tun0 లేదా? nftables లో డీక్రిప్ట్ చేసిన IPsec ను meta ipsec తో సరిపోల్చండి

మీరు టన్నెల్ ఇంటర్ఫేస్ను ఆశిస్తారు, దానిని వెతుకుతారు, మరియు ఫైర్వాల్లో సరిపోల్చడానికి ఏమీ ఉండదు. విధాన ఆధారిత గేట్వే కు ఇది సాధారణం: ఎన్క్రిప్ట్ చేసిన మార్పిడి భౌతిక ఇంటర్ఫేస్కు వస్తుంది, ఆ తర్వాత ఫార్వర్డ్ అయ్యే డీక్రిప్ట్ చేసిన అంతర్గత ప్యాకెట్ కూడా అదే ఇంటర్ఫేస్కు వస్తున్నట్లు కనిపిస్తుంది. tun0 లేదు, ఎందుకంటే ఏదీ దానిని సృష్టించలేదు.

అంతర్గత అభ్యర్థన ఇప్పటికీ తన స్వంత మూలం, గమ్యం మరియు సేవతో ప్రత్యేక ప్యాకెట్, మరియు ఏ భద్రతా సంఘం నుండి అది బయటకు వచ్చిందో కెర్నల్కు తెలుసు. ఈ జ్ఞానాన్నే ఫైర్వాల్ నియమం సరిపోల్చగలదు.

రెండు ప్యాకెట్లు, ఒక ఇంటర్ఫేస్

వచ్చే దిశను ఊహించండి. ESP లేదా UDP లో చుట్టబడిన ప్యాకెట్ వస్తుంది, కెర్నల్ సరిపోలే విధానాన్ని కనుగొని, డీక్రిప్ట్ చేసి, స్పష్టమైన ప్యాకెట్ను ఫార్వర్డింగ్ మార్గానికి ఇస్తుంది. ఇంటర్ఫేస్ పేరు మాత్రమే చూసే నియమం ఆ ప్యాకెట్ను అదే తీగపై వచ్చే ఏ ఇతర ట్రాఫిక్ నుండైనా వేరు చేయలేదు.

దానిని వేరు చేసేది ప్యాకెట్కు జోడించిన వచ్చే భద్రతా మార్గం సందర్భం. nftables దానిని meta ipsec exists గా చూపిస్తుంది, ప్యాకెట్ IPsec భద్రతా మార్గం ద్వారా వచ్చినప్పుడు ఇది నిజం. దానిని క్లయింట్ పూల్, గమ్యం మరియు సేవతో కలపండి, నియమం సురక్షితంగా ఉండేంత నిర్దిష్టమవుతుంది.

సందర్భాన్ని వదిలివేయడం సాధారణ పొరపాటు, మరియు అది అలంకారం కాదు, భద్రతా పొరపాటు. క్లయింట్ పూల్ నుండి వచ్చే అన్నింటినీ అంగీకరించే నియమం స్థానిక నెట్వర్క్ నుండి వచ్చిన నకిలీ ప్యాకెట్ను కూడా అదే సంతోషంతో అంగీకరిస్తుంది, ఎందుకంటే మూల చిరునామా తనంతట తానే ఏదీ రుజువు కాదు. మూలాన్ని అర్థవంతంగా చేయడానికి చవకైన మార్గం భద్రతా మార్గం సందర్భం. ఆడిట్ తర్వాత జోడించే బదులు మొదటి నుండే దానితో నియమాన్ని రాయండి.

