WireGuard-ஐப் பாதுகாக்க IPv6-ஐத் தடுப்பது ஹோஸ்ட்டை உடைக்கிறது

இலக்கு நியாயமானது: இந்த இயந்திரத்தின் சேவைகளை அடைய வேண்டியது சுரங்கப்பாதை பயனர்கள் மட்டுமே. மக்கள் தேர்ந்தெடுக்கும் செயலாக்கம் WireGuard தவிர அனைத்தையும் விட்டுவிடும் IPv6 உள்ளீட்டுச் சங்கிலி, அது ஹோஸ்ட்டை அதன் சொந்த இணைப்பில் இணைத்து வைக்கும் போக்குவரத்தையும் விட்டுவிடுகிறது. அண்டை கண்டறிதல் மற்றும் பாதை பராமரிப்புச் செய்திகள் சேவை அணுகல் அல்ல, அவற்றை நீக்கினால் உங்கள் கொள்கையுடன் தொடர்பில்லாத காரணங்களால் அடைய முடியாத இயந்திரம் உருவாகிறது. சுரங்கப்பாதை எழுகிறது, சேவைகள் சரியாக வரம்பிடப்பட்டுள்ளன, இணைப்பில் வேறு எதுவும் செயல்படவில்லை.

மூன்று பொறுப்புகள், ஒரு விதித்தொகுப்பு

முதல் பொறுப்பு வெளிப்புற வலையமைப்பின் இயக்கம்: ஹோஸ்ட் தன் இணைப்பில் இருக்க வேண்டும், அண்டைகளைத் தீர்க்க வேண்டும், அந்த இணைப்பின் பாதை எல்லைகளை அறிய வேண்டும். இரண்டாவது நீங்கள் தேர்ந்தெடுத்த முகவரி மற்றும் துறையில் UDP-ஐ ஏற்கும் மறையாக்கக் கேட்பான். மூன்றாவது சுரங்கப்பாதை பயனர்கள் அடைய வேண்டிய மறைகுறியாக்கப்பட்ட சேவைகளின் தொகுப்பு.

இவை மூன்று வெவ்வேறு கொள்கைகள், இரண்டாவது மற்றும் மூன்றாவது மட்டுமே VPN-ஐச் சார்ந்தவை. இவற்றை ஒன்றாகக் கருதும் விதித்தொகுப்பு, பயன்பாட்டு எல்லையை இறுக்குவது ஹோஸ்ட்டின் இணைப்பை அமைதியாக உடைக்கும் தோல்வி முறையைப் பெறுகிறது.

அவற்றைத் தனி சங்கிலிகளில் அல்லது குறைந்தபட்சம் தனி குறிப்புகளில் வைக்கவும், அடுத்த நபர் எந்த வரி எதற்காக உள்ளது எனப் பார்க்க.

ICMPv6 ஹோஸ்ட்டுக்கு என்ன செய்கிறது

IPv6 எதிரொலியை விட மிகக் கூடுதலானவற்றுக்கு ICMPv6-ஐ நம்பியிருக்கிறது. அண்டை கோரிக்கையும் அறிவிப்பும் ARP-ஐ மாற்றுகின்றன, உள்ளூர் வழங்கலுக்குத் தேவை. Packet Too Big பாதையின் MTU தகவலைக் கொண்டு செல்கிறது, அதைப் புறக்கணிப்பது பெரிய பொதிகளில் நின்றுவிடும் பரிமாற்றங்களை உருவாக்குகிறது. இணைப்பு தானியங்கி கட்டமைப்பைப் பயன்படுத்தும்போது திசைவி அறிவிப்புகள் இயல்புநிலை வழியையும் முன்னொட்டுத் தகவலையும் கொண்டு செல்கின்றன.

RFC 4890 ஹோஸ்ட் வடிகட்டி கட்டாயம் அனுமதிக்க வேண்டிய செய்திகளை நிர்வாகத் தேர்வான செய்திகளிலிருந்து பிரிக்கிறது, அதை வலையமைப்புகளுக்கு இடையே அனுப்பும் திசைவியின் விதிகளிலிருந்து வேறுபட்ட ஹோஸ்ட் பகுதியில் செய்கிறது. அனுப்பும் பகுதியை மட்டும் படித்தால் பாதுகாக்கப்படும் ஹோஸ்ட்டுக்கு மிகக் கடுமையான உள்ளீட்டுக் கொள்கை கிடைக்கிறது.

நடைமுறை விதி என்னவென்றால், தேவைப்படும் இடைமுகத்தில் அத்தியாவசிய பிழை மற்றும் கட்டமைப்புச் செய்திகளை அனுமதிப்பது, தளம் அனுமதிக்கும் இடத்தில் வகை மற்றும் மூலத்தால் வரம்பிடுவது, மீதமுள்ளவற்றில் தெளிவான முடிவு எடுப்பது.

இவை அனைத்தையும் ஓரளவு ICMPv6 அனுமதியால் மாற்றினால் கிடைக்கும் தன்மைச் சிக்கல் தீரும், வடிகட்டலை விட்டுவிடும். அதை ஓரளவு விட்டுவிடலால் மாற்றினால் வடிகட்டல் சிக்கல் தீரும், ஹோஸ்ட்டை விட்டுவிடும்.

