WireGuardను రక్షించడానికి IPv6ను నిరోధించడం హోస్ట్‌ను విరగ్గొడుతుంది

లక్ష్యం సమంజసమైనది: ఈ మెషీన్‌లోని సేవలను టన్నెల్ వినియోగదారులు మాత్రమే చేరుకోవాలి. ప్రజలు ఎంచుకునే అమలు WireGuard తప్ప అన్నింటినీ పడవేసే IPv6 ఇన్‌పుట్ చైన్, అది హోస్ట్‌ను దాని స్వంత లింక్‌కు కలిపి ఉంచే ట్రాఫిక్‌ను కూడా పడవేస్తుంది. పొరుగు అన్వేషణ మరియు మార్గ నిర్వహణ సందేశాలు సేవా ప్రవేశం కావు, వాటిని తొలగించడం మీ విధానంతో సంబంధం లేని కారణాల వల్ల చేరుకోలేని మెషీన్‌ను ఇస్తుంది. టన్నెల్ పైకి వస్తుంది, సేవలు సరిగ్గా పరిమితం చేయబడ్డాయి, మరియు లింక్‌పై మరేదీ పనిచేయదు.

మూడు బాధ్యతలు, ఒక నియమాల సముదాయం

మొదటి బాధ్యత బాహ్య నెట్‌వర్క్ నిర్వహణ: హోస్ట్ తన లింక్‌పై ఉండాలి, పొరుగువారిని పరిష్కరించాలి మరియు ఆ లింక్ మార్గ పరిమితులను తెలుసుకోవాలి. రెండవది మీరు ఎంచుకున్న చిరునామా మరియు పోర్ట్‌పై UDPని అంగీకరించే గుప్తీకరించిన శ్రోత. మూడవది టన్నెల్ వినియోగదారులు చేరుకోవాల్సిన డీక్రిప్ట్ చేసిన సేవల సముదాయం.

ఇవి మూడు వేర్వేరు విధానాలు, రెండవది మరియు మూడవది మాత్రమే VPNకు సంబంధించినవి. వాటిని ఒకటిగా భావించే నియమాల సముదాయం, అప్లికేషన్ సరిహద్దును బిగించడం హోస్ట్ అనుసంధానాన్ని నిశ్శబ్దంగా విరగ్గొట్టే వైఫల్య విధానాన్ని వారసత్వంగా పొందుతుంది.

వాటిని వేర్వేరు చైన్‌లలో లేదా కనీసం వేర్వేరు వ్యాఖ్యలలో ఉంచండి, తద్వారా తదుపరి వ్యక్తికి ఏ పంక్తి ఎందుకు ఉందో కనిపిస్తుంది.

ICMPv6 హోస్ట్ కోసం ఏమి చేస్తుంది

IPv6 ప్రతిధ్వని కంటే చాలా ఎక్కువ విషయాలకు ICMPv6పై ఆధారపడుతుంది. పొరుగు అభ్యర్థన మరియు ప్రకటన ARP స్థానంలో వస్తాయి, స్థానిక పంపిణీకి అవసరం. Packet Too Big మార్గం MTU సమాచారాన్ని తీసుకెళ్తుంది, దానిని పట్టించుకోకపోతే పెద్ద ప్యాకెట్లపై ఆగిపోయే బదిలీలు ఏర్పడతాయి. లింక్ స్వయంచాలక కాన్ఫిగరేషన్ ఉపయోగించినప్పుడు రౌటర్ ప్రకటనలు డిఫాల్ట్ మార్గం మరియు ప్రిఫిక్స్ సమాచారాన్ని తీసుకెళ్తాయి.

RFC 4890 హోస్ట్ ఫిల్టర్ తప్పనిసరిగా అనుమతించాల్సిన సందేశాలను పరిపాలనా ఎంపిక అయిన వాటి నుండి వేరు చేస్తుంది, దానిని నెట్‌వర్క్‌ల మధ్య పంపే రౌటర్ నియమాలకు భిన్నమైన హోస్ట్ విభాగంలో చేస్తుంది. ఫార్వార్డింగ్ విభాగాన్ని మాత్రమే చదివితే రక్షించే హోస్ట్‌కు చాలా కఠినమైన ఇన్‌పుట్ విధానం వస్తుంది.

ఆచరణాత్మక నియమం ఏమిటంటే అవసరమైన ఇంటర్‌ఫేస్‌పై ముఖ్యమైన లోపం మరియు కాన్ఫిగరేషన్ సందేశాలను అనుమతించడం, ప్లాట్‌ఫారమ్ అనుమతించిన చోట రకం మరియు మూలం ప్రకారం పరిమితం చేయడం, మిగిలిన వాటిపై స్పష్టమైన నిర్ణయం తీసుకోవడం.

వీటన్నింటినీ సర్వవ్యాప్త ICMPv6 అనుమతితో భర్తీ చేస్తే లభ్యత సమస్య పరిష్కారమవుతుంది, ఫిల్టరింగ్‌ను వదులుకుంటారు. దానిని సర్వవ్యాప్త డ్రాప్‌తో భర్తీ చేస్తే ఫిల్టరింగ్ సమస్య పరిష్కారమవుతుంది, హోస్ట్‌ను వదులుకుంటారు.

