NEW మాత్రమే ఉన్న ఫైర్వాల్ నియమాలు ప్రతి WAN మార్గాన్ని మూసివేయవు

WAN పై కొత్త బయటకు వెళ్లే కనెక్షన్లను తిరస్కరించడం వైఫల్యంలో మూసుకుపోయే విధానంలా కనిపిస్తుంది, కానీ అది కనిపించే దానికంటే సన్నని వాగ్దానం. ఇప్పటికే ఉన్న ప్రవాహాలకు చెందిన ప్యాకెట్లు దానితో సరిపోలవు, చాలా ప్రతిస్పందనలు కూడా సరిపోలవు. ఈ అంతరాన్ని గమనించకపోవడం సులభం, ఎందుకంటే నియమం ఇంటర్ఫేస్ను కవర్ చేస్తున్నట్లు చదవబడుతుంది, దానిపై ఉన్న ఒక కనెక్షన్ స్థితిని కాదు. స్థితి సరిపోలికను తీర్పుగా చదవడమే నకిలీ మూసివేత భావాన్ని సృష్టిస్తుంది.

స్థితి అనేది సరిపోలిక షరతు, తీర్పు కాదు

కనెక్షన్ ట్రాకింగ్ ప్యాకెట్లను ఫైర్వాల్ ఇప్పటికే చూసిన దాని ఆధారంగా వర్గీకరిస్తుంది, అప్లికేషన్ నమ్ముతున్న దాని ఆధారంగా కాదు. రెండు దిశల్లో గమనించిన ప్రవాహం స్థాపితమవుతుంది, దాని తర్వాతి ప్యాకెట్లు క్రింది మార్గం సొరంగం నుండి సాధారణ పైలింక్కు మారినా స్థాపితంగానే ఉంటాయి. లోపలికి వచ్చే కనెక్షన్కు ఇచ్చే ప్రతిస్పందన కూడా స్థాపిత ట్రాఫిక్ కావచ్చు. ఆ ప్యాకెట్లు మళ్లీ ఎప్పటికీ కొత్తవి కావు.

అందువల్ల కొత్త కనెక్షన్లకు మాత్రమే పరిమితమైన నియమం ప్రతి రక్షిత ప్యాకెట్ నిరోధించబడింది అని నిరూపించలేదు. మిగిలిన స్థితులను నియమసముదాయంలోని మిగతా భాగం వాటితో ఏమి చేస్తుందో దానికి వదిలివేస్తుంది, అది గొలుసులో ముందే ఉంచిన అనుమతి కావచ్చు.

నియమాన్ని దాని పరిసరాల్లో చదవండి

నిరోధానికి ముందు ఉంచిన స్థాపిత మరియు సంబంధిత ట్రాఫిక్కు విస్తృత అనుమతి నిరోధం మూల్యాంకనం కాకముందే ప్యాకెట్ను దాటించివేస్తుంది. తర్వాతి నియమం నుండి స్థితి షరతును తొలగించినా అది మారదు, ఎందుకంటే మూల్యాంకనం అక్కడికి ఎప్పటికీ చేరుకోదు. ఫలితాన్ని క్రమం నిర్ణయిస్తుంది, ఏ ప్యాకెట్లు ఆ క్రమానికి చేరుకుంటాయో స్థితి సరిపోలిక నిర్ణయిస్తుంది.

మీరు సవరించిన ఫైల్ కాకుండా అమలులో ఉన్న నియమసముదాయాన్ని పరిశీలించండి, ఇతర గొలుసుల్లోకి దూకడాలు మరియు వేదిక సృష్టించే ప్రతిదీ సహా. iptables ద్వారా నిర్వహించబడే రౌటర్లో గొలుసును జాబితా చేయడం నియమాల నిర్వచనాలను చూపిస్తుంది, అది సూచించే గొలుసులను కూడా అనుసరించాలి. స్థానిక nftables వ్యవస్థ తన సొంత నియమసముదాయాన్ని మరియు హుక్ ప్రాధాన్యతలను పరిశీలించాలి, ఎందుకంటే ఫర్మ్వేర్ ఒకేలాంటి గొలుసులను అరుదుగా సృష్టిస్తుంది.

