SSH మరియు VPN ఇన్‌గ్రెస్ నియమాలు: అనుమతి జాబితా నిజంగా ఏమి నియంత్రిస్తుంది

నియమాన్ని మార్చే ముందు ఒకసారి కనెక్ట్ అవ్వండి మరియు క్లయింట్ వేలాడుతుందో లేదా వెంటనే తిరస్కరించబడుతుందో గమనించండి. ఆ ఒకే భేదం ఏ నిర్ణయం ప్యాకెట్‌ను పడవేసిందో చెబుతుంది మరియు విధాన ఫైళ్లు చదవడంలో ఒక గంట ఆదా చేస్తుంది. మిగిలిన ప్రయాణం చిన్నది: ప్యాకెట్ ఒక హుక్ దాటుతుంది, నియమంతో సరిపోతుంది మరియు శ్రోతను చేరుతుంది లేదా చేరదు. అనుమతి జాబితా ఆ మూడు వాస్తవాల చుట్టూ లెక్క మాత్రమే.

ఒక SSH ప్రయత్నాన్ని ఇన్‌పుట్ హుక్ వరకు అనుసరించండి

క్లయింట్ హోస్ట్ చిరునామాకు పోర్ట్ 22 పై SYN పంపుతుంది, ఆ ప్యాకెట్ స్థానిక సేవ కోసమా అని కెర్నల్ నిర్ణయిస్తుంది. అవును అయితే ఇన్‌పుట్ మార్గం నడుస్తుంది మరియు నియమాల సముదాయం ప్యాకెట్‌ను అంగీకరిస్తుంది లేదా విసిరేస్తుంది. నిశ్శబ్దం అంటే శ్రోత దాన్ని చూసే ముందే SYN మరణించింది, అయితే వేగవంతమైన తిరస్కరణ అంటే ఏదో రీసెట్‌తో సమాధానమిచ్చింది. ఇవి వేర్వేరు నియమాల నుండి వచ్చిన వేర్వేరు తీర్పులు, రెండూ చెల్లుబాటు అయ్యే ఫలితాలు.

తర్వాత శ్రోతను నిర్ధారించండి, ఎందుకంటే లేని సేవను ఏ నియమం కాపాడలేదు. ss -ltnp నడపండి మరియు మీరు ఆశించిన పోర్ట్ మరియు చిరునామా కుటుంబానికి ఏదో కట్టబడి ఉందో లేదో తనిఖీ చేయండి, ఆపై క్లయింట్‌లో ssh -v చదివి అది ఎక్కడ ఆగుతుందో చూడండి.

ఫార్వర్డింగ్ ఒక ప్రత్యేక నిర్ణయం

VPN సర్వర్‌లో ఎక్కువ ఆసక్తికరమైన హుక్ forward, ఎందుకంటే క్లయింట్ ట్రాఫిక్ యంత్రానికి అప్పగించబడకుండా దాని గుండా మార్గనిర్దేశం చేయబడుతుంది. తన సొంత VPN క్లయింట్‌ను మాత్రమే నడిపే హోస్ట్‌కు ఇతరుల ప్యాకెట్లను పంపే హోస్ట్ కంటే చాలా చిన్న నియమాల సముదాయం అవసరం. రెండు డిజైన్లను ఒకే యంత్రంలో కలిపితే సరైనవిగా కనిపించే మరియు ఏదీ దాటని నియమాలు పుడతాయి.

అంతర్గత విధానాన్ని ప్రత్యేక ప్రశ్నగా రాయండి: ఏ క్లయింట్ చిరునామాలు టన్నెల్ ద్వారా ఏ గమ్యస్థానాలను చేరగలవు. పరిపాలనా మార్గాన్ని, ఉదాహరణకు SSH, తన సొంత మూల పరిమితితో ఇన్‌పుట్ మార్గంలో ఉంచండి. పరీక్ష సమయంలో జోడించిన సడలిన forward నియమమే పరీక్షను మించి జీవించే సాంప్రదాయ లోపం, కాబట్టి మార్పు తర్వాత మీరు సవరించిన ఒక వరుస కాదు, మొత్తం సముదాయాన్ని సమీక్షించండి. టన్నెల్ శ్రోతను తెరవడం ప్రతి కనెక్ట్ అయిన క్లయింట్‌కు హోస్ట్‌ను నిర్వహించే అనుమతి కాదు.

