Ang mga tuntunin ng firewall na NEW lamang ay hindi nagsasara ng bawat daang WAN

Ang pagtanggi sa mga bagong papalabas na koneksyon sa WAN ay mukhang patakarang nagsasara kapag nabigo, ngunit ito ay mas makitid na pangako kaysa sa nakikita. Ang mga packet na kabilang sa mga daloy na umiiral na ay hindi tumutugma dito, at gayundin ang maraming sagot. Ang puwang na ito ay madaling makaligtaan dahil ang tuntunin ay binabasa na parang sinasaklaw ang interface at hindi isang kalagayan ng koneksyon dito. At ang pagbasa sa pagtutugma ng kalagayan bilang hatol ang lumilikha ng huwad na pakiramdam ng pagsasara.

Ang kalagayan ay kundisyon ng pagtutugma, hindi hatol

Ang pagsubaybay ng koneksyon ay nag-uuri ng mga packet ayon sa nakita na ng firewall, hindi ayon sa pinaniniwalaan ng aplikasyon. Ang daloy na naobserbahan sa dalawang direksyon ay naitatag, at ang mga kasunod nitong packet ay nananatiling naitatag kahit ang ruta sa ilalim nito ay magbago mula sa lagusan patungo sa karaniwang uplink. Ang sagot sa isang papasok na koneksyon ay maaari ring maging naitatag na trapiko. Ang mga packet na iyon ay hindi na muling nagiging bago.

Kaya't ang tuntuning nakapaloob lamang sa mga bagong koneksyon ay hindi makapagpapatunay na ang bawat protektadong packet ay naharang. Iniiwan nito ang iba pang kalagayan sa kung ano ang ginagawa ng natitirang bahagi ng hanay ng tuntunin sa kanila, at maaaring iyon ay isang pahintulot na inilagay nang mas maaga sa kadena.

Basahin ang tuntunin sa kapaligiran nito

Ang malawak na pahintulot para sa naitatag at kaugnay na trapiko na inilagay bago ang pagharang ay nagpapadaan sa isang packet bago pa man suriin ang pagharang. Ang pag-alis ng kundisyon ng kalagayan mula sa susunod na tuntunin ay hindi magbabago nito, dahil hindi umaabot doon ang pagsusuri. Ang pagkakasunod-sunod ang nagpapasya sa resulta, at ang pagtutugma ng kalagayan ang nagpapasya kung aling mga packet ang umaabot sa pagkakasunod-sunod na iyon.

Suriin ang epektibong hanay ng tuntunin at hindi ang file na iyong inedit, kabilang ang mga paglundag sa ibang kadena at lahat ng nililikha ng plataporma. Sa router na pinamamahalaan ng iptables, ang paglilista ng kadena ay nagpapakita ng mga depinisyon ng tuntunin, at ang mga kadenang tinutukoy nito ay dapat ding sundan. Ang katutubong sistemang nftables ay nangangailangan ng pagsusuri sa sariling hanay ng tuntunin at mga prayoridad ng hook, dahil bihirang gumawa ang firmware ng magkatulad na kadena.

Sinasabi ng mga counter kung aling tuntunin ang talagang tumugma, at kadalasan ay mas nagbibigay-kaalaman sila kaysa sa paghuli ng packet na kinuha pagkatapos ng desisyon. Ang tuntuning may counter na zero ay hindi naabot, anuman ang ipahiwatig ng posisyon nito.

Ipahayag ang pagbabawal nang independiyente sa kalagayan

Kung ang isang grupo ng mga kliyente ay hindi dapat kailanman makarating sa internet sa labas ng lagusan, sabihin ito nang tuwiran sa halip na tantiyahin gamit ang isang kalagayan. Dapat pumili ang tuntunin batay sa pinagmulan, labasan at patutunguhan nang hindi umaasa sa kalagayan ng koneksyon, at dapat itong manatili kung saan walang naunang pahintulot na makakaiwas dito. Pagkatapos, ang pag-access sa pamamahala at mga pagbubukod ng lokal na network ay makakakuha ng sarili nilang malinaw na tuntunin, kaya makikita ang layunin sa patakaran.

Ang pagpili ng reject sa halip na drop ay nagbabago kung paano nabigo ang tumutugmang trapiko, at hindi nito pinalalawak ang hanay ng mga packet na pinipili ng tuntunin. Ang tinanggihang koneksyon at tahimik na pagtatapos ng oras ay magkaibang sintomas na tumutukoy sa iisang pagpili.

Ang patakarang sadyang nagpapahintulot ng mga sagot sa pag-access na sinimulan mula sa malayo sa pamamagitan ng WAN ay maipagtatanggol. Kailangan lamang itong ilarawan nang ganoon sa halip na iharap bilang lubos na paghihiwalay sa pamamagitan lamang ng lagusan.

Tingnan kung sino talaga ang nasa grupo

Saklaw ng halimbawa ang IPv4 na trapikong ipinapasa mula sa isang prefix palabas ng isang interface. Wala itong sinasabi tungkol sa IPv6, ikalawang uplink, o trapikong nililikha mismo ng router. Ang router na gumaganap bilang tagalutas ng DNS ay nagpapadala ng sarili nitong mga tanong pataas, at ang mga iyon ay hindi dumadaan sa forward chain.

Kumpirmahin na ang mga protektadong kliyente ay mayroon pa ring mga address sa loob ng napiling prefix, dahil ang device na lumipat palabas nito ay direkta sa aksidente at hindi ayon sa patakaran. Ang pagpapalawak ng pagharang sa buong LAN nang hindi sinusuri ang disenyo ng mga pagbubukod ay may tendensiyang mag-alis din ng sarili mong landas pang-administrasyon.

iptables -S FORWARD
iptables -L FORWARD -v -n
cat /proc/net/nf_conntrack | grep -c ESTABLISHED

Pagkatapos ay subukan ang lumang daloy sa tabi ng bago. Ang sariwang pagtatangka ng koneksyon at ang aktibo nang dalawang-direksyong paglilipat ay kumikilos nang iba sa ilalim ng tuntuning ito, at ang pagsubok sa dalawa lamang ang nagpapakita kung anong patakaran talaga ang mayroon ka.