Transmission sa Linux: pilitin ang labasan ayon sa may-ari ng proseso

Ang pagharang sa papasok na port ng Transmission ay hindi patakaran ng VPN. Ang torrent client ay nagbubukas ng palabas na koneksyon sa mga kapares at tracker, naglulutas ng pangalan at maaaring maglantad ng tagapakinig para sa malayong kontrol, at ang bawat isa sa mga ito ay maaaring lumabas sa interface na hindi mo sinadya. Daanan ang limang pagsusuri nang sunud-sunod at ituring ang tuntunin ng firewall, hindi ang mga setting ng kliyente, bilang hangganan. Ang huling dalawang pagsusuri ang madalas laktawan ng mga tao, at sila ang nagpapasya kung mananatili ang garantiya kapag bumagsak ang lagusan.

Pangalanan ang prosesong may-ari ng paglilipat

Ang desktop application at ang system daemon ay tumatakbo sa magkaibang account, at ang tuntuning nakabatay sa may-ari ay sumusunod sa account at hindi sa pangalan ng programa. Alamin kung alin sa dalawa ang tumatakbo bago magsulat ng anumang tuntunin. Ang nakalaang service account ay nagbibigay sa patakaran ng tiyak na paksa, samantalang ang desktop user ay nagbabahagi ng pagkakakilanlan nito sa mga browser, editor at lahat ng iba pa sa sesyon. Kumpirmahin ang UID sa halip na ipalagay na ang pangalan ng account mula sa pakete ang ginagamit.

systemctl status transmission-daemon
ps -o user=,pid=,cmd= -C transmission-daemon

Kung wala pa ang account, likhain ito para sa layuning ito at huwag bigyan ng iba pang tatakbo. Isulat ang account at UID sa komento ng tuntunin, dahil ang tuntuning walang paksa ay tuntuning walang makakapag-edit nang ligtas.

Ihiwalay ang mga field ng tagapakinig sa ruta

Idinokumento ng Transmission 4.x ang mga address ng pakikinig ng kapares nang hiwalay sa rpc-bind-address, at mahalaga ang pagkakaiba. Ang setting ng RPC ay kumokontrol lamang sa tagapakinig para sa malayong kontrol, kaya ang pagbabago nito ay hindi pumipili ng ruta para sa trapikong kapares. Ang pagbasa sa dalawang setting bilang isa ay ang pinakakaraniwang dahilan kung bakit tumatagas pa rin ang konfigurasyong mukhang maingat. Inilalarawan ng parehong dokumentasyon ang isang fallback kapag hindi balido ang isang address ng pakikinig ng kapares, kaya ang address na hindi magagamit ay dokumentadong kaso ng fallback, hindi garantisadong pagtanggi.

grep -E '"(peer-port|rpc-bind-address|bind-address-ipv4)"' /var/lib/transmission-daemon/.config/transmission-daemon/settings.json

Gamitin ang mga kontrol ng kliyente ayon sa silbi nila, at ilagay ang garantiya sa firewall. Maaari pa ring maging kapaki-pakinabang ang setting ng tagapakinig, ngunit hindi nito pinatutunayan na ang pakikipag-ugnayan sa tracker, lokal na pagtuklas o delegadong paghahanap ay lumalabas lahat sa lagusan. Kapag hindi nagkasundo ang dalawa, ang firewall ang nagpapasya.

Isulat ang pagtutugma ng may-ari sa tamang kadena

Ang manwal ng Netfilter tungkol sa pagtutugma ng may-ari ay nagpapaliwanag kung paano iniuukol ang mga packet na nalikha nang lokal sa user o grupong may-ari ng socket file. Hindi umaabot ang pag-uukol na iyon sa trapikong ipinapasa, at ang pagtutugma ng mga karagdagang grupo ay nangangailangan ng malinaw na opsyon. Basahin ang manwal para sa extension na talagang ginagamit mo at hindi ang unang halimbawang makita mo.

iptables -A OUTPUT -m owner --uid-owner transmission -o tun0 -j ACCEPT
iptables -A OUTPUT -m owner --uid-owner transmission -j REJECT
ip6tables -A OUTPUT -m owner --uid-owner transmission -o tun0 -j ACCEPT
ip6tables -A OUTPUT -m owner --uid-owner transmission -j REJECT

Kasinghalaga ng pagtutugma ang pagkakasunod-sunod. Ang malawak na pagtanggap na mas maaga sa kadena ay nagpapawalang-bisa sa tiyak na pagtanggi sa dakong huli, kaya suriin ang buong kadena sa halip na magdagdag ng tuntunin at umasa. Isama ang dalawang pamilya ng address kung tumatakbo ang host sa IPv6, dahil ang patakarang v4 lamang ay nag-iiwan ng bukas na landas na walang nagmamatyag. Panatilihing naka-install ang mga tuntunin sa mga restart ng kliyente at ng lagusan.

Magpasya kung ano ang mangyayari kapag nawala ang tun0

Ang patakaran sa kabiguan ang buod ng pagsasanay. Kung mawala ang lagusan at aalisin ng parehong hook ang mga tuntunin, malaya ang kliyenteng gamitin ang pisikal na interface hanggang may ibang pumigil dito. Pinapanatili ng ligtas na disenyo ang mga tuntunin at hinahayaang tumanggi ang mga ito, at iyon ang gumagawa sa hangganan na independiyente sa kalusugan ng lagusan. Ang teardown hook na nagbubura rin ng mga tuntunin ay kabaligtaran ng patakaran sa kabiguan.

ip link show tun0
iptables -S OUTPUT

Subukin ito nang sadya: ihinto ang lagusan, magsimula ng paglilipat na ligtas iwanan at tingnan kung may lumalabas. Pagkatapos ibalik ang lagusan at kumpirmahin na gumagana muli ang inilaan na landas.

Saklawin ang mga landas na hindi nakikita ng tuntunin

Ang paglutas ng pangalan ay maaaring pangasiwaan ng hiwalay na prosesong resolver, at ang namespace o nakalaang gateway ay makapagbibigay ng ibang hangganan kung ang mga landas ng pagbabahagi at bootstrap nito ay dinisenyo para doon. Magpasya kung aling bahagi ang may-ari ng DNS at kung sinusunod nito ang parehong tuntunin sa labasan. Pagkatapos tingnan ang RPC: kung ginagamit ang rpc-whitelist, ang aprubadong network ng pamamahala ay bahagi ng kontrata, at ang malawak na saklaw ng RFC1918 ay hindi.

ss -tunp | grep -i transmission

Ang mga counter ng interface ay makapagpapatibay ng obserbasyon, ngunit hindi nila mapapatunayan kung aling proseso ang gumawa ng mga byte. Magsagawa ng paglilipat na pinapayagan kang iwanan: una sa landas na gumagana, pagkatapos nang walang lagusan sa pagsisimula, at pagkatapos sa pamamagitan ng pagkaantala, muling pagkonekta at bagong likhang interface. Subukin ang bagong pagtatangka gayundin ang koneksyong bukas na, dahil maaaring hindi pa naipatupad ang tuntunin sa lumang socket. Itala ang petsa, account at resulta kasama ng pagsubok.

Ang pag-paste ng halimbawang naglilinis sa buong kadena ay nagpapalit ng isang butas sa ilan, kaya magdagdag ng tuntunin sa halip na burahin ang mga ito. Kapag pumasa ang limang pagsusuri, malinaw ang garantiya: lumalabas ang trapiko ng kliyente sa lagusan o hindi lumalabas, at ang tuntuning nagpapatupad nito ay nakakaligtas sa kabiguan ng lagusan mismo.