Kò sí tun0? Bá IPsec tí a ti yọ kóòdù mu nínú nftables pẹ̀lú meta ipsec

O ń retí interface tunnel kan, o ń wá a, kò sì sí nǹkan láti bá mu nínú firewall. Èyí jẹ́ deede fún ẹnu-ọ̀nà tó dá lórí ìlànà: ìpàdé tí a fi kóòdù pa dé lórí interface ti ara, àti pákẹ́tì inú tí a ti yọ kóòdù tí wọ́n ń fi kọjá lẹ́yìn náà pẹ̀lú ni a ń rí bí ó ti ń dé lórí interface kan náà. Kò sí tun0 nítorí pé kò sí nǹkan tó dá a.

Ìbéèrè inú ṣì jẹ́ pákẹ́tì ọ̀tọ̀ pẹ̀lú orísun, ibi-àfojúsùn àti iṣẹ́ tirẹ̀, àti kernel mọ èyí tí ìdàpọ̀ ààbò tó jáde látinú rẹ̀. Ìmọ̀ yẹn gan-an ni òfin firewall lè bá mu.

Pákẹ́tì méjì, interface kan

Fojú inú wo ọ̀nà tó ń wọlé. Pákẹ́tì tí a fi ESP tàbí UDP ká dé, kernel wá ìlànà tó bá mu, yọ kóòdù rẹ̀, ó sì fi pákẹ́tì kedere fún ọ̀nà gbígbé kọjá. Òfin tó kàn ń wo orúkọ interface kò lè yà pákẹ́tì yẹn ya kúrò nínú ìrìnàjò mìíràn tó ń dé lórí waya kan náà.

Ohun tó yà á ya ni ipò ọ̀nà ààbò tó ń wọlé tí a so mọ́ pákẹ́tì náà. nftables fi í hàn gẹ́gẹ́ bí meta ipsec exists, èyí tó jẹ́ òtítọ́ nígbà tí pákẹ́tì bá dé nípasẹ̀ ọ̀nà ààbò IPsec. So ó pọ̀ mọ́ àkójọ oníbàárà, ibi-àfojúsùn àti iṣẹ́, òfin náà yóò di pàtó tó láti jẹ́ ààbò.

Fífi ipò náà sílẹ̀ ni àṣìṣe tó wọ́pọ̀, ìyẹn sì jẹ́ àṣìṣe ààbò kì í ṣe ti ẹwà. Òfin tó ń gba ohunkóhun tó ti àkójọ oníbàárà wá yóò tún gba pákẹ́tì ẹni tí a ṣe àdápaṣan láti nẹ́tíwọ́kì àdúgbò pẹ̀lú ìdùnnú kan náà, nítorí pé àdírẹ́sì orísun fúnra rẹ̀ kì í ṣe ẹ̀rí fún ohunkóhun. Ipò ọ̀nà ààbò ni ọ̀nà tó rọ̀ jùlọ láti mú kí orísun ní ìtumọ̀. Kọ òfin náà pẹ̀lú rẹ̀ láti ìbẹ̀rẹ̀ dípò kí o fi kún un lẹ́yìn àyẹ̀wò.

Kọ òfin gbígbé kọjá

Gbà á wí pé iṣẹ́ ìwọlé ọ̀nà jíjìn IPv4 tí a fìdí rẹ̀ múlẹ̀ wà pẹ̀lú oníbàárà nínú 10.90.0.0/24 àti ibi-àfojúsùn kan tí a fọwọ́ sí ní 203.0.113.40. Ẹ̀ka òfin fún ṣísàn yẹn rí báyìí.

meta ipsec exists ip saddr 10.90.0.0/24 \
  ip daddr 203.0.113.40 tcp dport 443 \
  oifname "eth0" counter accept

Àwọn àdírẹ́sì àti interface jẹ́ àpẹẹrẹ láti rọ́pò. Fi ohun tó dọ́gba tí a ti ṣàyẹ̀wò sí nínú ìlànà gbígbé kọjá ṣáájú òfin tó ìbá kọ̀ ṣísàn náà, má sì da àkójọ òfin tó wà nù láti fi í sórí; ẹnu-ọ̀nà kì í ṣe ìdánwò yàrá mímọ́.

Ọ̀rọ̀ oifname yẹ láti wà. Ó ń ṣàkọsílẹ̀ ìpinnu ìjáde àti ó ń dá òfin lọ́wọ́ láti bá mu ní ọ̀nà tí o kò pète, èyí tó ṣe pàtàkì lórí ẹnu-ọ̀nà tó ní ọ̀nà mélòó kan sí internet. Lórí àpótí ìdánwò tó ní ìsopọ̀ òkè kan, ọ̀rọ̀ náà dàbí àfikún, ìdí náà sì ni wọ́n fi yọ ọ́ kúrò kí àpótí náà tó ní ìsopọ̀ kejì.

Àwọn àṣẹ fún ìpàdé òde yàtọ̀. Ọ̀nà ìwọlé ẹnu-ọ̀nà nílò àwọn ibùdókọ̀ IKE àti ESP tàbí ìpòwá UDP tí ó ń lò gan-an, àwọn àṣẹ yẹn kò sì gba ohunkóhun nípa pákẹ́tì tí a ti yọ kóòdù nínú. Dídàpọ̀ méjèèjì ni ọ̀nà tí tunnel tó ń ṣiṣẹ́ fi parí pẹ̀lú firewall tó ń gbé ohun gbogbo kọjá.

