SSH மற்றும் VPN உள்வரவு விதிகள்: அனுமதிப் பட்டியல் உண்மையில் எதைக் கட்டுப்படுத்துகிறது

ஒரு விதியை மாற்றும் முன் ஒருமுறை இணைத்து, வாடிக்கையாளர் தொங்குகிறதா அல்லது உடனே மறுக்கப்படுகிறதா என்பதைக் குறிக்கவும். அந்த ஒரே வேறுபாடு எந்த முடிவு பொதியை வீழ்த்தியது என்பதைச் சொல்லி, கொள்கைக் கோப்புகளைப் படிக்கும் ஒரு மணி நேரத்தைச் சேமிக்கிறது. மீதமுள்ள பயணம் குறுகியது: பொதி ஒரு கொக்கியைக் கடந்து, ஒரு விதியுடன் பொருந்தி, செவிமடுப்பவரை அடைகிறது அல்லது அடையாது. அனுமதிப் பட்டியல் அந்த மூன்று உண்மைகளைச் சுற்றியுள்ள கணக்கு வழக்கு மட்டுமே.

ஒரு SSH முயற்சியை உள்வரவுக் கொக்கி வரை பின்தொடரவும்

வாடிக்கையாளர் புரவலனின் முகவரிக்கு துறை 22 இல் ஒரு SYN அனுப்புகிறார், அந்தப் பொதி உள்ளூர் சேவைக்கானதா என்பதை கர்னல் தீர்மானிக்கிறது. ஆம் எனில் உள்வரவுப் பாதை இயங்கும், விதித் தொகுப்பு பொதியை ஏற்கிறது அல்லது தூக்கி எறிகிறது. அமைதி என்பது செவிமடுப்பவர் அதைப் பார்ப்பதற்கு முன்பே SYN இறந்தது என்பதாகும், விரைவான மறுப்பு என்பது ஏதோ மறுஅமைப்புடன் பதிலளித்தது என்பதாகும். இவை வெவ்வேறு விதிகளின் வெவ்வேறு தீர்ப்புகள், இரண்டும் செல்லுபடியாகும் முடிவுகள்.

பின்னர் செவிமடுப்பவரை உறுதிசெய்யுங்கள், ஏனெனில் இல்லாத சேவையை எந்த விதியும் காப்பாற்ற முடியாது. ss -ltnp இயக்கி, நீங்கள் எதிர்பார்க்கும் துறை மற்றும் முகவரிக் குடும்பத்துடன் ஏதாவது பிணைக்கப்பட்டுள்ளதா என்பதைச் சரிபார்க்கவும், பின்னர் வாடிக்கையாளரில் ssh -v படித்து அது எங்கு நிற்கிறது என்பதைப் பாருங்கள்.

முன்னனுப்புதல் தனி முடிவு

ஒரு VPN சேவையகத்தில் மிகவும் சுவாரஸ்யமான கொக்கி forward ஆகும், ஏனெனில் வாடிக்கையாளர் போக்குவரத்து இயந்திரத்திற்கு ஒப்படைக்கப்படுவதற்குப் பதிலாக அதன் வழியாக வழிமாற்றப்படுகிறது. தனது சொந்த VPN வாடிக்கையாளரை மட்டும் இயக்கும் புரவலனுக்கு மற்றவர்களின் பொதிகளை அனுப்பும் புரவலனை விட மிகச் சிறிய விதித் தொகுப்பு தேவை. இரண்டு வடிவமைப்புகளையும் ஒரே இயந்திரத்தில் கலந்தால் சரியாகத் தெரியும் ஆனால் எதையும் கடத்தாத விதிகள் உருவாகும்.

உள் கொள்கையை தனி கேள்வியாக எழுதுங்கள்: எந்த வாடிக்கையாளர் முகவரிகள் சுரங்கப்பாதை வழியாக எந்த இலக்குகளை அடையலாம். நிர்வாகப் பாதையை, உதாரணமாக SSH, அதன் சொந்த மூலக் கட்டுப்பாட்டுடன் உள்வரவுப் பாதையில் வையுங்கள். சோதனையின் போது சேர்க்கப்படும் தளர்வான forward விதியே சோதனையை விட நீடித்திருக்கும் உன்னதமான குறைபாடு, எனவே மாற்றத்திற்குப் பின் நீங்கள் திருத்திய ஒரு வரியல்ல, முழுத் தொகுப்பையும் மறுபார்வை செய்யுங்கள். சுரங்கப்பாதையின் செவிமடுப்பவரைத் திறப்பது இணைந்த ஒவ்வொரு வாடிக்கையாளருக்கும் புரவலனை நிர்வகிக்கும் அனுமதி அல்ல.

