Administrace komentářů

Firewall na Linuxu se jmenuje nftables a ovládá se příkazem nft. Konfigurace je v /etc/nftables.conf.

Pokud nějaký návod používá jakési příkazy a technologie z 0. let 21. století, ve 20. letech 21. století je vhodné takový návod ignorovat a najít místo něj nějaký aktuální.

Logická chyba je (tipuju) v tom, že spojení se do stavů related ani established nemá jak dostat. Alespoň z jednoho směru je potřeba bezpodmínečně přijmout alespoň první paket.

Někdo si s tím pečlivě hraje a určuje přesně, kudy a kam smí projít prví TCP SYN a první TCP DCERA, zatímco já na to většinou seru a nastavím to „tak nějak, aby to fungovalo“. Konfigurace pro forward vypadá u mě asi takto (po vynechání pár extra kdesicosů):

chain forward {
    type filter hook forward priority filter; policy accept;
    ip6 nexthdr esp meta mark set meta mark | 0x00000101  # IPSec
    ip protocol esp meta mark set meta mark | 0x00000101  # IPSec
    meta mark & 0x00000101 == 0x00000101 accept           # IPSec
    ct state { established, related } accept
    ct state invalid drop
    iifgroup 99 accept            # důvěryhodná rozhraní (802.1x + WPA3/MACsec)
    iifgroup 72 jump outer_spoof  # vnější (v nějakém smyslu) rozhraní
    oifgroup 72 jump outer_reject
    oifgroup 72 tcp flags syn tcp option maxseg size set rt mtu
    tcp dport 22 accept
    ip6 nexthdr ipv6-icmp accept
    ip protocol icmp accept
    reject
}

chain outer_spoof {
    ip6 saddr xxxx:yyyy:zzzz::/48 drop
    ip saddr 10.x.y.z/16 drop  # nesmysl z roku 1975
    return
}

chain outer_reject {
    ip6 daddr xxxx:yyyy:zzzz::/48 reject with icmpv6 port-unreachable
    ip daddr 10.x.y.z/16 drop  # nesmysl z roku 1975
    return
}

Samozřejmě to není v žádném smyslu ideální nastavení; podstatná část je jakýsi kompromis, který se vzdává paranoidního schovávání klientů ve vnitřní síti ve prospěch rozumně rychlého odmítnutí spojení na neplatné adresy (což potřebuju mít funkční) atd.