables na iptables. Kwa vitendo drop haimpi mteja taarifa yoyote, wakati reject inampa hitilafu anayoweza kuifanyia kazi.

table inet admin {
    chain input {
        type filter hook input priority filter; policy drop;
        ct state established,related accept
        ip saddr 203.0.113.0/28 tcp dport 22 accept
        udp dport 51820 accept
        icmp type { destination-unreachable, time-exceeded } accept
    }
}

Soma mchoro huo kama umbo la uamuzi na si faili ya kubandika, kwa sababu safu za anwani ni mifano. Reject iliyo wazi kwenye lango la SSH hufanya mteja asiyeidhinishwa ashindwe kwa sekunde moja badala ya kusubiri muda wa mwisho, jambo linalofupisha utatuzi wako mwenyewe. Ukimya huzuia uchunguzi wa bahati nasibu na haumwambii mtumiaji aliyeidhinishwa chochote. Chagua kwa kila huduma na uandike kwa nini, vinginevyo mtu anayefuata atairudisha.

Weka trafiki ya udhibiti unayohitaji kweli

Kuzuia ICMP yote ni chaguo-msingi maarufu linalovunja ugunduzi wa MTU wa njia, na dalili ni muunganisho unaojengwa kisha kukwama kwenye pakiti kubwa. Ugunduzi wa majirani kwenye IPv6 hutegemea aina zake za ICMPv6, na kuzitupa huvunja kiungo kabla kanuni yoyote ya TCP haijashauriwa. Zote mbili zinapaswa kuwa kwenye orodha ya ruhusa kama vitegemezi vilivyotajwa na si kama ruhusa za jumla. Sera inayovunja ugunduzi kimya ni mbaya kuliko inayoruhusu trafiki kidogo ya uchunguzi.

Ruhusu hali za established na related kwa muunganisho ulioanzisha mwenyewe, na uache injini inayofuatilia hali ishughulikie majibu. Kisha thibitisha kwamba njia ya jibu haijazuiwa mbali zaidi, kwa sababu kizuizi cha trafiki ya kutoka tu juu zaidi hutoa muda uleule wa mwisho uliokuwa karibu kulaumu mwenyeji.

Thibitisha urejeshaji kabla ya kuacha njia ya zamani

Weka kikao cha konsoli wazi, tumia mabadiliko na ufungue muunganisho mpya kabisa wa usimamizi kutoka terminal nyingine. Kikao kilichopo hakithibitishi chochote, kwa sababu kinaweza kustahimili kanuni inayozuia kila kuingia mpya, jambo linalokifanya kuwa chanya ya uongo yenye kushawishi zaidi katika kazi ya ngome za moto. Ikiwa mfumo wa ufuatiliaji unakagua mwenyeji, ongeza anwani yake ya chanzo kabla ya mabadiliko na si baada ya tahadhari ya kwanza. Kisha jaribu pakiti moja kubwa na moja ndogo ili kuthibitisha kwamba ugunduzi bado unafanya kazi.

Kwa huduma ya VPN, rudia kutoka kwa mteja ambaye hajawahi kuungana, kwa sababu kikao kilichoendelea kinaweza kutumia tena hali ambayo kipya kinapaswa kujadiliana. Andika seti kamili ya kanuni iliyopita, pamoja na checksum au nakala, ili uhariri wa baadaye uweze kulinganishwa badala ya kukisiwa. Ratibu na mmiliki wa mpangilio wa kanuni, kwa sababu kanuni ya awali humshinda kimya ile uliyoongeza.

Makala zinazohusiana