Transmission kwenye Linux: lazimisha utoka kwa mmiliki wa mchakato

Kuzuia lango la kuingia la Transmission si sera ya VPN. Mteja wa torrent hufungua miunganisho ya kutoka kwa wenzake na wafuatiliaji, hutatua majina na anaweza kufichua kikagua cha udhibiti wa mbali, na kila kimoja cha haya kinaweza kutoka kupitia kiolesura usichokusudia. Pitia ukaguzi watano kwa mpangilio na uchukue sheria ya firewall, si mipangilio ya mteja, kama mpaka. Ukaguzi mbili za mwisho ndizo ambazo watu huruka, na ndizo zinazoamua kama dhamana inashikilia handaki linapoanguka.

Taja mchakato unaomiliki uhamishaji

Programu ya mezani na daemon ya mfumo huendesha chini ya akaunti tofauti, na sheria inayotegemea mmiliki hufuata akaunti badala ya jina la programu. Gundua ni ipi kati ya hizo mbili inayoendesha kabla ya kuandika sheria yoyote. Akaunti maalum ya huduma huipa sera mhusika sahihi, wakati mtumiaji wa mezani hushiriki utambulisho wake na vivinjari, vihariri na kila kitu kingine kwenye kipindi. Thibitisha UID badala ya kudhani kuwa jina la akaunti la kifurushi ndilo linalotumika.

systemctl status transmission-daemon
ps -o user=,pid=,cmd= -C transmission-daemon

Iwapo akaunti haipo bado, iundie kusudi hili na usiipe kitu kingine cha kuendesha. Andika akaunti na UID kwenye maoni ya sheria, kwa sababu sheria isiyo na mhusika ni sheria ambayo hakuna mtu anayeweza kuihariri kwa usalama.

Tenganisha nyanja za kikagua na njia

Transmission 4.x huandika anwani za kusikiliza za wenzake kwa waktuachana na rpc-bind-address, na tofauti hiyo ni muhimu. Mpangilio wa RPC hudhibiti kikagua cha udhibiti wa mbali pekee, hivyo kuubadilisha hakuchagui njia ya trafiki ya wenzake. Kusoma mipangilio hiyo miwili kama mmoja ni sababu ya kawaida zaidi kwa nini usanidi unaoonekana makini bado unavuja. Nyaraka hizo hizo zinaeleza njia mbadala wakati anwani ya kusikiliza ya wenzake si sahihi, hivyo anwani isiyopatikana ni kisa cha njia mbadala kilichoandikwa, si kukataliwa kwa uhakika.

grep -E '"(peer-port|rpc-bind-address|bind-address-ipv4)"' /var/lib/transmission-daemon/.config/transmission-daemon/settings.json

Tumia vidhibiti vya mteja kwa kile vilivyo, na weka dhamana kwenye firewall. Mpangilio wa kikagua unaweza bado kuwa na thamani, lakini hauthibitishi kwamba mawasiliano na wafuatiliaji, ugunduzi wa ndani au utafutaji uliokasimiwa yote yanatoka kupitia handaki. Mambo mawili yanapokosa kukubaliana, firewall ndiyo inayoamua.

Andika ulinganisho wa mmiliki kwenye mnyororo sahihi

Mwongozo wa Netfilter kuhusu ulinganisho wa mmiliki unaeleza jinsi pakiti zinazozalishwa ndani zinavyohusishwa na mtumiaji au kikundi kinachomiliki faili ya soketi. Uhusisho huo hauji kwa trafiki inayopitishwa, na ulinganisho wa vikundi vya ziada unahitaji chaguo la wazi. Soma mwongozo wa kiendelezi unachotumia kwa kweli badala ya mfano wa kwanza unaokuta.

iptables -A OUTPUT -m owner --uid-owner transmission -o tun0 -j ACCEPT
iptables -A OUTPUT -m owner --uid-owner transmission -j REJECT
ip6tables -A OUTPUT -m owner --uid-owner transmission -o tun0 -j ACCEPT
ip6tables -A OUTPUT -m owner --uid-owner transmission -j REJECT

Mpangilio ni muhimu kama ulinganisho. Ukubalifu mpana mapema kwenye mnyororo hupuuza kukataliwa mahususi baadaye, hivyo pitia mnyororo wote badala ya kuongeza sheria na kutumaini. Jumuisha familia zote mbili za anwani ikiwa mwenyeji anaendesha IPv6, kwa sababu sera ya v4 pekee huacha njia wazi ambayo hakuna anayeiangalia. Weka sheria zikiwa zimesakinishwa katika kuanzishwa upya kwa mteja na handaki.

Amua kinachotokea tun0 inapotoweka

Sera ya kushindwa ni kiini cha zoezi. Handaki likitoweka na ndoano hiyo hiyo ikiondoa sheria, mteja yuko huru kutumia kiolesura halisi hadi kitu kingine kimsimamishe. Ubunifu salama hubakiza sheria na huziacha zikatae, na hiyo ndiyo inayofanya mpaka usitegemee afya ya handaki. Ndoano ya kubomoa inayofuta sheria pia ni kinyume cha sera ya kushindwa.

ip link show tun0
iptables -S OUTPUT

Ijaribu kwa makusudi: simamisha handaki, anza uhamishaji ambao ni salama kuachana nao na uangalie kama kuna kitu kinatoka. Kisha rejesha handaki na uthibitishe kwamba njia iliyokusudiwa inafanya kazi tena.

Shughulikia njia ambazo sheria haiwezi kuziona

Utatuzi wa majina unaweza kushughulikiwa na mchakato tofauti wa kutatua, na nafasi ya majina au lango maalum linaweza kutoa mpaka mwingine ikiwa njia zake za kushiriki na kuanzisha zimeundwa kwa hilo. Amua ni sehemu gani inayomiliki DNS na ikiwa inafuata sheria hiyo hiyo ya kutoka. Kisha angalia RPC: ikiwa rpc-whitelist inatumika, mtandao wa usimamizi ulioidhinishwa ni sehemu ya mkataba, na masafa mapana ya RFC1918 si.

ss -tunp | grep -i transmission

Vihesabu vya kiolesura vinaweza kuthibitisha uchunguzi, lakini haviwezi kuthibitisha ni mchakato gani ulizalisha baiti. Fanya uhamishaji unaoruhusiwa kuachana nao: kwanza kwenye njia inayofanya kazi, kisha bila handaki wakati wa kuanza, na kisha kupitia usumbufu, kuunganisha upya na kiolesura kilichoundwa upya. Jaribu jaribio jipya pamoja na muunganisho ambao tayari ulikuwa wazi, kwa sababu sheria inaweza kuwa haikutumika kwa soketi ya zamani. Andika tarehe, akaunti na matokeo pamoja na jaribio.

Kubandika mfano unaosafisha mnyororo wote hubadilisha shimo moja kwa kadhaa, hivyo ongeza sheria badala ya kuzifuta. Ukaguzi wote watano ukipita, dhamana iko wazi: trafiki ya mteja inatoka kupitia handaki au haitoki kabisa, na sheria inayoilazimisha inastahimili kushindwa kwa handaki yenyewe.