WireGuard-ni himoyalash uchun IPv6-ni bloklash xostni buzadi

Maqsad oqilona: bu mashinadagi xizmatlarga faqat tunnel foydalanuvchilari yetib borishi kerak. Odamlar tanlaydigan yechim WireGuard-dan boshqa hamma narsani tashlab yuboradigan IPv6 kirish zanjiri bo‘lib, u xostni o‘z bog‘lanishida ushlab turadigan trafikni ham tashlaydi. Qo‘shni aniqlash va yo‘lni saqlash xabarlari xizmatga kirish emas, ularni olib tashlash esa sizning siyosatingizga aloqasi bo‘lmagan sabablarga ko‘ra yetib bo‘lmaydigan mashina hosil qiladi. Tunnel ko‘tariladi, xizmatlar to‘g‘ri cheklangan, bog‘lanishda boshqa hech narsa ishlamaydi.

Uchta mas’uliyat, bitta qoidalar to‘plami

Birinchi mas’uliyat tashqi tarmoqning ishlashi: xost o‘z bog‘lanishida qolishi, qo‘shnilarni hal qilishi va shu bog‘lanishning yo‘l chegaralarini bilishi kerak. Ikkinchisi siz tanlagan manzil va portda UDP qabul qiladigan shifrlangan tinglovchi. Uchinchisi tunnel foydalanuvchilari yetib borishi kerak bo‘lgan shifrdan chiqarilgan xizmatlar to‘plami.

Bular uch xil siyosat va faqat ikkinchisi bilan uchinchisi VPNga tegishli. Ularni bitta deb qaraydigan qoidalar to‘plami ilova chegarasini qattiqlashtirish xostning ulanishini jimgina buzadigan nosozlik usulini meros oladi.

Ularni alohida zanjirlarda yoki hech bo‘lmaganda alohida izohlarda saqlang, keyingi odam qaysi satr nima uchun borligini ko‘rsin.

ICMPv6 xost uchun nima qiladi

IPv6 aks-sadodan ancha ko‘p narsa uchun ICMPv6-ga tayanadi. Qo‘shni so‘rovi va e’loni ARP o‘rnini bosadi va mahalliy yetkazish uchun zarur. Packet Too Big yo‘lning MTU ma’lumotini tashiydi, unga e’tibor bermaslik katta paketlarda tiqilib qoladigan uzatmalarni keltirib chiqaradi. Bog‘lanish avtomatik konfiguratsiyadan foydalanganda marshrutizator e’lonlari standart yo‘l va prefiks ma’lumotini tashiydi.

RFC 4890 xost filtri albatta ruxsat berishi kerak bo‘lgan xabarlarni ma’muriy tanlov bo‘lgan xabarlardan ajratadi va buni tarmoqlar orasida uzatadigan marshrutizator qoidalaridan farqli xost bo‘limida qiladi. Faqat uzatish bo‘limini o‘qish himoya qilinayotgan xost uchun juda qattiq kirish siyosatini beradi.

Amaliy qoida — kerakli interfeysda muhim xato va konfiguratsiya xabarlariga ruxsat berish, platforma ruxsat bergan joyda turi va manbasi bo‘yicha cheklash hamda qolganlari haqida aniq qaror qabul qilish.

Bularning barchasini umumiy ICMPv6 ruxsati bilan almashtirish mavjudlik muammosini hal qiladi va filtrlashdan voz kechadi. Uni umumiy tashlash bilan almashtirish filtrlash muammosini hal qiladi va xostdan voz kechadi.

Avval tunnelga, keyin xizmatga ruxsat bering

WireGuard transportini mo‘ljallangan tashqi manzil va UDP portda qabul qiling, qaytuvchi trafikni esa ulanishlarni kuzatish orqali qabul qiling. So‘ng ilova xizmatlariga tunnel interfeysi orqali, haqiqatan ruxsat bergan manbalardan o‘tishga ruxsat bering.

Tashqi UDP portga berilgan ruxsat uning ichidagi shifrdan chiqarilgan so‘rovlarga ruxsat bermaydi. Aynan shu farq xizmat qoidalarida tunnel interfeysining ko‘rinishining butun sababidir.

Qoidalar to‘plamini fayl tasvirlaganidek emas, qanday bo‘lsa shunday o‘qing:

sudo nft list ruleset
ip -6 addr show
ip -6 route show default

Jismoniy manzildagi tinglovchi tunnel manzilidagi o‘sha xizmatdan alohida ta’sir qilish yuzasidir. Agar mashina trafikni boshqa mashinaga ham uzatsa, bu bu kirish siyosati emas, uzatish zanjirining qarori va o‘z asosini talab qiladi.

Bog‘lanishni sinang, faqat tunnelni emas

O‘zgarishdan keyin ishlaydigan tunnel ko‘ringanidan kamroq narsani isbotlaydi, chunki mavjud qo‘shni yozuvi va o‘rnatilgan ulanish siyosat endi tashlayotgan boshqaruv xabarini yashirishi mumkin.

Ulanishni to‘g‘ridan-to‘g‘ri tekshiring, so‘ng chetlab o‘tilgan yo‘l hali ham ishlamayotganini tekshiring:

ip -6 neigh show
ping -6 -c 3 2001:db8:1::1
sudo nft -c -f /etc/nftables.conf

Qayta ishga tushirgandan keyin ham qo‘shnilar jadvali to‘liq qolsa, aniqlash hali ishlayotganining belgisi. Bo‘shab, boshqa to‘lmaydigan jadval uni filtrlagingizning belgisi. Uchinchi buyruq qoidalar to‘plamining sintaksisini qo‘llamasdan tekshiradi, buni sessiya borligida qilish arziydi.

O‘zingizni tashqarida qulflab qo‘ygan xostni tiklang

O‘zingizning ma’muriy sessiyangizni olib yuradigan xavfsizlik devori qoidalarini o‘zgartirishdan oldin ikkinchi kanalni saqlang: konsol, ketma-ket ulanish yoki bekor qilmasangiz yangi qoidalarni olib tashlaydigan rejalashtirilgan qaytarish.

Agar o‘zgarish haqiqatan sizni tashqarida qulflasa, tiklash o‘sha kanal orqali bo‘ladi, hozir olib tashlagan tarmoq orqali emas. Oldingi qoidalar to‘plamini saqlangan nusxadan tiklang, xost yana yetib boriladigan ekanini tasdiqlang, shundan keyingina mo‘ljallangan siyosatni kichikroq bo‘laklarda qo‘llang.

Yakuniy siyosat universal emas. Manzillash, marshrutlash va xavfsizlik devori tatbiqi joylashtirish kiritmalari, lekin chegara hamma joyda bir xil: ruxsat etilgan tunnelni olib yuruvchi boshqaruv trafigini saqlab, istalmagan ilova kirishini rad eting.