ఫార్వర్డింగ్ నియమాన్ని రాయండి

10.90.0.0/24 లో క్లయింట్లతో ధృవీకరించిన IPv4 రిమోట్ యాక్సెస్ సేవ మరియు 203.0.113.40 లో ఒక ఆమోదించిన గమ్యం ఉన్నాయని అనుకోండి. ఆ ప్రవాహానికి నియమం యొక్క భాగం ఇలా కనిపిస్తుంది.

meta ipsec exists ip saddr 10.90.0.0/24 \
  ip daddr 203.0.113.40 tcp dport 443 \
  oifname "eth0" counter accept

చిరునామాలు మరియు ఇంటర్ఫేస్ భర్తీ చేయవలసిన ఉదాహరణలు. సమీక్షించిన సమానమైనదాన్ని ఫార్వర్డింగ్ విధానంలో ప్రవాహాన్ని లేకుంటే తిరస్కరించే నియమానికి ముందు ఉంచండి, మరియు దానిని ఇన్స్టాల్ చేయడానికి ఉన్న నియమ సమితిని ఖాళీ చేయవద్దు; గేట్వే శుభ్రమైన గది ప్రయోగం కాదు.

oifname అనే పదాన్ని ఉంచడం విలువైనది. ఇది నిష్క్రమణ నిర్ణయాన్ని నమోదు చేస్తుంది మరియు మీరు ఉద్దేశించని దిశలో నియమం సరిపోలకుండా నిరోధిస్తుంది, ఇది ఇంటర్నెట్కు అనేక మార్గాలు ఉన్న గేట్వేలో ముఖ్యం. ఒకే అప్లింక్ ఉన్న పరీక్ష పెట్టెపై పదం అనవసరంగా అనిపిస్తుంది, అందుకే పెట్టె రెండవ అప్లింక్ పొందే ముందు అది తొలగించబడుతుంది.

బాహ్య మార్పిడికి అనుమతులు వేరుగా ఉంటాయి. గేట్వే ఇన్పుట్ మార్గానికి అది వాస్తవంగా ఉపయోగించే IKE మరియు ESP లేదా UDP చుట్టడం పోర్టులు అవసరం, మరియు ఆ అనుమతులు లోపలి డీక్రిప్ట్ చేసిన ప్యాకెట్ గురించి ఏదీ అధికారం ఇవ్వవు. రెండింటినీ కలపడం అనేది పనిచేసే టన్నెల్ అన్నింటినీ ఫార్వర్డ్ చేసే ఫైర్వాల్తో ముగిసే మార్గం.

వచ్చే సందర్భం వెళ్లే సందర్భం కాదు

అదే వ్యక్తీకరణ కుటుంబం మరొక దిశను rt ipsec తో కవర్ చేస్తుంది, ఇది ప్యాకెట్ ఉపయోగించబోయే వెళ్లే భద్రతా సంఘాన్ని వివరిస్తుంది. ఇది వేరే ప్రశ్నకు సమాధానమిస్తుంది: ఈ ప్యాకెట్ ఎక్కడ నుండి వచ్చింది అని కాదు, తదుపరి భాగంలో అది రక్షించబడుతుందా అని.

ఒక టన్నెల్ను ముగించి మరొకదానికి ఫార్వర్డ్ చేసే గేట్వేలో ఈ భేదం ముఖ్యం. ప్యాకెట్ డీక్రిప్ట్ అయి వచ్చి అయినా ఎన్క్రిప్ట్ అయి వెళ్లాల్సి రావచ్చు, మరియు వచ్చే సందర్భానికి మాత్రమే రాసిన అనుమతి వెళ్లే అవసరం గురించి ఏమీ చెప్పదు. విధానం ఆ రక్షణను కోరితే, రౌటింగ్ చూసుకుంటుందని ఊహించే బదులు నియమ సమితి దానిని వ్యక్తపరచాలి.

రెండు ప్రశ్నలను వేరే నియమాలలో ఉంచండి, ఏది అమలవుతోందో పాఠకుడు చూడగలడు. రెండింటినీ తనిఖీ చేసే ఒకే తెలివైన నియమం సమీక్షించడం కష్టం, దాని సగం సరిపోలడం ఆపినప్పుడు డీబగ్ చేయడం చాలా కష్టం. కౌంటర్లు ఉన్న రెండు నియమాలు ఏ అవసరం విఫలమవుతోందో కూడా చెబుతాయి, ఒకే సంయుక్త నియమం దానిని ఎప్పటికీ చేయదు.

