Ev NAT'sı VPN arayüzünüzü neden korumaz

Bağlantı noktası yönlendirmesi olmayan bir ev yönlendiricisinin arkasındaki dizüstü bilgisayarlar, VPN üzerinden gelen SSH bağlantılarını yine de kabul eder. Bu bir çelişki değildir, çünkü iki farklı cihaz iki farklı paketi yargılar. Yönlendirici şifreli taşımayı iletir ve ana makine tünel arayüzüne ulaşan şifresi çözülmüş paketle ne yapılacağına karar verir. Bu iki kararı ayrı tutmak, bütün alıştırmadır.

Yönlendirici tüneli iletir, ana makine paketi yargılar

Tek bir kurala bakmadan önce uzak kaynaktan hizmete giden yolu çizin. Dış bacak, yönlendirici ve ağ geçidi tarafından yönetilen VPN taşımasıdır. İç bacak, uç nokta tünel katmanını sıyırdığında ve ana makine VPN adresine adreslenmiş bir paket aldığında başlar.

Bu iki bacağı birleştirin ve yönlendirici, ana makinenin verdiği bir karar için pay kapar. Bir bağlantı noktası yönlendirme sayfası veya yönlendirici günlüğü yalnızca dış konuşmaları tanımlar ve hiçbiri ana makinenin hangi şifresi çözülmüş trafiği kabul edeceğini söylemez. Ana makine, kendi giriş ilkesini iç pakete uygular, tıpkı bir arayüze gelen herhangi bir pakete uyguladığı gibi. Maruz kalma sorunu gerçekte bu ilkede karara bağlanır.

Joker dinleyici herkese açık bir hizmet değildir

Linux'ta INADDR_ANY adresine bağlanmak her yerel adres anlamına gelir, bu yüzden bir hizmet hiç adlandırmadığı bir tünel arayüzünde yanıt verebilir. IP soketi başvurusu bu bağlanmayı açıklar ve bir dinleyici listesinden sonuç çıkarmadan önce okumaya değer. Joker giriş, soket hakkında bir olgudur, erişilebilirlik hakkında bir ifade değildir.

Aşağıdaki iki satır aynı hizmetin iki farklı bağlanmasıdır ve fark, arayüzün önemli olup olmadığı sorusunun bütün yanıtıdır. Her şeyden önce soketin hangi adreste oturduğunu okuyun.

ss -lntp "sport = :22"
LISTEN 0 4096 0.0.0.0:22 0.0.0.0:* users:(("sshd",pid=812,fd=3))
LISTEN 0 4096 10.8.0.6:22 0.0.0.0:* users:(("sshd",pid=812,fd=4))

Bağlantı noktasına ulaşabilecek düzeni adlandırın

Üç düzen bir paketi o arayüze koyar ve farklı sahipleri vardır. Doğru olanı adlandırmak, kimin bir ilkeyi değiştirmesi gerektiğine karar verir.

Herkese açık bir çıkış adresi gösteren tarayıcı sonucu, üçünün hiçbiri hakkında bir şey söylemez, çünkü giden trafiğin nasıl çıktığını anlatır, gelen trafiğe neyin izin verildiğini değil. Bunun yerine dinleyiciden ve hizmet günlüğündeki kaynak adresten geriye doğru çalışın. Kaynak başka bir tünel eşi ise, ağ geçidi ilkesi ilginç belgedir. Çevrilmiş bir adresse, bir kuralı değiştirmeden önce çeviriyi bulun.

Hizmeti amaçladığınız yolla sınırlayın

SSH yalnızca bir yönetim yolundan gerekiyorsa, o yolu kaynak aralığı artı bir arayüz olarak yazın. Ardından ana makinenin giriş kurallarını ağ adı yerine arayüz, hedef ve kaynağa göre sınırlayın, çünkü özel görünen bir ad herhangi bir adresi temsil edebilir. Bir sonraki sorunu çözecek kişi için bir yol bırakın.

nft add rule inet filter input iifname "tun0" ip saddr 10.8.0.0/24 tcp dport 22 accept
nft list chain inet filter input

Tünel arayüzünü ve yönetim aralığını adlandıran bir kural, amacı tek bir yerde belirtir. Bunu Wi-Fi ağı için yazılmış bir kuralla karşılaştırın; o, şifresi çözülmüş tünel trafiği hakkında hiçbir şey söylemez. İki katman anlaşmazlığa düştüğünde, paketin karşılaştığı ilke ana makinenin ilkesidir.

Oturum açmaları ve yamaları tam oldukları yerde bırakın; bir bağlantı noktasına ulaşmak, onu kullanma iznine sahip olmakla hiçbir zaman aynı şey değildi. Tanımadığınız her kaynak için adres ailesini ve saati kaydedin ve bir özelliği ya da güvenlik açığını suçlamadan önce araştırın. Her tünel eşini kabul eden bir kural, bir yönetim alt ağını kabul edenden farklı bir tasarımdır ve hiçbir günlük satırı hangisinin amaçlandığını söylemez.

Düzeltmeyi bir başarı ve bir ret ile kabul edin

Her iki yarıyı kanıtlayın: onaylanmış bir bağlantı başarılı olur ve hariç tutulan bir yol reddedilir. Ret, insanların atladığı yarıdır ve kuralın izin veren bir varsayılanın yanında durmak yerine iş yaptığını gösteren de odur. Bunu düşünmek yerine hariç tutulan taraftan test edin.

Çifti yeniden bağlanmadan sonra tekrarlayın, çünkü farklı bir arayüz adıyla dönen bir tünel, eskisine kapsanmış bir kuralı sessizce atlayabilir. Önemli olan sınır, ana makinenin gerçekten aldığı paketlere uyguladığı sınırdır.