Faqat NEW uchun mo'ljallangan fayervol qoidalari har bir WAN yo'lini yopmaydi

WANda yangi chiquvchi ulanishlarni rad etish nosozlikda yopiladigan siyosatga o'xshaydi, ammo ko'rinadiganidan torroq va'dadir. Allaqachon mavjud oqimlarga tegishli paketlar unga mos kelmaydi, ko'plab javoblar ham mos kelmaydi. Bu bo'shliqni o'tkazib yuborish oson, chunki qoida interfeysni qamrab olgandek o'qiladi, undagi bitta ulanish holatini emas. Holat mosligini hukm sifatida o'qish esa yolg'on yopiqlik hissini tug'diradi.

Holat moslik sharti, hukm emas

Ulanishlarni kuzatish paketlarni fayervol allaqachon ko'rgan narsaga qarab tasniflaydi, ilova ishonadigan narsaga qarab emas. Ikkala yo'nalishda kuzatilgan oqim o'rnatilgan hisoblanadi va uning keyingi paketlari ostidagi marshrut tunneldan oddiy yuqori liniyaga o'zgarsa ham o'rnatilgan bo'lib qoladi. Kiruvchi ulanishga berilgan javob ham o'rnatilgan trafik bo'lishi mumkin. Bu paketlar hech qachon yana yangi bo'lmaydi.

Shuning uchun faqat yangi ulanishlar bilan cheklangan qoida har bir himoyalangan paket bloklanganini isbotlay olmaydi. U boshqa holatlarni qoidalar to'plamining qolgan qismi ular bilan nima qilishiga qoldiradi, bu esa zanjirda avvalroq qo'yilgan ruxsat bo'lishi mumkin.

Qoidani uning atrofidagi sharoitda o'qing

Bloklashdan oldin qo'yilgan, o'rnatilgan va bog'liq trafik uchun keng ruxsat paketni bloklash baholanmasdanoq o'tkazib yuboradi. Holat shartini keyingi qoidadan olib tashlash buni o'zgartirmaydi, chunki baholash u yerga hech qachon yetib bormaydi. Natijani tartib hal qiladi, qaysi paketlar shu tartibga yetib borishini esa holat mosligi hal qiladi.

Tahrir qilgan faylni emas, amaldagi qoidalar to'plamini tekshiring, boshqa zanjirlarga sakrashlar va platforma yaratadigan hamma narsa bilan birga. iptables bilan boshqariladigan routerda zanjirni ro'yxatlash qoidalar ta'riflarini ko'rsatadi va u havola qiladigan zanjirlar ham kuzatilishi kerak. Mahalliy nftables tizimi o'z qoidalar to'plamini va ilgak ustuvorliklarini tekshirishni talab qiladi, chunki proshivka bir xil zanjirlarni kamdan-kam yaratadi.

Hisoblagichlar qaysi qoida haqiqatan mos kelganini aytadi va ular odatda qarordan keyin olingan paket tutishdan ko'ra ko'proq ma'lumot beradi. Hisoblagichi nol bo'lgan qoidaga yetib borilmagan, uning joylashuvi nima ishora qilmasin.

Taqiqni holatdan mustaqil ifodalang

Agar mijozlar guruhi hech qachon tunnel tashqarisida internetga chiqmasligi kerak bo'lsa, buni bitta holat bilan taxmin qilish o'rniga to'g'ridan-to'g'ri ayting. Qoida ulanish holatiga bog'liq bo'lmasdan manba, chiqish va manzil bo'yicha tanlashi va hech qanday avvalgi ruxsat uni chetlab o'ta olmaydigan joyda turishi kerak. Shunda boshqaruv kirishi va mahalliy tarmoq istisnolari o'z aniq qoidalariga ega bo'ladi, shu bilan niyat siyosatda ko'rinadi.

drop o'rniga reject tanlash mos kelgan trafikning qanday muvaffaqiyatsiz bo'lishini o'zgartiradi va qoida tanlaydigan paketlar to'plamini kengaytirmaydi. Rad etilgan ulanish va jim muddat tugashi bir xil tanlovga ishora qiluvchi turli belgilardir.

WAN orqali masofadan boshlangan kirishga javoblarni ataylab ruxsat beradigan siyosat himoya qilinishi mumkin. Faqat uni tunnel orqali to'liq izolyatsiya sifatida taqdim etish o'rniga shunday tasvirlash kerak.

Guruhda haqiqatan kim borligini tekshiring

Misol bitta interfeysdan bitta prefiksning yo'naltirilgan IPv4 trafigini qamrab oladi. U IPv6, ikkinchi yuqori liniya yoki routerning o'zi yaratadigan trafik haqida hech narsa aytmaydi. DNS hal qiluvchi sifatida ishlaydigan router o'zining yuqori so'rovlarini yuboradi va ular forward zanjiridan umuman o'tmaydi.

Himoyalangan mijozlarda hanuz tanlangan prefiks ichida manzillar borligini tasdiqlang, chunki undan tashqariga chiqqan qurilma siyosat bo'yicha emas, tasodifan to'g'ridan-to'g'ri bo'ladi. Istisnolar dizaynini ko'rib chiqmasdan blokni butun LANga kengaytirish ham odatda o'z ma'muriy yo'lingizni olib tashlaydi.

iptables -S FORWARD
iptables -L FORWARD -v -n
cat /proc/net/nf_conntrack | grep -c ESTABLISHED

So'ng eski oqimni yangisi yonida sinab ko'ring. Yangi ulanish urinishi va allaqachon faol ikki tomonlama uzatish bu qoida ostida turlicha tutadi va faqat ikkalasini sinash qanday siyosat borligini ko'rsatadi.