మొదట టన్నెల్‌కు అనుమతి ఇవ్వండి, తర్వాత సేవకు

ఉద్దేశించిన బాహ్య చిరునామా మరియు UDP పోర్ట్‌పై WireGuard రవాణాను అంగీకరించండి, తిరిగి వచ్చే ట్రాఫిక్‌ను కనెక్షన్ ట్రాకింగ్ ద్వారా అంగీకరించండి. తర్వాత టన్నెల్ ఇంటర్‌ఫేస్ ద్వారా అప్లికేషన్ సేవలను, మీరు నిజంగా అధికారం ఇచ్చే మూలాల నుండి అనుమతించండి.

బాహ్య UDP పోర్ట్‌కు ఇచ్చిన అనుమతి దానిలోని డీక్రిప్ట్ చేసిన అభ్యర్థనలకు అధికారం ఇవ్వదు. ఆ భేదమే సేవా నియమాలలో టన్నెల్ ఇంటర్‌ఫేస్ కనిపించడానికి పూర్తి కారణం.

ఫైల్ వివరించినట్లు కాదు, నియమాల సముదాయం ఉన్నట్లే చదవండి:

sudo nft list ruleset
ip -6 addr show
ip -6 route show default

భౌతిక చిరునామాపై శ్రోత టన్నెల్ చిరునామాపై అదే సేవకు వేరు బహిర్గతం. మెషీన్ మరో మెషీన్‌కు కూడా ట్రాఫిక్ పంపితే, అది ఈ ఇన్‌పుట్ విధానం కాదు, ఫార్వార్డ్ చైన్ నిర్ణయం, దానికి సొంత సమర్థన అవసరం.

టన్నెల్ మాత్రమే కాదు, లింక్‌ను పరీక్షించండి

మార్పు తర్వాత పనిచేసే టన్నెల్ కనిపించే దానికంటే తక్కువ రుజువు చేస్తుంది, ఎందుకంటే ఇప్పటికే ఉన్న పొరుగు నమోదు మరియు ఏర్పడిన కనెక్షన్ విధానం ఇప్పుడు పడవేస్తున్న నియంత్రణ సందేశాన్ని దాచగలవు.

అనుసంధానాన్ని నేరుగా తనిఖీ చేయండి, తర్వాత మినహాయించిన మార్గం ఇంకా విఫలమవుతుందో తనిఖీ చేయండి:

ip -6 neigh show
ping -6 -c 3 2001:db8:1::1
sudo nft -c -f /etc/nftables.conf

పునఃప్రారంభం తర్వాత కూడా పొరుగు పట్టిక పూర్తిగా ఉంటే అన్వేషణ ఇంకా పనిచేస్తున్నట్లు సూచన. ఖాళీ అయి మళ్లీ నిండని పట్టిక దానిని ఫిల్టర్ చేశారని సూచన. మూడవ ఆదేశం నియమాల సముదాయాన్ని వర్తింపజేయకుండా దాని వాక్యనిర్మాణాన్ని ధృవీకరిస్తుంది, సెషన్ ఉన్నప్పుడు అది చేయడం విలువైనది.

మీరు మిమ్మల్ని బయటికి లాక్ చేసుకున్న హోస్ట్‌ను పునరుద్ధరించండి

మీ స్వంత పరిపాలనా సెషన్‌ను మోసే ఫైర్‌వాల్ నియమాలను మార్చే ముందు రెండవ మార్గాన్ని ఉంచుకోండి: కన్సోల్, సీరియల్ కనెక్షన్, లేదా రద్దు చేయకపోతే కొత్త నియమాలను తొలగించే షెడ్యూల్ చేసిన రోల్‌బ్యాక్.

మార్పు నిజంగా బయటికి లాక్ చేస్తే, పునరుద్ధరణ ఆ మార్గం ద్వారానే, ఇప్పుడే తొలగించిన నెట్‌వర్క్ ద్వారా కాదు. సేవ్ చేసిన ప్రతి నుండి మునుపటి నియమాల సముదాయాన్ని పునరుద్ధరించండి, హోస్ట్ మళ్లీ చేరుకోగలిగిందని నిర్ధారించండి, ఆ తర్వాత మాత్రమే ఉద్దేశించిన విధానాన్ని చిన్న భాగాలుగా వర్తింపజేయండి.

తుది విధానం సార్వత్రికం కాదు. చిరునామా, రూటింగ్ మరియు ఫైర్‌వాల్ అమలు అమరిక ఇన్‌పుట్‌లు, కానీ సరిహద్దు ప్రతిచోటా ఒకటే: అధికారం ఇచ్చిన టన్నెల్‌ను మోసే నియంత్రణ ట్రాఫిక్‌ను ఉంచుతూ అనుద్దేశిత అప్లికేషన్ ప్రవేశాన్ని తిరస్కరించండి.