Ang pagharang sa IPv6 para protektahan ang WireGuard ay sumisira sa host

Makatuwiran ang layunin: mga user lang ng tunnel ang dapat makarating sa mga serbisyo sa makinang ito. Ang implementasyong kinakapitan ng mga tao ay isang IPv6 input chain na nagtatapon ng lahat maliban sa WireGuard, at tinatapon din nito ang trapikong nagpapanatili sa host na nakakabit sa sarili nitong link. Ang neighbour discovery at mga mensahe ng pagpapanatili ng path ay hindi pag-access sa serbisyo, at ang pag-alis sa mga ito ay gumagawa ng makinang hindi maabot sa mga dahilang walang kaugnayan sa iyong patakaran. Bumangon ang tunnel, wastong nakalimita ang mga serbisyo, at wala nang gumagana sa link.

Tatlong responsibilidad, isang set ng patakaran

Ang unang responsibilidad ay ang operasyon ng panlabas na network: dapat manatili ang host sa link nito, lutasin ang mga kapitbahay at malaman ang mga limitasyon ng path ng link na iyon. Ang pangalawa ay ang naka-encrypt na listener, na tumatanggap ng UDP sa address at port na pinili mo. Ang pangatlo ay ang set ng mga decrypted na serbisyong nais mong maabot ng mga user ng tunnel.

Tatlong magkaibang patakaran ito, at ang pangalawa at pangatlo lang ang tungkol sa VPN. Ang set ng patakarang tinatrato silang isa ay nagmamana ng paraan ng pagkasira kung saan tahimik na sinisira ng paghihigpit sa hangganan ng application ang pagkakakabit ng host.

Panatilihin sila sa magkahiwalay na chain o kahit man lang magkahiwalay na komento, para makita ng susunod na tao kung aling linya ang umiiral at bakit.

Ano ang ginagawa ng ICMPv6 para sa host

Umaasa ang IPv6 sa ICMPv6 para sa mas marami pa kaysa echo. Pinapalitan ng neighbour solicitation at advertisement ang ARP at kailangan para sa lokal na paghahatid. Dinadala ng Packet Too Big ang impormasyon ng MTU ng path, at ang pagwawalang-bahala dito ay gumagawa ng mga transfer na natigil sa malalaking packet. Dinadala ng router advertisement ang default na ruta at impormasyon ng prefix kapag gumagamit ang link ng awtomatikong konfigurasyon.

Hinihiwalay ng RFC 4890 ang mga mensaheng dapat payagan ng filter ng host mula sa mga ito ay administratibong pagpili, at ginagawa ito sa seksyon ng host na naiiba sa mga patakaran para sa router na nagpapasa sa pagitan ng mga network. Ang pagbasa lamang sa seksyon ng pagpapasa ay gumagawa ng input policy na sobrang mahigpit para sa host na pinoprotektahan nito.

Ang praktikal na patakaran ay payagan ang mahahalagang mensahe ng error at konfigurasyon sa interface na nangangailangan ng mga ito, limitado ayon sa uri at pinagmulan kung saan pinapayagan ng plataporma, at gumawa ng malinaw na desisyon tungkol sa natitira.

Ang palitan ang lahat ng ito ng pangkalahatang pagpayag sa ICMPv6 ay nag-aayos ng problema sa availability at isinusuko ang filtering. Ang palitan ito ng pangkalahatang pagtatapon ay nag-aayos ng problema sa filtering at isinusuko ang host.

Payagan muna ang tunnel, pagkatapos ang serbisyo

Tanggapin ang transport ng WireGuard sa inilaan na panlabas na address at UDP port, at tanggapin ang pabalik na trapiko sa pamamagitan ng connection tracking. Pagkatapos ay payagan ang mga serbisyo ng application sa pamamagitan ng interface ng tunnel, mula sa mga pinagmulang talagang pinapahintulutan mo.

Ang pagpayag sa panlabas na UDP port ay hindi nagpapahintulot sa mga decrypted na kahilingan sa loob nito. Ang pagkakaibang iyon ang buong dahilan kung bakit lumilitaw ang interface ng tunnel sa mga patakaran ng serbisyo.

Basahin ang set ng patakaran kung ano ito, hindi kung paano ito inilalarawan ng file:

sudo nft list ruleset
ip -6 addr show
ip -6 route show default

Ang listener sa isang pisikal na address ay hiwalay na pagkakalantad mula sa parehong serbisyo sa address ng tunnel. Kung ang makina ay nagpapasa rin ng trapiko sa ibang makina, desisyon iyon ng forward chain at hindi ang input policy na ito, at kailangan nito ng sariling pangangatwiran.

Subukan ang link, hindi lang ang tunnel

Ang gumaganang tunnel pagkatapos ng pagbabago ay nagpapatunay ng mas kaunti kaysa sa itsura nito, dahil ang umiiral na entry ng kapitbahay at ang naitatag na koneksyon ay maaaring magtago ng control message na itinatapon na ng patakaran.

Suriin ang pagkakakabit nang direkta, pagkatapos suriin na nabibigo pa rin ang ibinukod na path:

ip -6 neigh show
ping -6 -c 3 2001:db8:1::1
sudo nft -c -f /etc/nftables.conf

Ang table ng kapitbahay na nananatiling kumpleto pagkatapos ng reboot ay senyales na gumagana pa ang discovery. Ang table na naubos at hindi na muling napupuno ay senyales na sinasala mo ito. Ang ikatlong utos ay nagpapatunay ng syntax ng set ng patakaran nang hindi ito inilalapat, na sulit gawin habang may session ka pa.

Ibalik ang host na ikinulong mo ang sarili mo sa labas

Bago baguhin ang mga patakaran ng firewall na nagdadala ng sarili mong administratibong session, magtabi ng ikalawang channel: isang console, serial na koneksyon, o naka-iskedyul na rollback na nag-aalis ng mga bagong patakaran kung hindi mo ito kakanselahin.

Kung talagang ikulong ka ng pagbabago, sa channel na iyon ang pagbawi at hindi sa network na inalis mo lang. Ibalik ang dating set ng patakaran mula sa naka-save na kopya, tiyakin na maabot muli ang host, at pagkatapos lang ilapat ang inilaan na patakaran sa mas maliliit na piraso.

Ang huling patakaran ay hindi pangkalahatan. Ang addressing, routing at implementasyon ng firewall ay mga input ng deployment, ngunit pareho ang hangganan sa lahat ng dako: tanggihan ang hindi kagustuhang pag-access ng application habang pinapanatili ang control traffic na nagdadala ng awtorisadong tunnel.