DNS javobi holatsiz VPN chekkasi xavfsizlik devorida nima uchun muvaffaqiyatsiz bo‘ladi

Tunnel ishlayapti, mijozlar VPN xostiga yetib boradi, lekin xost hech narsani hal qila olmaydi. Uning o‘zining chiquvchi so‘rovlari interfeysni toza tark etadi, demak nosozlik qaytish yo‘lida: xost hozir yuborganini eslab qolmay turib kiruvchi trafikni filtrlaydigan yuqori chekkada. Tunnel portiga ruxsat berish bu almashinuvni umuman tasvirlamaydi. DNS so‘roviga javob alohida oqim, va agar chekka holatsiz bo‘lsa, unga qaytishga hech narsa ruxsat bermagan.

Ikki almashinuv bir xil almashinuv emas

Tuplelarni yozing va xato ayon bo‘ladi. So‘rovning manzil porti javobning manba portiga aylanadi, bu esa 53-port uchun kiruvchi qoida qo‘shganda ko‘pchilik tasavvur qilganining aksidir:

query:  203.0.113.10:53018 -> 198.51.100.53:53
reply:  198.51.100.53:53 -> 203.0.113.10:53018

Manzil porti 53 ni talab qiladigan kiruvchi qoida xostda ishlayotgan DNS tinglovchisiga yo‘naltirilgan trafikni tasvirlaydi, bu esa butunlay boshqa xizmat. O‘sha manzillar hujjat namunalari, manba portni esa mijoz har bir so‘rov uchun tanlaydi, shuning uchun bu qoidaga ko‘chirib, ishlashda davom etadi deb kutish mumkin bo‘lgan qiymat emas.

Holatsiz chekka va holatli xost xavfsizlik devori

Holatsiz chekka filtri har bir kiruvchi paketni orqasida ulanish jadvali bo‘lmagan holda o‘z qoidalar ro‘yxatiga ko‘ra baholaydi. Muvaffaqiyatli chiqqan chiquvchi so‘rov o‘zining kiruvchi javobi uchun hech qanday ruxsat yaratmaydi, chunki qurilmada so‘rov bo‘lgani haqida hech qanday yozuv yo‘q. Holatli xost xavfsizlik devori buning aksi: uning ulanish kuzatuvi ruxsat etilgan almashinuvning qaytish trafikini taniydi va javob uchun qoidasiz o‘tkazadi. Ikkala chegara ham odatiy yo‘lda mavjud, va ikkalasi ham mo‘ljallangan paketga ruxsat berishi kerak.

Taqqoslash muhim, chunki ikki qurilma turlicha muvaffaqiyatsizlikka uchraydi. Javobni rad etuvchi holatli xavfsizlik devori tashlab yuborishni qayd etadi; holatsiz chekka uni jimgina rad etadi, shuning uchun xost shunchaki vaqt tugashiga yetadi.

Ruxsatni port raqami emas, protokol atrofida quring

Qoidani haqiqiy rezolver manzillari, manzil xosti va mahsulot qo‘llab-quvvatlaydigan qabul porti siyosati bilan cheklang. DNS ning TCP yo‘lini ham yodda tuting, chunki katta javob yoki qisqartirish sababli orqaga qaytish almashinuvni TCP ga o‘tkazadi va faqat UDP qoidasi uni qamrab olmaydi. Agar chekka belgilangan oqim uchun holatli tekshiruvni qo‘llab-quvvatlasa, qo‘lda yozilgan javob qoidasidan ko‘ra uni afzal ko‘ring, chunki holatli yo‘l mijoz tanlagan portlarni o‘zi kuzatib boradi.

So‘ngra yo‘ldagi qaysi mahsulot trafikni haqiqatan filtrlayotganini tasdiqlang. Hujjatlashtirilgan IPv4 chekka qamrovi IPv6 siyosatini o‘rnatmaydi, provayder ichidagi trafik esa o‘sha filtrdan hech qachon o‘tmasligi mumkin.

Nima uchun har qanday manba port 53 ga ruxsat berish tuzatish emas

Manba port 53 deb da'vo qilgan har narsani qabul qiladigan qoida — jo‘natuvchi sarlavha maydoniga yozgan narsani qabul qiladigan qoida. Port raqami jo‘natuvchini autentifikatsiya qilmaydi va yukning haqiqiy javob ekanini isbotlamaydi, shuning uchun qoida hal qilishni ishonchliroq qilmasdan xostning ta'sir doirasini kengaytiradi. Kirish ro‘yxatini soddalashtirish uchun ularni o‘chirish o‘rniga manba cheklovlarini va mijozning o‘z javob tekshiruvlarini, jumladan manba portini tasodifiylashtirishni saqlang.

Agar rezolver siz boshqaradigan xizmat bo‘lsa, uning manzillari bilan cheklash kifoya. Agar u ommaviy rezolver bo‘lsa, siz tasdiqlagan manzillar bilan cheklang va ularni qoida izohida yozib qo‘ying.

To‘g‘ri chegarada, to‘g‘ri yo‘nalishda tekshiring

Bir xil so‘rov uchun xostda va chekkada qayd eting, paket sonlarini emas tuplelarni taqqoslang. Ikki tomonda ko‘rinadigan, lekin xost tomonida javobi ko‘rinmaydigan so‘rov kiruvchi filtrga ishora qiladi; faqat xost tomonida ko‘rinadigan so‘rov marshrutlashga yoki rezolverning o‘ziga ishora qiladi. Agar faqat UDP ruxsatingiz bo‘lsa, TCP so‘rovi bilan takrorlang, chunki birinchi sinov ko‘ra olmaydigan bo‘shliq aynan shu.

Buni tuzatish xostga haqiqatan kerak bo‘lgan DNS almashinuvini yakunlaydi. Bu xostni ommaviy rezolverga aylantirmaydi, yo‘naltirilgan VPN oqimlariga ruxsat bermaydi va DNS qandaydir aloqasiz tunnel muammosining sababi bo‘lganini isbotlamaydi.