SSH va VPN kirish qoidalari: ruxsat ro’yxati aslida nimani boshqaradi

Qoidani o’zgartirishdan oldin bir marta ulanib, mijoz osilib qoladimi yoki darhol rad etiladimi, yozib oling. Aynan shu bitta farq qaysi qaror paketni tashlaganini aytadi va siyosat fayllarini o’qishga ketadigan bir soatni tejaydi. Yo’lning qolgani qisqa: paket ilgakdan o’tadi, qoidaga mos keladi va yo tinglovchiga yetadi, yo yetmaydi. Ruxsat ro’yxati ana shu uch fakt atrofidagi hisob-kitob xolos.

Bitta SSH urinishini kirish ilgagigacha kuzatib boring

Mijoz xost manziliga 22-port orqali SYN yuboradi va yadro bu paket mahalliy xizmat uchunmi yoki yo’qmi, hal qiladi. Agar shunday bo’lsa, kirish yo’li ishlaydi va qoidalar to’plami paketni qabul qiladi yoki tashlaydi. Sukut SYN tinglovchi uni ko’rishidan oldin o’lganini bildiradi, tez rad etish esa nimadir qayta o’rnatish bilan javob berganini bildiradi. Bu turli qoidalarning turli hukmlari va ikkalasi ham qonuniy natija.

Keyin tinglovchini tasdiqlang, chunki mavjud bo’lmagan xizmatni hech bir qoida qutqara olmaydi. ss -ltnp ni ishga tushiring va kutilgan port hamda manzil oilasiga nimadir bog’langanini tekshiring, so’ng mijozda ssh -v ni o’qib, u qayerda to’xtashini ko’ring.

Yo’naltirish alohida qaror

VPN serverida qiziqarliroq ilgak bu forward, chunki mijoz trafigi mashinaga yetkazilmaydi, balki uning ichidan yo’naltiriladi. Faqat o’z VPN mijozini ishga tushirgan xost boshqalarning paketlarini uzatadigan xostga qaraganda ancha kichik qoidalar to’plamiga muhtoj. Ikki dizaynni bitta mashinada aralashtirish to’g’ri ko’rinadigan va hech narsani o’tkazmaydigan qoidalarni keltirib chiqaradi.

Ichki siyosatni alohida savol sifatida yozing: qaysi mijoz manzillari tunnel orqali qaysi manzillarga yeta oladi. Ma’muriy yo’lni, masalan SSH ni, o’z manba cheklovi bilan kirish yo’lida saqlang. Sinov paytida qo’shilgan yumshoq forward qoidasi sinovdan uzoq yashaydigan klassik nuqson, shuning uchun o’zgarishdan keyin tahrir qilgan bitta satrni emas, butun to’plamni ko’rib chiqing. Tunnel tinglovchisini ochish har bir ulangan mijozga xostni boshqarish ruxsati emas.

Tashlash va rad etish — amallar, siyosat emas

Asosiy zanjir siyosati qabul qiladi yoki tashlaydi va bu tanlovlarning to’liq ro’yxati, nftables ma’lumotnomasi aytganidek. Rad etish tanlangan javobga ega qoida amali sifatida mavjud, shuning uchun uni siyosat sifatida yozish nftables da ham, iptables da ham muvaffaqiyatsiz bo’ladi. Amalda drop mijozga hech qanday ma’lumot bermaydi, reject esa unga ishlash mumkin bo’lgan xato beradi.

table inet admin {
    chain input {
        type filter hook input priority filter; policy drop;
        ct state established,related accept
        ip saddr 203.0.113.0/28 tcp dport 22 accept
        udp dport 51820 accept
        icmp type { destination-unreachable, time-exceeded } accept
    }
}

Bu eskizni yopishtiriladigan fayl emas, qarorning shakli sifatida o’qing, chunki manzil oraliqlari misollardir. SSH portidagi aniq reject ruxsatsiz mijozni kutish muddatini kutmasdan bir soniyada muvaffaqiyatsiz qiladi, bu esa sizning tuzatishingizni qisqartiradi. Sukut tasodifiy skanerlashni to’xtatadi va ruxsat berilgan foydalanuvchiga hech narsa demaydi. Har bir xizmat uchun tanlang va sababini yozib qo’ying, aks holda keyingi odam uni qaytaradi.

Haqiqatan kerak bo’lgan boshqaruv trafigini saqlang

Barcha ICMP ni bloklash — yo’lning MTU aniqlashini buzadigan mashhur standart va alomat kattaroq paketlarda to’xtab qoladigan ulanish. IPv6 da qo’shnilarni aniqlash o’zining ICMPv6 turlariga bog’liq va ularni tashlash har qanday TCP qoidasi ko’rilishidan oldin aloqani uzadi. Ikkalasi ham umumiy ruxsat sifatida emas, nomlangan bog’liqlik sifatida ruxsat ro’yxatiga kiradi. Aniqlashni jimgina buzadigan siyosat biroz diagnostik trafikni qabul qiladigan siyosatdan yomonroq.

O’zingiz boshlagan ulanishlar uchun established va related holatlariga ruxsat bering va javoblarni holatni kuzatuvchi dvigatelga qoldiring. So’ng javob yo’li uzoqroqda bloklanmaganini tasdiqlang, chunki faqat chiquvchi trafikka qo’yilgan yuqoridagi cheklov xostni ayblash arafasida bo’lgan aynan shu kutish muddatini keltirib chiqaradi.

Eski yo’ldan voz kechishdan oldin tiklanishni isbotlang

Konsol seansini ochiq tutib, o’zgarishni qo’llang va boshqa terminaldan butunlay yangi boshqaruv ulanishini oching. Mavjud seans hech narsani isbotlamaydi, chunki u har bir yangi kirishni bloklaydigan qoidadan omon qolishi mumkin, bu esa uni tarmoq devori ishidagi eng ishonchli yolg’on ijobiy natijaga aylantiradi. Agar kuzatuv tizimi xostni tekshirsa, birinchi ogohlantirishdan keyin emas, o’zgarishdan oldin uning manba manzilini qo’shing. So’ng bitta katta va bitta kichik paketni sinab, aniqlash hali ham ishlashini isbotlang.

VPN xizmati uchun hech qachon ulanmagan mijozdan takrorlang, chunki davom ettirilgan seans yangi seans kelishishi kerak bo’lgan holatni qayta ishlatishi mumkin. O’tgan aniq qoidalar to’plamini tekshiruv summasi yoki nusxa bilan yozib qo’ying, keyingi tahrir taxmin qilinmay, taqqoslansin. Qoidalar tartibi egasi bilan kelishing, chunki oldingi qoida siz qo’shgan qoidadan jimgina g’olib chiqadi.