కౌంటర్లు ఏ నియమం నిజంగా సరిపోలిందో చెబుతాయి, అవి సాధారణంగా నిర్ణయం తర్వాత తీసుకున్న ప్యాకెట్ క్యాప్చర్ కంటే ఎక్కువ సమాచారం ఇస్తాయి. సున్నా కౌంటర్ ఉన్న నియమాన్ని చేరుకోలేదు, దాని స్థానం ఏమి సూచించినా.

నిషేధాన్ని స్థితికి స్వతంత్రంగా వ్యక్తపరచండి

ఒక క్లయింట్ సమూహం సొరంగం వెలుపల ఇంటర్నెట్ను ఎప్పటికీ చేరుకోకూడదు అయితే, ఒక స్థితితో అంచనా వేయడం బదులు నేరుగా చెప్పండి. నియమం కనెక్షన్ స్థితిపై ఆధారపడకుండా మూలం, నిర్గమనం మరియు గమ్యం ఆధారంగా ఎంచుకోవాలి, మరియు ఏ మునుపటి అనుమతి దానిని దాటలేని స్థలంలో ఉండాలి. అప్పుడు నిర్వహణ ప్రవేశం మరియు స్థానిక నెట్వర్క్ మినహాయింపులు తమ స్పష్టమైన నియమాలను పొందుతాయి, తద్వారా ఉద్దేశం విధానంలో కనిపిస్తుంది.

drop బదులు reject ఎంచుకోవడం సరిపోలే ట్రాఫిక్ ఎలా విఫలమవుతుందో మారుస్తుంది, నియమం ఎంచుకునే ప్యాకెట్ల సమితిని విస్తరించదు. తిరస్కరించిన కనెక్షన్ మరియు నిశ్శబ్ద సమయం ముగియడం ఒకే ఎంపికను సూచించే వేర్వేరు లక్షణాలు.

WAN ద్వారా దూరం నుండి ప్రారంభమైన ప్రవేశానికి ప్రతిస్పందనలను ఉద్దేశపూర్వకంగా అనుమతించే విధానం సమర్థనీయం. దానిని సొరంగం ద్వారా మాత్రమే పూర్తి వేరుచేయడం అని ప్రదర్శించడం బదులు అలాగే వివరించాలి.

సమూహంలో నిజంగా ఎవరు ఉన్నారో తనిఖీ చేయండి

ఉదాహరణ ఒక ఇంటర్ఫేస్ నుండి ఒక ప్రిఫిక్స్ యొక్క ఫార్వర్డ్ చేసిన IPv4 ట్రాఫిక్ను కవర్ చేస్తుంది. ఇది IPv6, రెండవ పైలింక్, లేదా రౌటర్ స్వయంగా సృష్టించే ట్రాఫిక్ గురించి ఏమీ చెప్పదు. DNS పరిష్కర్తగా పనిచేసే రౌటర్ తన స్వంత పైప్రశ్నలను పంపుతుంది, అవి forward గొలుసు ద్వారా అసలు వెళ్లవు.

రక్షిత క్లయింట్లు ఇప్పటికీ ఎంచుకున్న ప్రిఫిక్స్ లోపల చిరునామాలను కలిగి ఉన్నారని నిర్ధారించండి, ఎందుకంటే దాని నుండి బయటకు వెళ్లిన పరికరం విధానం ప్రకారం కాదు, ప్రమాదవశాత్తు నేరుగా ఉంది. మినహాయింపుల రూపకల్పనను సమీక్షించకుండా నిరోధాన్ని మొత్తం LAN కు విస్తరించడం మీ సొంత పరిపాలనా మార్గాన్ని తొలగిస్తుంది.

iptables -S FORWARD
iptables -L FORWARD -v -n
cat /proc/net/nf_conntrack | grep -c ESTABLISHED

తర్వాత పాత ప్రవాహాన్ని కొత్త దాని పక్కన పరీక్షించండి. కొత్త కనెక్షన్ ప్రయత్నం మరియు ఇప్పటికే క్రియాశీల ద్విదిశ ప్రసారం ఈ నియమం కింద భిన్నంగా ప్రవర్తిస్తాయి, రెండింటినీ పరీక్షించినప్పుడే నిజంగా ఏ విధానం ఉందో తెలుస్తుంది.