Sut i gloi allbwn Linux fel na fydd dim yn gollwng pan gwymp y VPN

Dychmygwch flwch cyfryngau ar gyswllt cartref y dylai gyrraedd y rhyngrwyd drwy dwnnel yn unig. Pan fydd y twnnel yn cwympo, dylai'r rhaglen stopio yn lle parhau'n dawel dros y rhyngwyneb ffisegol. Mae cael yr ymddygiad hwnnw'n broblem mur gwarchod yn hytrach na phroblem llwybro, ac mae'r gwahaniaeth o bwys oherwydd gellir disodli llwybr wrth ailgychwyn daemon tra bo hidlydd yn aros lle y'i gosodwyd. Dyma sut mae llwybr y pecyn yn penderfynu mewn gwirionedd, ac yna sut i gyfyngu'r eithriadau sy'n cadw'r twnnel yn ailgysylltu.

Mae allbwn lleol yn fachyn gwahanol i anfon ymlaen

Mae pecyn sy'n gadael rhaglen ar y blwch yn croesi'r bachyn allbwn; mae pecyn y mae'r blwch yn ei lwybro ar gyfer gwesteiwr arall yn croesi anfon ymlaen. Mae polisi sy'n crybwyll forward yn unig yn cyfyngu'r ail ac yn gadael y cyntaf yn hollol agored, a dyna pam mae cymaint o gloeon allbwn yn edrych yn gywir ac yn gwneud dim. Mae paru rhyngwyneb yn perthyn i'r un rheol: mae oifname "tun0" accept yn gadael traffig sydd eisoes wedi'i lwybro allan drwy'r twnnel. Mae llwybro a hidlo hefyd yn parhau'n benderfyniadau ar wahân, felly gall llwybr cyswllt fodoli tra bo'r hidlydd yn gwrthod y pecyn. Y gwahaniad hwnnw yw'r mecanwaith rydych chi'n dibynnu arno.

Mae porth sy'n anfon ymlaen ar gyfer dyfeisiau eraill angen y ddau fachyn. Mae cloi allbwn yn unig yn diogelu'r blwch ei hun ac yn gadael pob cleient i lawr y llif yn rhydd i ollwng.

Ysgrifennwch y rhestr eithriadau o'r terfynbwynt tuag allan

Dechreuwch gyda therfynbwynt y twnnel: un cyfeiriad cyrchfan neu set fach gymeradwy, y protocol cludo a'r porthladd cyrchfan, er enghraifft udp dport 1194 ip daddr 203.0.113.7 accept. Os yw'r cleient yn datrys enw gwesteiwr, mae angen rheol ei hun ar y gyfnewidfa DNS gychwynnol, wedi'i chyfyngu i'r datryswr ac i borthladd 53, nid caniatâd blanced i gyfeiriad y datryswr hwnnw. Dylai pob eithriad enwi'r rheswm dros ei fodolaeth. Mae caniatâd ar gyfer yr holl draffig UDP i borthladd y VPN yn cwmpasu llawer mwy na'r un gwasanaeth dilysedig oedd gennych mewn golwg.

Datrys cychwynnol yw'r man lle mae cloeon fel arfer yn pydru. Mae angen ymddygiad diffiniedig ar set gyfeiriadau sy'n adnewyddu ar amserydd pan fydd yr adnewyddu'n methu, ac ni all yr ymddygiad hwnnw fod yn agor y cyswllt nes iddo lwyddo. Adnewyddwch dros y twnnel tra bo'r twnnel i fyny, ac fel arall dychwelwch at y terfynbwynt olaf y gwyddys ei fod yn iach.

Mae angen yr un driniaeth ar weinyddiaeth leol. Nid yw isrwydwaith rheoli'n ddibynadwy am fod ei gyfeiriadau'n breifat, ac mae rheol sy'n ymddiried ynddo'n gwahodd ail lwybr o amgylch y clo.

Nid yw paru rhyngwyneb yn brawf o dwnnel iach

Mae rheolau sy'n derbyn popeth sy'n gadael tun0 yn tybio bod pecyn ar y rhyngwyneb hwnnw wedi dod o'r twnnel. Mae enwau rhyngwyneb yn cael eu hail-greu, ac nid yw enw'n hunaniaeth grifftograffig. Gall y cymar fod wedi mynd hefyd tra bo'r rhyngwyneb yn aros i fyny, sy'n gwneud y rheol yn ddi-weithrediad hynod o argyhoeddiadol.

Mae olrhain cysylltiadau'n ychwanegu trap cysylltiedig. Mae rheol eang ar gyfer cysylltiadau sefydledig yn ailchwarae'r caniatâd a gafodd ffl ow yn gynharach, felly mae sesiwn a ddechreuodd cyn i'r twnnel gwympo yn parhau i weithio wedyn. Cyfyngwch dderbyniad cyflwr i'r rhyngwynebau a'r cyfeiriadau rydych chi'n eu hystyried mewn gwirionedd, neu rydych wedi adeiladu clo sy'n agor ei hun. Mae rheolau mewnbwn ac allbwn hefyd yn ateb cwestiynau gwahanol, ac mae caledu un wrth anwybyddu'r llall yn gadael y blwch yn gyrraeddadwy yn y cyfeiriad na chymerwyd sylw ohono.

Beth sy'n goroesi damwain daemon

Mae hidlydd a osodir gan sgript sy'n rhedeg ar ôl i'r twnnel godi yn diflannu gyda'r twnnel, yn union ar y foment yr oedd ei angen. Llwythwch y clo wrth gychwyn a gadewch i'r daemon reoli ei eithriadau'n unig.

Nid yw dileu'r llwybr diofyn yn ddirprwy chwaith. Mae'r llwybr yn gyflwr sy'n eiddo i'r daemon ac yn cael ei ailysgrifennu ganddo, ac mae ei dynnu'n gallu cymryd i ffwrdd y llwybr sydd ei angen i ailgysylltu. Mae angen ei gynllun ei hun ar IPv6, oherwydd mae darganfod cymdogion a hysbysebion llwybrydd yn wasanaethau cyswllt sy'n rhaid parhau i weithio tra bo traffig cyffredin wedi'i rwystro. Mae DHCP yn perthyn i'r un categori. Nodwch y rhain fel eithriadau â phwrpas, yn lle eu darganfod yn ddiweddarach fel methiannau.

Llwybr adfer cyn defnyddio

Profwch y clo fel y bydd yn methu: cychwyn heb dwnnel, lladd y daemon, newid y terfynbwynt ac ailgysylltu. Dylai pob achos atal y rhaglenni a gadael y sianel adfer yn gweithio. Gwnewch hyn o gonsol, oherwydd y plisgyn o bell yw'r sesiwn sydd fwyaf tebygol o gael ei chloi gan eich rheol eich hun.

Yna gwiriwch beth all rhaglen gyffredin ei gyrraedd o hyd, gyda chyrchfan ddiniwed a chais y gallwch ei wirio. Y canlyniad rydych ei eisiau yw gwrthodiad ar y cyswllt a llwyddiant drwy'r twnnel, nid tewfod ansicr a allai olygu'r naill neu'r llall. Cadwch y set rheolau o dan yr un perchennog â gweddill y mur gwarchod yn lle disodli'r holl dabl o sgript plisgyn. Mae polisi lle mae pob caniatâd yn gallu cyfiawnhau ei hun yn werth mwy na set rheolau hir na all neb ei hesbonio.