Nima uchun uy NAT'i VPN interfeysingizni himoya qilmaydi
Uy routeri tunnelni uzatadi, lekin host shifri ochilgan paketni baholaydi. Tinglovchini, ichki yo'lni va kirish siyosatini alohida o'qing.
Port yo'naltirishsiz uy routeri orqasidagi noutbuklar VPN orqali keladigan SSH ulanishlarini hanuz qabul qiladi. Bu qarama-qarshilik emas, chunki ikki xil qurilma ikki xil paketni baholaydi. Router shifrlangan transportni uzatadi, host esa tunnel interfeysiga yetib kelgan shifri ochilgan paket bilan nima qilishni hal qiladi. Bu ikki qarorni ajratib turish butun mashqdir.
Router tunnelni uzatadi, host paketni baholaydi
Bitta qoidaga qarashdan oldin uzoq manbadan xizmatgacha yo'lni chizing. Tashqi qism VPN transporti bo'lib, uni router va gateway boshqaradi. Ichki qism endpoint tunnel qatlamini olib tashlagach va host o'z VPN manziliga yo'naltirilgan paketni olgach boshlanadi.
Bu ikki qismni birlashtirsangiz, router host qabul qiladigan qaror uchun kredit oladi. Port yo'naltirish sahifasi yoki router jurnali faqat tashqi suhbatlarni tasvirlaydi va hech biri host qaysi shifri ochilgan trafikni qabul qilishini aytmaydi. Host ichki paketga o'z kirish siyosatini qo'llaydi, xuddi interfeysga kelgan har qanday paketga qo'llagandek. Aynan shu siyosatda ta'sirlanish masalasi hal bo'ladi.
Joker tinglovchi ommaviy xizmat emas
Linuxda INADDR_ANY manziliga bog'lanish har bir mahalliy manzilni bildiradi, shuning uchun xizmat hech qachon nomlamagan tunnel interfeysida javob berishi mumkin. IP soketi ma'lumotnomasi bu bog'lanishni tasvirlaydi va tinglovchilar ro'yxatidan xulosa chiqarishdan oldin uni o'qishga arziydi. Joker yozuv soket haqidagi fakt, erishish mumkinligi haqidagi bayonot emas.
Quyidagi ikki satr bir xil xizmatning ikki xil bog'lanishidir va farq interfeys muhimmi degan savolning butun javobidir. Avvalo soket qaysi manzilda o'tirganini o'qing.
ss -lntp "sport = :22"
LISTEN 0 4096 0.0.0.0:22 0.0.0.0:* users:(("sshd",pid=812,fd=3))
LISTEN 0 4096 10.8.0.6:22 0.0.0.0:* users:(("sshd",pid=812,fd=4))Portga yetib borishi mumkin bo'lgan tartibni nomlang
Uch tartib paketni shu interfeysga qo'yadi va ularning egalari har xil. To'g'risini nomlash kim siyosatni o'zgartirishi kerakligini hal qiladi.
| Arrangement | What reaches the port | Where the decision lives |
|---|---|---|
| Another permitted VPN peer | A packet from the same tunnel subnet | Gateway forwarding policy and host input rules |
| A deliberate public forward | Traffic the gateway publishes on purpose | Gateway service definition |
| A subnet routed behind the gateway | Client traffic from the far side | Gateway route and host input rules |
Ommaviy chiqish manzilini ko'rsatadigan brauzer natijasi uchtasining hech biri haqida hech narsa demaydi, chunki u chiquvchi trafik qanday chiqishini tasvirlaydi, kiruvchi trafikga nima ruxsat berilganini emas. Buning o'rniga tinglovchidan va xizmat jurnalidagi manba manzilidan orqaga qarab ishlang. Agar manba boshqa tunnel peeri bo'lsa, gateway siyosati qiziqarli hujjatdir. Agar u tarjima qilingan manzil bo'lsa, qoidani o'zgartirishdan oldin tarjimani toping.
Xizmatni mo'ljallagan yo'l bilan cheklang
Agar SSH faqat boshqaruv yo'lidan kerak bo'lsa, o'sha yo'lni manba diapazoni va interfeys sifatida yozing. Keyin hostning kirish qoidalarini tarmoq nomi bo'yicha emas, interfeys, manzil va manba bo'yicha cheklang, chunki shaxsiy ko'rinadigan nom har qanday manzilni anglatishi mumkin. Keyingi muammoni hal qiladigan kishi uchun marshrut qoldiring.
nft add rule inet filter input iifname "tun0" ip saddr 10.8.0.0/24 tcp dport 22 accept
nft list chain inet filter inputTunnel interfeysi va boshqaruv diapazonini nomlaydigan qoida niyatni bir joyda bayon qiladi. Uni Wi-Fi tarmog'i uchun yozilgan qoida bilan solishtiring, u shifri ochilgan tunnel trafigi haqida hech narsa demaydi. Ikki qatlam kelishmasa, paket duch keladigan siyosat host siyosatidir.
Kirishlar va yamoqlarni aynan joyida qoldiring; portga yetib borish hech qachon undan foydalanishga ruxsat olish bilan bir xil bo'lmagan. Har qanday notanish manba uchun manzil oilasi va vaqtni yozib oling va biron xususiyat yoki zaiflikni ayblashdan oldin tekshirib chiqing. Har bir tunnel peerini qabul qiladigan qoida boshqaruv subnetini qabul qiladiganidan boshqa dizayndir va hech qanday jurnal satri qaysi biri mo'ljallanganini aytmaydi.
Tuzatishni bitta muvaffaqiyat va bitta rad etish bilan qabul qiling
Ikkala yarmini isbotlang: bitta ruxsat etilgan ulanish muvaffaqiyatli bo'ladi va bitta chiqarib tashlangan yo'l rad etiladi. Rad etish odamlar o'tkazib yuboradigan yarmdir va qoida ruxsat beruvchi standart yonida turmay, ish qilayotganini ko'rsatadigan ham shu. Bu haqda mulohaza yuritish o'rniga chiqarib tashlangan tomondan sinab ko'ring.
Juftlikni qayta ulangandan keyin takrorlang, chunki boshqa interfeys nomi bilan qaytgan tunnel eski nomga cheklangan qoidani jimgina chetlab o'tishi mumkin. Muhim chegara host haqiqatda oladigan paketlarga qo'llaydigan chegaradir.