NAT ఫైర్వాల్ నిర్ణయం కాదు

ప్రైవేట్ క్లయింట్ పూల్ నుండి ఇంటర్నెట్కు వెళ్లే ట్రాఫిక్కు సాధారణంగా మూల అనువాదం అవసరం, తద్వారా సమాధానం తిరిగి వెళ్లే మార్గాన్ని కనుగొంటుంది. కానీ మరొక వెళ్లే IPsec విధానం కోసం ఎంచుకున్న ట్రాఫిక్ దాని అవసరమైన మినహాయింపును నిలుపుకోవాలి, మరియు తదుపరి రక్షణ నిర్ణయం గురించి ఆలోచించకుండా ప్రతి ప్రైవేట్ మూలాన్ని మాస్క్ చేయడం దానిని పాడు చేస్తుంది.

NAT గొలుసు లోపల అంగీకారం కూడా సాధారణ అనుమతి కాదు. NAT మరియు వడపోతకు వేర్వేరు పనులు ఉన్నాయి, NAT గొలుసు స్థాపించిన ప్రవాహం యొక్క ప్రతి తదుపరి ప్యాకెట్ను పరిశీలించదు, అందుకే భద్రత కోసం దానిపై ఆధారపడటం పరీక్షలో పనిచేస్తున్నట్లు కనిపించి లోడ్ కింద విఫలమయ్యే నియమాలను ఉత్పత్తి చేస్తుంది.

వ్యతిరేకమూ నిజం మరియు ప్రజలను ఆశ్చర్యపరుస్తుంది: ఒక వడపోత ఆధార గొలుసులో ఎక్కడో ఉన్న అంగీకారానికి మరొక వర్తించే గొలుసులోని తదుపరి తిరస్కరణకు వ్యతిరేకంగా ఎటువంటి బరువు ఉండదు. ఫలితాన్ని క్రమం మరియు గొలుసు పరిధి నిర్ణయిస్తాయి, ఫైల్లో అంగీకారం ఉండటం కాదు.

ఖచ్చితమైన అంతర్గత సేవను ధృవీకరించండి

మీరు అధికారం ఇచ్చిన నిర్దిష్ట గమ్యం మరియు పోర్టును నిజమైన క్లయింట్ నుండి పరీక్షించి, సమాధానం తిరిగి వస్తున్నట్లు నిర్ధారించండి. తర్వాత మీరు అధికారం ఇవ్వని ఏదైనా పరీక్షించి అది దాటడం లేదని తనిఖీ చేయండి, ఎందుకంటే చాలా వెడల్పైన నియమం కూడా మొదటి పరీక్షను సరైన నియమంలా బాగానే పాస్ అవుతుంది. క్లయింట్ను ఎప్పటికీ విడిచిపెట్టని అభ్యర్థన కూడా ఫైర్వాల్ ఫలితం కాదు, కాబట్టి ప్యాకెట్ అసలు మూల్యాంకనం అయిందా అని చూడటానికి కౌంటర్లు చదవండి. రెండు పరీక్షలు మరియు ఒక కౌంటర్ పఠనం నియమ సమితిని చదివి గడిపిన పూర్తి మధ్యాహ్నం కంటే ఎక్కువ చెబుతాయి.

nftables సూచన meta ipsec, rt ipsec మరియు దిశ-నిర్దిష్ట వ్యక్తీకరణలను నమోదు చేస్తుంది, మరియు మీరు ఇన్స్టాల్ చేసిన సంస్కరణతో వాక్యనిర్మాణాన్ని తనిఖీ చేసే స్థలం అదే. పరిధిని స్పష్టంగా ఉంచండి: ఇది IPv4 ఉదాహరణ, ఇది IPv6 గురించి ఏమీ చెప్పదు, మరియు ఏకపక్ష పబ్లిక్ పోర్ట్ ఫార్వర్డింగ్ను VPN సేవలో భాగం చేయదు.