வீழ்த்தல் மற்றும் மறுத்தல் செயல்கள், கொள்கைகள் அல்ல

அடிப்படைச் சங்கிலியின் கொள்கை ஏற்கிறது அல்லது வீழ்த்துகிறது, அதுவே தேர்வுகளின் முழுப் பட்டியல், என்று nftables குறிப்பு கூறுகிறது. மறுத்தல் தேர்ந்தெடுக்கப்பட்ட பதிலுடன் கூடிய விதிச் செயலாக உள்ளது, அதனால்தான் அதைக் கொள்கையாக எழுதுவது nftables மற்றும் iptables இரண்டிலும் தோல்வியடைகிறது. நடைமுறையில் drop வாடிக்கையாளருக்கு எந்தத் தகவலையும் தருவதில்லை, ஆனால் reject அவர் செயல்படக்கூடிய ஒரு பிழையைத் தருகிறது.

table inet admin {
    chain input {
        type filter hook input priority filter; policy drop;
        ct state established,related accept
        ip saddr 203.0.113.0/28 tcp dport 22 accept
        udp dport 51820 accept
        icmp type { destination-unreachable, time-exceeded } accept
    }
}

அந்த வரைபடத்தை ஒட்டும் கோப்பாக அல்ல, ஒரு முடிவின் வடிவமாகப் படியுங்கள், ஏனெனில் முகவரி வரம்புகள் எடுத்துக்காட்டுகள். SSH துறையில் வெளிப்படையான reject அனுமதியற்ற வாடிக்கையாளரை கால அவகாசத்திற்காகக் காத்திருக்காமல் ஒரு வினாடியில் தோல்வியடையச் செய்கிறது, இது உங்கள் சொந்த பிழைத்திருத்தத்தைச் சுருக்குகிறது. அமைதி தற்செயலான ஸ்கேனைத் தடுக்கிறது, அதிகாரம் பெற்ற பயனருக்கு எதுவும் சொல்வதில்லை. ஒவ்வொரு சேவைக்கும் தேர்ந்தெடுத்து ஏன் என்பதை எழுதுங்கள், இல்லையேல் அடுத்தவர் அதைத் திரும்ப மாற்றுவார்.

உண்மையில் தேவையான கட்டுப்பாட்டுப் போக்குவரத்தை வைத்திருங்கள்

அனைத்து ICMP ஐயும் தடுப்பது பாதையின் MTU கண்டுபிடிப்பை உடைக்கும் பிரபல இயல்புநிலை, அறிகுறி என்பது நிறுவப்பட்டு பின்னர் பெரிய பொதிகளில் நிற்கும் இணைப்பு. IPv6 இல் அண்டை கண்டுபிடிப்பு அதன் சொந்த ICMPv6 வகைகளைச் சார்ந்தது, அவற்றை வீழ்த்தினால் எந்த TCP விதியும் பார்க்கப்படுவதற்கு முன்பே இணைப்பு உடையும். இரண்டும் விரிவான அனுமதிகளாக அல்ல, பெயரிடப்பட்ட சார்புகளாக அனுமதிப் பட்டியலில் இடம் பெற வேண்டும். கண்டுபிடிப்பை அமைதியாக உடைக்கும் கொள்கை சிறிது கண்டறியும் போக்குவரத்தை அனுமதிக்கும் கொள்கையை விட மோசமானது.

நீங்கள் தொடங்கிய இணைப்புகளுக்கு established மற்றும் related நிலைகளை அனுமதியுங்கள், பதில்களை நிலை அறிந்த இயந்திரம் கையாளட்டும். பின்னர் பதில் பாதை மேலும் வெளியே தடுக்கப்படவில்லை என்பதை உறுதிசெய்யுங்கள், ஏனெனில் மேலே வெளிச்செல்லும் போக்குவரத்துக்கு மட்டும் உள்ள கட்டுப்பாடு நீங்கள் புரவலன் மீது சுமத்தப்போன அதே கால அவகாசத்தை உருவாக்குகிறது.

பழைய பாதையைக் கைவிடும் முன் மீட்பை நிரூபியுங்கள்

ஒரு பணியக அமர்வைத் திறந்து வைத்து, மாற்றத்தைப் பயன்படுத்தி, மற்றொரு முனையத்திலிருந்து முற்றிலும் புதிய நிர்வாக இணைப்பைத் திறக்கவும். இருக்கும் அமர்வு எதையும் நிரூபிக்காது, ஏனெனில் ஒவ்வொரு புதிய உள்நுழைவையும் தடுக்கும் விதியிலிருந்து அது தப்பிப் பிழைக்கலாம், இது தீச்சுவர் வேலையில் அதை மிக நம்பகமான பொய் நேர்மறையாக மாற்றுகிறது. கண்காணிப்பு அமைப்பு புரவலனைச் சரிபார்த்தால், முதல் எச்சரிக்கைக்குப் பின் அல்ல, மாற்றத்திற்கு முன் அதன் மூல முகவரியைச் சேர்க்கவும். பின்னர் ஒரு பெரிய மற்றும் ஒரு சிறிய பொதியைச் சோதித்து கண்டுபிடிப்பு இன்னும் வேலை செய்கிறது என்பதை நிரூபியுங்கள்.

VPN சேவைக்கு, ஒருபோதும் இணைக்காத வாடிக்கையாளரிடமிருந்து மீண்டும் செய்யுங்கள், ஏனெனில் மீள்தொடங்கிய அமர்வு புதிய அமர்வு பேச்சுவார்த்தை நடத்த வேண்டிய நிலையை மீண்டும் பயன்படுத்தலாம். வெற்றிபெற்ற சரியான விதித் தொகுப்பை செக்சம் அல்லது நகலுடன் பதிவு செய்யுங்கள், பிந்தைய திருத்தம் ஊகிக்கப்படாமல் ஒப்பிடப்படும். விதிகளின் வரிசையின் உரிமையாளருடன் ஒருங்கிணைக்கவும், ஏனெனில் முந்தைய விதி நீங்கள் சேர்த்த விதியை அமைதியாக வெல்கிறது.