Anfon dim ond un gwasanaeth gwe lleol o amgylch y VPN yn ôl porth

Mae'n rhaid i un gwasanaeth gwesteiwr ateb y rhyngrwyd dros y ddolen lan ffisegol tra bod popeth arall ar y peiriant yn dal i ddefnyddio'r twnnel. Mae tair amod yn penderfynu a all llwybro yn seiliedig ar bolisi gario'r baich hwnnw, ac mae pob un yn rhad i'w gwirio cyn i chi ysgrifennu rheol. Rhaid i'r gwasanaeth derfynu ar y gwesteiwr hwn yn hytrach nag y tu ôl i DNAT neu borth a anfonwyd ymlaen, rhaid i reolau'r VPN ei hun ganiatáu'r eithriad, a rhaid i chi baru'r ateb yn hytrach na'r cais. Os methu unrhyw un o'r tri, bydd y gorchmynion isod yn llwytho'n lân heb wneud unrhyw beth defnyddiol.

Gwiriwch y tair amod cyn i chi ysgrifennu rheol

Mae cynhwysydd sy'n cyhoeddi porth drwy DNAT, neu weinydd y tu ôl i borth a anfonwyd ymlaen, yn cynhyrchu pecynnau nad ydynt yn tarddu ar y gwesteiwr hwn. Mae'r pecynnau hynny'n cael eu hanfon ymlaen, felly nid yw rheol sy'n seiliedig ar fewnbwn lleol y gwesteiwr byth yn eu gweld ac mae'r traffig yn dal i gymryd y llwybr diofyn. Cadarnhewch ble mae'r gwasanaeth yn rhedeg mewn gwirionedd cyn parhau, oherwydd hon yw'r amod y mae pobl yn ei chael yn anghywir amlaf.

Polisi yn hytrach na mecanyddiaeth yw'r ail amod. Mae unrhyw lwybr sy'n osgoi'r twnnel yn eithriad i bwrpas y twnnel, ac ar westeiwr a reolir mae'r penderfyniad hwnnw'n perthyn i bwy bynnag sy'n berchen ar y polisi, nid i'r sawl sy'n dadfygio terfyn amser.

Parwch yr ateb, nid porth cyrchfan y cleient

Mae ateb o weinydd sy'n gwrando ar TCP 443 yn gadael y gwesteiwr gyda phorth ffynhonnell 443. Mae porwr ar yr un gwesteiwr sy'n cysylltu â safle HTTPS pell yn anfon porth ffynhonnell dros dro a phorth cyrchfan 443. Traffig porth 443 yw'r ddau a dim ond un ohonynt ddylai ddefnyddio tabl y WAN, a dyna pam y byddai paru porth cyrchfan yn cipio'r hanner anghywir.

Cyfeiriad yr ateb yw'r peth y gallwch ei wahaniaethu. Parwch y porth ffynhonnell, cyfyngwch y rheol i becynnau a gynhyrchwyd yn lleol, ac mae'r rheol yn cwmpasu atebion y gwasanaeth ei hun heb gyffwrdd â cheisiadau'r porwr.

Adewchwch dabl dychwelyd cyflawn cyn i'r rheol bwyntio ato

Mae tabl gwag yn golygu dim llwybr, sy'n edrych fel gwasanaeth wedi torri yn hytrach na pholisi wedi torri. Llenwch ef yn gyntaf, gyda rhif tabl a blaenoriaeth nad oes unrhyw beth arall ar y gwesteiwr yn eu hawlio:

ip -4 route add table 100 192.0.2.0/24 dev eth0
ip -4 route add table 100 default via 192.0.2.1 dev eth0
ip -4 rule add priority 1000 iif lo ipproto tcp sport 443 lookup 100

Darllenwch y rhifau oddi ar y gwesteiwr byw yn hytrach na'u copïo. Mae ip -4 rule show yn dweud wrthych pa flaenoriaethau sydd wedi'u cymryd, ac mae ychwanegu rheol ar flaenoriaeth sy'n bodoli eisoes yn newid trefn dwy reol sy'n edrych yn iawn ar eu pennau eu hunain yn dawel.

Dau ddetholwr sy'n gwneud y gwaith go iawn yma. iif lo yw'r ffordd y mae'r cnewyllyn yn adrodd am becynnau a gynhyrchwyd gan y gwesteiwr ei hun, felly ni all y rheol gipio traffig a anfonwyd ymlaen sy'n cyrraedd o'r tu allan ar ddamwain. Mae ipproto tcp sport 443 yn ei chyfyngu i un trafnidiaeth ac un porth, sydd mor dyn ag y mae'r gofyniad yn ei ganiatáu. Tynnwch y detholwr protocol ac mae'r rheol hefyd yn cipio UDP 443, sef gwasanaeth gwahanol ag ymddygiad gwahanol.

Cadwch atebion preifat y tu mewn i'r twnnel

Os yw'r un gwrandäwr hefyd yn ateb cleientiaid ar yr ochr breifat, bydd llwybr WAN diofyn sy'n cipio popeth yn nhabl 100 yn ceisio dychwelyd yr atebion hynny dros y ddolen lan. Ychwanegwch y rhagddodiadau preifat na ddylai ddilyn y llwybr WAN diofyn, neu gadewch iddynt syrthio i'r rheol bolisi nesaf:

ip -4 route add table 100 throw 10.90.0.0/24

Mae llwybr throw yn dod â'r chwiliad yn y tabl hwn i ben ac yn dychwelyd y pecyn i'r rhestr reolau, felly mae'r polisi VPN sy'n dilyn yn cael ei gyfle. Nid yw ei hun yn llwybro unrhyw beth i'r twnnel, ac os nad oes gan unrhyw reol ddiweddarach lwybr sy'n cyfateb, mae'r pecyn yn dal i fethu; gwiriwch y polisi nesaf yn hytrach na chymryd yn ganiataol mai throw yw'r ateb.

Mae hidlo llwybr gwrthdro a rheolau mur cadarn y gwesteiwr yn dal i fod yn berthnasol i'r cais sy'n cyrraedd. Edrychwch ar eu gwir ddyfarniadau cyn lleddfu'r dilysu, oherwydd nid yw eithriad llwybro yn gwneud i rp_filter dderbyn llwybr dychwelyd y mae'n ei ystyried yn amhosibl.

Profwch TCP, yna QUIC, yna ailgychwyn

Agorwch un cysylltiad o gleient allanol awdurdodedig ac un o'r ochr breifat, yna archwiliwch y chwiliad ateb gyda'r cyfeiriadau a'r porthladdoedd go iawn. Os yw'r ateb allanol yn mynd i dabl 100 ac nad yw'r preifat, mae'r polisi'n gwneud yr hyn y gwnaethoch ofyn amdano.

Mae HTTP/3 yn cael ei wasanaethu dros UDP ac ni fydd rheol TCP yn ei baru, felly mae angen detholwr ei hun ar wrandäwr QUIC neu bydd yn dal i ddefnyddio'r twnnel tra bod HTTPS yn gweithio. Cadwch ba reolau bynnag y setlwch arnynt gyda'r gydran sy'n berchen ar y rhyngwyneb, a'u cadarnhau ar ôl ailgysylltu neu adnewyddu DHCP. Pan fydd rheolwr cystadleuol yn tynnu llwybr amser rhedeg ar ôl ailgychwyn, mae hynny'n broblem perchnogaeth i'w thrwsio wrth y ffynhonnell, nid yn rheswm dros ychwanegu rheolau NAT ehangach ar ei ben.