முதலில் சுரங்கப்பாதையை அனுமதிக்கவும், பின்னர் சேவையை

எண்ணிய வெளிப்புற முகவரி மற்றும் UDP துறையில் WireGuard போக்குவரத்தை ஏற்கவும், திரும்பும் போக்குவரத்தை இணைப்புக் கண்காணிப்பின் மூலம் ஏற்கவும். பின்னர் சுரங்கப்பாதை இடைமுகம் வழியாக பயன்பாட்டுச் சேவைகளை, நீங்கள் உண்மையில் அதிகாரம் அளிக்கும் மூலங்களிலிருந்து அனுமதிக்கவும்.

வெளிப்புற UDP துறைக்கான அனுமதி அதற்குள் உள்ள மறைகுறியாக்கப்பட்ட கோரிக்கைகளுக்கு அதிகாரம் அளிக்காது. அந்த வேறுபாடே சேவை விதிகளில் சுரங்கப்பாதை இடைமுகம் தோன்றுவதற்கான முழுக் காரணம்.

கோப்பு விவரிப்பதைப் போலன்றி, விதித்தொகுப்பு இருப்பதைப் போலவே படிக்கவும்:

sudo nft list ruleset
ip -6 addr show
ip -6 route show default

இயற்பியல் முகவரியில் உள்ள கேட்பான், சுரங்கப்பாதை முகவரியில் உள்ள அதே சேவையின் தனி வெளிப்பாடு. இயந்திரம் வேறு இயந்திரத்திற்கும் போக்குவரத்தை அனுப்பினால், அது இந்த உள்ளீட்டுக் கொள்கை அல்ல, அனுப்பு சங்கிலியின் முடிவு, அதற்குத் தனிப் பகுத்தறிவு தேவை.

சுரங்கப்பாதையை மட்டுமல்ல, இணைப்பையும் சோதிக்கவும்

மாற்றத்திற்குப் பின் செயல்படும் சுரங்கப்பாதை தோன்றுவதைவிடக் குறைவாகவே நிரூபிக்கிறது, ஏனெனில் இருக்கும் அண்டைப் பதிவும் நிறுவப்பட்ட இணைப்பும் கொள்கை இப்போது விட்டுவிடும் கட்டுப்பாட்டுச் செய்தியை மறைக்கலாம்.

இணைப்பை நேரடியாகச் சரிபார்க்கவும், பின்னர் விலக்கப்பட்ட பாதை இன்னும் தோல்வியடைகிறதா எனச் சரிபார்க்கவும்:

ip -6 neigh show
ping -6 -c 3 2001:db8:1::1
sudo nft -c -f /etc/nftables.conf

மறுதொடக்கத்திற்குப் பிறகும் அண்டை அட்டவணை முழுமையாக இருந்தால் கண்டறிதல் இன்னும் செயல்படுகிறது என்பதற்கான அறிகுறி. காலியாகி மீண்டும் நிரம்பாத அட்டவணை அதை வடிகட்டிவிட்டீர்கள் என்பதற்கான அறிகுறி. மூன்றாவது கட்டளை விதித்தொகுப்பைப் பயன்படுத்தாமல் அதன் தொடரியலைச் சரிபார்க்கிறது, அமர்வு இருக்கும்போது அதைச் செய்வது மதிப்புள்ளது.

நீங்கள் உங்களை வெளியே பூட்டிக்கொண்ட ஹோஸ்ட்டை மீட்டெடுக்கவும்

உங்கள் சொந்த நிர்வாக அமர்வைக் கொண்டு செல்லும் ஃபயர்வால் விதிகளை மாற்றும் முன் இரண்டாவது வழியை வைத்திருங்கள்: கன்சோல், தொடர் இணைப்பு, அல்லது ரத்து செய்யாவிட்டால் புதிய விதிகளை நீக்கும் திட்டமிட்ட பின்னிறக்கம்.

மாற்றம் உண்மையில் வெளியே பூட்டினால், மீட்பு அந்த வழி வழியாகவே, நீங்கள் இப்போது நீக்கிய வலையமைப்பு வழியாக அல்ல. சேமித்த நகலில் இருந்து முந்தைய விதித்தொகுப்பை மீட்டெடுக்கவும், ஹோஸ்ட் மீண்டும் அடையக்கூடியது என்பதை உறுதிப்படுத்தவும், அதன்பிறகே எண்ணிய கொள்கையைச் சிறிய துண்டுகளாகப் பயன்படுத்தவும்.

இறுதிக் கொள்கை பொதுவானது அல்ல. முகவரியிடல், வழியமைத்தல் மற்றும் ஃபயர்வால் செயலாக்கம் வரிசைப்படுத்தலின் உள்ளீடுகள், ஆனால் எல்லை எல்லா இடங்களிலும் ஒன்றே: அதிகாரம் அளிக்கப்பட்ட சுரங்கப்பாதையைக் கொண்டு செல்லும் கட்டுப்பாட்டுப் போக்குவரத்தை வைத்துக்கொண்டு எதிர்பாராத பயன்பாட்டு அணுகலை மறுக்கவும்.