Pam na fydd rheol blocio cleient OpenVPN byth yn cyrraedd FORWARD

Gall dau gleient ar yr un gweinydd OpenVPN gyrraedd ei gilydd hyd yn oed ar ôl i chi ychwanegu rheol DROP ar gyfer eu pwll. Mae'r rheol yng nghadwyn FORWARD, mae'r traffig yn llifo'n amlwg, ac mae cownter y rheol honno'n aros ar sero. Y casgliad naturiol yw bod y mur tân wedi torri. Yn amlach, ni chyrhaeddodd y pecyn y gadwyn o gwbl.

Mae dau lwybr y gall pecyn cymar eu dilyn trwy weinydd OpenVPN, a'r ffurfweddiad sy'n eu penderfynu, nid y mur tân. Mae gwybod pa lwybr sy'n cael ei ddefnyddio yn dweud wrthych a yw rheol gwesteiwr hyd yn oed yn y lle iawn.

Dau lwybr y gall pecyn cymar eu dilyn

Gyda'r opsiwn anfon ymlaen mewnol wedi'i analluogi, mae pecyn o gleient A yn cyrraedd y rhyngwyneb twnnel gyda chyrchfan y tu mewn i gyfeiriad neilltuedig cleient B. Mae tabl llwybro'r gweinydd yn ei anfon yn ôl allan trwy'r un rhyngwyneb twnnel, oherwydd y gweinydd sy'n berchen ar y llwybr i gyfeiriad B. Llif i mewn ac allan trwy'r gwesteiwr yw hwn, a llwybr anfon ymlaen IPv4 sy'n ei werthuso.

Gyda'r opsiwn anfon ymlaen mewnol wedi'i alluogi, mae proses y gweinydd yn paru'r pecyn â chleient cysylltiedig ac yn ei ysgrifennu'n ôl i'r cleient hwnnw ei hun. Mae'r pecyn yn cael ei drin y tu mewn i'r daemon ac nid yw byth yn ail-fynd i mewn i'r ddyfais twnnel, felly mae llwybr anfon ymlaen y gwesteiwr yn cael ei hepgor yn gyfan gwbl. Mae llawlyfr OpenVPN 2.6 yn disgrifio'r opsiwn hwn fel anfon ymlaen mewnol cleient-i-gleient, a dyna'n union pam na all rheol mur tân y gwesteiwr ei weld.

Mae trydydd amrywiad yn bodoli mewn gosodiadau sy'n dadlwytho'r sianel ddata i fodiwl cnewyllyn. Mae'r penderfyniad anfon ymlaen a'r amgryptio yn symud allan o'r gofod defnyddiwr, ac mae a yw netfilter yn gweld y llif yn dibynnu ar sut mae'r llwybr dadlwytho wedi'i adeiladu. Peidiwch byth â chymryd yn ganiataol bod hen set rheolau'n ymddwyn yr un fath ar weinydd dadlwytho ag ar un yn y gofod defnyddiwr. Cadarnhewch y modd o'r ffurfweddiad sy'n rhedeg, nid o fersiwn y pecyn.

Pan na fydd y cownter byth yn symud

Mae cownter sero'n golygu na chyfatebodd y pecyn â'r rheol honno ar y pwynt hwnnw, ac mae sawl rheswm. Y cyntaf yw'r osgoi uchod: ni chyrhaeddodd y traffig y gadwyn. Yr ail yw anghysondeb mewn rhyngwyneb, cyfeiriad, ffynhonnell neu gyrchfan, sy'n gyffredin pan ailenwyd y pwll a'r rheol yn dal i enwi'r hen ragddodiad.

Y trydydd yw safle. Gall rheol yn gynharach yn y gadwyn dderbyn y llif cyn i'ch DROP gael ei werthuso, a gall rheol hwyrach fod yr un sy'n penderfynu'r canlyniad mewn gwirionedd. Darllenwch y gadwyn yn y drefn gyda'r cownteri'n weladwy, yna gwiriwch gowntr pa reol sy'n cynyddu pan fyddwch yn ailadrodd y prawf.