Ipò tó ń wọlé kì í ṣe ipò tó ń jáde

Ìdílé ọ̀rọ̀ kan náà ń bo ọ̀nà kejì pẹ̀lú rt ipsec, èyí tó ń ṣàpèjúwe ìdàpọ̀ ààbò ìjáde tí pákẹ́tì yóò lò. Ó ń dá ìbéèrè mìíràn lóhùn: kì í ṣe ibi tí pákẹ́tì yìí ti wá, bí kò ṣe bóyá a ó dáàbò bò ó ní apá tó kàn.

Ìyàtọ̀ yẹn ṣe pàtàkì lórí ẹnu-ọ̀nà tó ń parí tunnel kan tí ó sì ń gbé kọjá sínú òmíràn lákòókò kan náà. Pákẹ́tì lè dé pẹ̀lú kóòdù tí a ti yọ àti síbẹ̀ ó ní láti jáde pẹ̀lú kóòdù, àti ìgbàlá tí a kọ fún ipò tó ń wọlé nìkan kò sọ ohunkóhun nípa ohun tí a nílò ní ìjáde. Tí ìlànà bá nílò ààbò yẹn, àkójọ òfin yẹ láti fi í hàn dípò kí ó gbà wí pé ìṣàtọ́nà yóò ṣe é.

Fi ìbéèrè méjèèjì pamọ́ nínú òfin ọ̀tọ̀ kí olùkàwé lè rí èyí tí a ń fi agbára mú. Òfin ọlọ́gbọ́n kan tó ń ṣàyẹ̀wò méjèèjì ṣòro láti ṣàyẹ̀wò àti ó ṣòro gidigidi láti yanjú nígbà tí ìlàjì rẹ̀ bá jáwọ́ bá mu. Òfin méjì tó ní àwọn olùkà ń sọ fún ọ èyí tí ohun tí a nílò ń kùnà, èyí tí òfin àpapọ̀ kan kò ní ṣe láé.

NAT kì í ṣe ìpinnu firewall

Ìrìnàjò sí internet láti àkójọ oníbàárà aládàáni sábà nílò ìtumọ̀ orísun kí ìdáhùn lè rí ọ̀nà padà. Ṣùgbọ́n ìrìnàjò tí a yàn fún ìlànà IPsec ìjáde mìíràn gbọ́dọ̀ pa àyọkùrò tó nílò mọ́, àti fífi gbogbo orísun aládàáni bò láìronú nípa ìpinnu ààbò tó kàn ń ba èyí jẹ́.

Ìgbàlá nínú ẹ̀wọ̀n NAT pẹ̀lú kì í ṣe àṣẹ gbogbogbò. NAT àti àyọ̀ṣẹ̀ ní iṣẹ́ ọ̀tọ̀, ẹ̀wọ̀n NAT kò sì ń ṣàyẹ̀wò gbogbo pákẹ́tì tó kàn nínú ṣísàn tí a ti fìdí múlẹ̀, ìdí náà sì ni gbígbẹ́kẹ̀lé rẹ̀ fún ààbò ń mú àwọn òfin jáde tí ó dàbí ẹni pé wọ́n ń ṣiṣẹ́ nínú ìdánwò tí wọ́n sì kùnà lábẹ́ ẹrù.

Ìdí kejì pẹ̀lú òtítọ́, ó sì ń ya àwọn ènìyàn lẹ́nu: ìgbàlá kan ní ibìkan nínú ẹ̀wọ̀n ìpìlẹ̀ àyọ̀ṣẹ̀ kan kò ní ìwọ̀n kankan lòdì sí ìkọ̀sílẹ̀ tó kàn nínú ẹ̀wọ̀n mìíràn tó wúlò. Ìlànà àti ìwọ̀n ẹ̀wọ̀n náà ni ó ń pinnu àbájáde, kì í ṣe wíwà ìgbàlá nínú fáìlì.

Ṣàyẹ̀wò iṣẹ́ inú tó péye

Dán ibi-àfojúsùn àti ibùdókọ̀ pàtó tí o gbà láàyè wò láti ọ̀dọ̀ oníbàárà gidi, kí o sì fìdí rẹ̀ múlẹ̀ pé ìdáhùn ń padà bọ̀. Lẹ́yìn náà dán ohun tí o kò gbà láàyè wò kí o sì ṣàyẹ̀wò pé kò kọjá, nítorí pé òfin tó gbòòrò jù yóò kọjá ìdánwò àkọ́kọ́ bí òfin tó tọ́. Ìbéèrè tí kò jáde kúrò lọ́dọ̀ oníbàárà rárá kì í ṣe àbájáde firewall pẹ̀lú, nítorí náà ka àwọn olùkà láti rí i bóyá a ti ṣàyẹ̀wò pákẹ́tì náà rárá. Ìdánwò méjì àti kíkà olùkà kan yóò sọ fún ọ ju ọ̀sán gbogbo tí a fi ka àkójọ òfin lọ.

Ìwé ìtọ́kasí nftables ń ṣàkọsílẹ̀ meta ipsec, rt ipsec àti àwọn gbólóhùn tó yàtọ̀ fún ọ̀nà, ibẹ̀ sì ni ibi láti ṣàyẹ̀wò ìṣọ̀rọ̀-ọ̀rọ̀ pẹ̀lú ẹ̀dà tí o ti fi sílẹ̀. Kí o sì pa ìwọ̀n mọ́ kedere: àpẹẹrẹ IPv4 ni èyí, kò sọ ohunkóhun nípa IPv6, kò sì sọ gbígbé ibùdókọ̀ gbangba àìnídìí di apá kan iṣẹ́ VPN.