డ్రాప్ మరియు రిజెక్ట్ చర్యలు, విధానాలు కావు

బేస్ చైన్ విధానం అంగీకరిస్తుంది లేదా విసిరేస్తుంది మరియు అదే ఎంపికల పూర్తి జాబితా, అని nftables సూచన చెబుతుంది. తిరస్కరణ ఎంచుకున్న సమాధానంతో కూడిన నియమ చర్యగా ఉంది, అందుకే దాన్ని విధానంగా రాయడం nftables మరియు iptables రెండింటిలోనూ విఫలమవుతుంది. ఆచరణలో drop క్లయింట్‌కు ఎటువంటి సమాచారం ఇవ్వదు, కానీ reject అతను పని చేయగల లోపాన్ని ఇస్తుంది.

table inet admin {
    chain input {
        type filter hook input priority filter; policy drop;
        ct state established,related accept
        ip saddr 203.0.113.0/28 tcp dport 22 accept
        udp dport 51820 accept
        icmp type { destination-unreachable, time-exceeded } accept
    }
}

ఆ స్కెచ్‌ను అతికించే ఫైల్‌గా కాదు, నిర్ణయం ఆకారంగా చదవండి, ఎందుకంటే చిరునామా పరిధులు ఉదాహరణలు. SSH పోర్ట్‌లో స్పష్టమైన reject అనధికార క్లయింట్‌ను టైమ్‌అవుట్ కోసం వేచి ఉండకుండా ఒక సెకనులో విఫలం చేస్తుంది, ఇది మీ సొంత డీబగ్గింగ్‌ను కుదిస్తుంది. నిశ్శబ్దం యాదృచ్ఛిక స్కానింగ్‌ను నిరుత్సాహపరుస్తుంది మరియు అధికారం ఉన్న వినియోగదారుకు ఏమీ చెప్పదు. ప్రతి సేవకు ఎంచుకుని ఎందుకో రాయండి, లేకపోతే తర్వాతి వ్యక్తి దాన్ని తిరిగి మారుస్తారు.

నిజంగా అవసరమైన నియంత్రణ ట్రాఫిక్‌ను ఉంచుకోండి

అన్ని ICMP బ్లాక్ చేయడం మార్గం యొక్క MTU ఆవిష్కరణను పగలగొట్టే ప్రసిద్ధ డిఫాల్ట్, లక్షణం స్థాపించబడి తర్వాత పెద్ద ప్యాకెట్లపై ఆగిపోయే కనెక్షన్. IPv6 లో పొరుగు ఆవిష్కరణ దాని స్వంత ICMPv6 రకాలపై ఆధారపడి ఉంటుంది, వాటిని విసిరేయడం ఏ TCP నియమం చూడకముందే లింక్‌ను విరగ్గొడుతుంది. రెండూ విస్తృత అనుమతులుగా కాదు, పేరు పెట్టిన ఆధారాలుగా అనుమతి జాబితాలో ఉండాలి. ఆవిష్కరణను నిశ్శబ్దంగా పగలగొట్టే విధానం కొంత నిర్ధారణ ట్రాఫిక్‌ను అనుమతించే దానికంటే దారుణం.

మీరు ప్రారంభించిన కనెక్షన్లకు established మరియు related స్థితులను అనుమతించండి, సమాధానాలను స్థితి తెలిసిన ఇంజిన్‌కు వదిలేయండి. తర్వాత సమాధాన మార్గం మరింత బయట బ్లాక్ చేయబడలేదని నిర్ధారించండి, ఎందుకంటే పైన బయటకు వెళ్లే ట్రాఫిక్‌కు మాత్రమే ఉన్న పరిమితి మీరు హోస్ట్‌పై నింద వేయబోయిన అదే టైమ్‌అవుట్‌ను సృష్టిస్తుంది.

పాత మార్గాన్ని విడిచిపెట్టే ముందు పునరుద్ధరణను నిరూపించండి

కన్సోల్ సెషన్ తెరిచి ఉంచండి, మార్పును వర్తించండి మరియు మరొక టెర్మినల్ నుండి పూర్తిగా కొత్త నిర్వహణ కనెక్షన్ తెరవండి. ఉన్న సెషన్ ఏమీ నిరూపించదు, ఎందుకంటే ప్రతి కొత్త లాగిన్‌ను బ్లాక్ చేసే నియమం నుండి అది తప్పించుకోవచ్చు, ఇది ఫైర్‌వాల్ పనిలో దాన్ని అత్యంత నమ్మదగిన తప్పుడు పాజిటివ్‌గా చేస్తుంది. పర్యవేక్షణ వ్యవస్థ హోస్ట్‌ను తనిఖీ చేస్తే, మొదటి హెచ్చరిక తర్వాత కాదు, మార్పుకు ముందే దాని మూల చిరునామాను జోడించండి. తర్వాత ఒక పెద్ద మరియు ఒక చిన్న ప్యాకెట్‌ను పరీక్షించి ఆవిష్కరణ ఇప్పటికీ పని చేస్తుందని నిరూపించండి.

VPN సేవ కోసం, ఎప్పుడూ కనెక్ట్ కాని క్లయింట్ నుండి పునరావృతం చేయండి, ఎందుకంటే పునఃప్రారంభమైన సెషన్ కొత్తది చర్చించాల్సిన స్థితిని తిరిగి ఉపయోగించగలదు. పాస్ అయిన ఖచ్చితమైన నియమాల సముదాయాన్ని చెక్‌సమ్ లేదా కాపీతో నమోదు చేయండి, తర్వాతి సవరణ ఊహించబడకుండా పోల్చబడుతుంది. నియమాల క్రమం యజమానితో సమన్వయం చేసుకోండి, ఎందుకంటే మునుపటి నియమం మీరు జోడించిన దాన్ని నిశ్శబ్దంగా ఓడిస్తుంది.