Cynhaliwch un cyfnewid rheoledig rhwng dau gleient y gwnaethoch gadarnhau eu gwir gyfeiriadau o gyflwr y gweinydd ei hun, nid o les rydych yn ei gofio. Os nad yw'r cownter perthnasol yn symud o hyd, aroglwch y llwybr cyn ailysgrifennu'r cyfatebiaeth. Os yw'n symud ond mae'r cysylltiad yn dal i lwyddo, mae'r gollwng yn cael ei threchu'n hwyrach a'r drefn sydd ar fai. Mae'r ateb hwnnw'n penderfynu ai newid rheol neu newid topoleg yw'r atgyweiriad, felly cewch ef cyn golygu unrhyw beth.

Dewis ffin sy'n gallu hidlo

Os oes rhaid i'r polisi fyw ym mur tân y gwesteiwr, rhowch y traffig lle mae'r mur tân yn gallu ei weld. Analluogi anfon ymlaen mewnol yw'r ffordd a gefnogir i wneud i draffig cymar groesi'r rhyngwyneb twnnel a'r llwybr anfon ymlaen, ar gost anfon pob pecyn cymar trwy stac y gwesteiwr.

Yna cyfatebwch y llif yn fanwl. Mae'r traffig yn cyrraedd y rhyngwyneb twnnel ac yn gadael ar y rhyngwyneb twnnel, yn y ddwy gyfeiriad, felly ni fydd rheolau sy'n ystyried y rhyngwyneb ffisegol yn unig yn cyfateb. Mae angen y pwll cyfredol ar reolau sy'n seilledig ar gyfeiriadau, ac maent angen ystyried y cyfeiriad dychwelyd yn ogystal â'r un ymlaen.

Mae llawer o osodiadau'n cael gwell gwasanaeth trwy hidlo ar lefel cleient neu grŵp, lle mae'r hunaniaeth yn hysbys ac mae'r polisi'n dilyn y defnyddiwr yn hytrach nag ar gyfeiriad sy'n newid wrth ailgysylltu. Mae hwnnw'n fecanwaith gwahanol i gadwyn gwesteiwr, ac ni ddylid cymysgu'r ddau heb reswm clir.

Peidiwch â chario set rheolau hen dopoleg trwy ymfudo heb ei newid. Mae pyllau cyfeiriadau, enwau rhyngwynebau a moddau anfon ymlaen i gyd yn effeithio ar a yw rheol yn cyfateb, a rheol wedi'i chopïo a arferai weithio yw'r math mwyaf camarweiniol o dystiolaeth. Dechreuwch o'r llif yr hoffech ei ganiatáu ac ysgrifennwch y rheol sy'n cyfateb iddo.

Profi ynysiad yn hytrach na choelio rheol

Profwch yr achos gwaharddedig a'r achos a ganiateir yn yr un rhediad. Dechreuwch gysylltiad newydd o un cleient i'r llall a chadarnhewch ei fod yn methu, yna cadarnhewch fod cysylltiad y dylid ei ganiatáu yn dal i weithio. Os mai dim ond y cyntaf a brofir, mae mur tân sy'n blocio popeth yn edrych fel llwyddiant.

Ailadroddwch ar ôl ail-lwytho ffurfweddiad y gweinydd ac ar ôl i gleient ailgysylltu, oherwydd mae anfon ymlaen mewnol a neilltuo pyllau yn gyflwr amser rhedeg. Gwiriwch gowntwyr yn y ddwy gyfeiriad, gan fod rheol sy'n cyfateb i un cyfeiriad ac nid i'r ateb yn cynhyrchu ynysiad rhannol sy'n anodd ei sylwi mewn prawf cyflym.

Ynysiad yw'r canlyniad a arsylwir ar y ffin sy'n cario'r llif mewn gwirionedd. Nid yw rheol DROP yn rhywle yn y gwesteiwr yn dystiolaeth; mae cysylltiad wedi methu ynghyd â chownter wedi symud ar y rheol a'i hachosodd yn dystiolaeth.