Ev NAT-ı VPN interfeysinizi niyə qorumur
Ev routeri tuneli yönləndirir, amma şifrəsi açılmış paketi host qiymətləndirir. Dinləyicini, daxili yolu və giriş siyasətini ayrı-ayrı oxuyun.
Port yönləndirməsi olmayan ev routerinin arxasındakı noutbuklar VPN üzərindən gələn SSH bağlantılarını yenə də qəbul edir. Bu ziddiyyət deyil, çünki iki fərqli cihaz iki fərqli paketi qiymətləndirir. Router şifrələnmiş nəqliyyatı yönləndirir, host isə tunel interfeysinə çatan şifrəsi açılmış paketlə nə etmək lazım olduğuna qərar verir. Bu iki qərarı bir-birindən ayırmaq bütün məşğələdir.
Router tuneli yönləndirir, host paketi qiymətləndirir
Hər hansı qaydaya baxmazdan əvvəl uzaq mənbədən xidmətə qədər yolu çəkin. Xarici hissə VPN nəqliyyatıdır və routerlə gateway tərəfindən idarə olunur. Daxili hissə endpoint tunel qatını çıxardıqdan və host öz VPN ünvanına ünvanlanmış paketi aldıqdan sonra başlayır.
Bu iki hissəni birləşdirsəniz, router hostun verdiyi qərara görə kredit qazanır. Port yönləndirmə səhifəsi və ya router jurnalı yalnız xarici söhbətləri təsvir edir və heç biri hostun hansı şifrəsi açılmış trafiki qəbul edəcəyini demir. Host daxili paketə öz giriş siyasətini tətbiq edir, sanki interfeysə gələn hər hansı paketə tətbiq edirmiş kimi. Məruz qalma sualı əslində məhz bu siyasətdə həll olunur.
Joker dinləyici ictimai xidmət deyil
Linux-da INADDR_ANY ünvanına bağlanmaq hər yerli ünvan deməkdir, buna görə xidmət heç vaxt adlandırmadığı tunel interfeysində cavab verə bilər. IP soket arayışı bu bağlanmanı təsvir edir və dinləyicilər siyahısından nəticə çıxarmazdan əvvəl onu oxumağa dəyər. Joker giriş soket haqqında faktdır, əlçatanlıq haqqında ifadə deyil.
Aşağıdakı iki sətir eyni xidmətin iki fərqli bağlanmasıdır və fərq interfeysin vacib olub-olmaması sualının bütün cavabıdır. Əvvəlcə soketin hansı ünvanda oturduğunu oxuyun.
ss -lntp "sport = :22"
LISTEN 0 4096 0.0.0.0:22 0.0.0.0:* users:(("sshd",pid=812,fd=3))
LISTEN 0 4096 10.8.0.6:22 0.0.0.0:* users:(("sshd",pid=812,fd=4))Porta çata biləcək quruluşu adlandırın
Üç quruluş paketi həmin interfeysə qoyur və onların sahibləri fərqlidir. Düzgün olanı adlandırmaq kimin siyasəti dəyişməli olduğunu həll edir.
| Arrangement | What reaches the port | Where the decision lives |
|---|---|---|
| Another permitted VPN peer | A packet from the same tunnel subnet | Gateway forwarding policy and host input rules |
| A deliberate public forward | Traffic the gateway publishes on purpose | Gateway service definition |
| A subnet routed behind the gateway | Client traffic from the far side | Gateway route and host input rules |
İctimai çıxış ünvanını göstərən brauzer nəticəsi üçünün heç biri haqqında heç nə demir, çünki gələn trafikin nəyə icazə verdiyini deyil, gedən trafikin necə çıxdığını təsvir edir. Bunun əvəzinə dinləyicidən və xidmət jurnalındakı mənbə ünvanından geriyə doğru işləyin. Mənbə başqa tunel peer-idirsə, gateway siyasəti maraqlı sənəddir. Əgər bu, tərcümə olunmuş ünvandırsa, qaydanı dəyişməzdən əvvəl tərcüməni tapın.
Xidməti nəzərdə tutduğunuz yolla məhdudlaşdırın
Əgər SSH yalnız idarəetmə yolundan lazımdırsa, o yolu mənbə diapazonu və interfeys kimi yazın. Sonra hostun giriş qaydalarını şəbəkə adına görə deyil, interfeys, təyinat və mənbəyə görə məhdudlaşdırın, çünki şəxsi görünən ad istənilən ünvanı ifadə edə bilər. Növbəti problemi həll edəcək şəxs üçün marşrutu saxlayın.
nft add rule inet filter input iifname "tun0" ip saddr 10.8.0.0/24 tcp dport 22 accept
nft list chain inet filter inputTunel interfeysini və idarəetmə diapazonunu adlandıran qayda niyyəti bir yerdə bildirir. Onu Wi-Fi şəbəkəsi üçün yazılmış qayda ilə müqayisə edin, o, şifrəsi açılmış tunel trafiki haqqında heç nə demir. İki qat ziddiyyət təşkil edəndə paketin qarşılaşdığı host siyasətidir.
Girişləri və yamaqları olduğu yerdə qoyun; porta çatmaq heç vaxt ondan istifadə etməyə icazə verilməklə eyni deyildi. Hər hansı tanış olmayan mənbə üçün ünvan ailəsini və vaxtı qeyd edin və bir xüsusiyyəti və ya zəifliyi günahlandırmazdan əvvəl araşdırın. Hər tunel peer-ini qəbul edən qayda idarəetmə subnetini qəbul edən qaydadan fərqli dizayndır və heç bir jurnal sətri hansının nəzərdə tutulduğunu deməyəcək.
Düzəlişi bir uğur və bir imtina ilə qəbul edin
Hər iki yarısını sübut edin: bir icazəli bağlantı uğur qazanır və bir istisna edilmiş yol imtina edilir. İmtina insanların atladığı yarıdır və qaydanın icazəli standartın yanında oturmadığını, iş gördüyünü göstərən də elə həmin yarıdır. Bunu müzakirə etmək əvəzinə istisna edilmiş tərəfdən sınaqdan keçirin.
Cütü yenidən qoşulmadan sonra təkrarlayın, çünki fərqli interfeys adı ilə qayıdan tunel köhnəsinə bağlanmış qaydanı səssizcə keçə bilər. Vacib olan sərhəd hostun həqiqətən aldığı paketlərə tətbiq etdiyi sərhəddir.