Blocáil raon cinn scríbe amháin do gach comhthiomsú cliant VPN

Is féidir le riail amháin comhthiomsú VPN a nglactar leis a choinneáil amach ó raon cinn scríbe gan cur isteach ar aon rud eile a dhéanann an geata. Tá an riail féin gearr; is iad na codanna a shocraíonn an bhfeidhmeoidh sí an crúca ina bhfuil sí ina cónaí agus a suíomh sa slabhra. Má théann an dá rud sin amú, faigheann tú balla dóiteáin atá cosúil le bheith ceart agus a iompraíonn é féin go neamhsheasmhach. Tosaigh ón méid a dhéanann an paicéad nuair a fheiceann an riail é.

Cad a mheaitseálann an riail i ndáiríre

Meaitseálann an riail trí rud ag an am céanna: comhéadan ionchuir, réimír foinse agus réimír cinn scríbe. Caithfidh an triúr a bheith fíor sula gcuirtear an drop i bhfeidhm, agus sin a choinníonn caol í. Is fusa í a léamh mar aon slonn amháin ná mar thrí pholasaí ar leithligh.

Is é an meaitseáil comhéadain a dhealaíonn trácht cliant atá curtha ar aghaidh ó naisc an gheata féin. Gan é, chuirfeadh riail nach luann ach an comhthiomsú foinse isteach freisin ar phaicéid a ghineann an geata féin ón seoladh sin, má dhéanann sé riamh é. Cuireann an réimír foinse an polasaí chuig cliaint a nglactar leo, agus cuireann an réimír cinn scríbe chuig aon raon amháin é. Léigh an riail mar thrasnú seachas mar liosta.

Scríobh síos an trí luach sula ndéanann tú aon rud a chur in eagar: ainm an chomhéadain tholláin, an comhthiomsú a dháileann an freastalaí, agus an réimír a bhfuil sé ar intinn agat a dhiúltú. Cruthaíonn clóscríobhán i gceann ar bith acu riail a pharsáiltear go glan agus nach gcosnaíonn aon rud. Coinnigh an trí luach sin sa taifead athraithe in aice na rialach.

Socraíonn an crúca cé a bhfuil an riail i bhfeidhm air

Ceanglaítear slabhra netfilter le crúca, agus an crúca a shocraíonn cé na paicéid a fheiceann an slabhra ar chor ar bith. Feiceann an crúca forward trácht a ndéantar ródú air tríd an geata, agus is é sin an trácht ó chliant go ceann scríbe. Tá gach rud eile sa slabhra dírithe ar lucht féachana eile.

Feiceann an crúca input trácht atá seolta chuig an geata féin, mar sin rialaíonn riail a chuirtear ann rochtain ar a sheirbhísí féin seachas idirthurais. Feiceann an crúca output trácht a thagann ón geata féin, rud atá contráilte don méid a theastaíonn ó pholasaí comhthiomsaithe cliant. Is lipéid threallacha iad ainmneacha slabhra a roghnaíonn an té a scríobh an tacar rialacha, mar sin ná tóg an crúca ón ainm. Seiceáil cá bhfuil an slabhra ceangailte sula dtoimhdeoidh tú cad is féidir leis a mheaitseáil.

Is seiceáil aon líne é an ceangal a léamh a choisceann riail ó thuirlingt i slabhra nach bhfeiceann an paicéad riamh.

Cuir an riail roimh an nglacadh leathan

Déantar rialacha a mheas in ord, agus bíonn an chéad fhíorasc i réim. Cuireann glacadh leathan níos luaithe sa slabhra deireadh leis an meastóireacht do na paicéid a mheaitseálann sé, mar sin ní rithfidh drop a chuirtear leis ina dhiaidh sin riamh dóibh. Is é an riail ordaithe sin an chúis ar fad a d’fhéadfadh riail atá cosúil le bheith ceart a bheith gan éifeacht.

Ionsáigh an riail roimh an nglacadh seachas í a chur leis ag an deireadh. Má tá glacadh ginearálta don chomhéadan tolláin sa slabhra cheana féin, caithfidh an riail nua teacht roimhe nó níl inti ach maisiú. Seiceáil an t-ord a leanann as seachas an comhad a chuir tú in eagar, mar nach mbaineann tacar rialacha a chuirtear le chéile ó roinnt comhad le haon cheann acu b’fhéidir. Ansin deimhnigh le paicéad tástála ón gcomhthiomsú.

sudo nft list chain inet filter forward
sudo nft insert rule inet filter forward iifname "tun0" ip saddr 10.90.0.0/24 ip daddr 198.51.100.0/24 drop
sudo nft -c -f /etc/nftables.conf

Parsáiltear an comhad leis an tríú ordú gan é a chur i bhfeidhm, rud a ghlacann earráidí comhréire sula n-éiríonn siad ina gcur as. Cuir i bhfeidhm é le plean aischille, mar is féidir le riail mhícheart i slabhra forward an tollán a bhfuil tú ag obair air a ghearradh.

Ní bhacann sreafaí atá ann cheana le do riail nua

Leanann iontráil conntrack a cruthaíodh sula raibh an riail ann de bheith ag meaitseáil an ghlactha níos luaithe. Sin an fáth go mbíonn cuma ar drop nua uaireanta go n-oibríonn sé do naisc úra agus nach ndéanann sé faic don cheann atá á thástáil.

Léigh an mheaitseáil staid ar bharr an tslabhra. Má ghlacann sé le trácht established agus related roimh do riail, leanann gach sreafa atá ar siúl cheana de bheith ag sreabhadh go dtí go ndúnann sé. De ghnáth is é sin an t-iompar a theastaíonn uait le haghaidh riail éigeandála, agus bíonn sé mearbhallach nuair a bhíonn gearradh láithreach ag súil agat. Socraigh cén éifeacht a theastaíonn uait sula ndéanann tú imscaradh. Inseoidh tástáil a athúsáideann nasc oscailte an scéal mícheart duit.

sudo conntrack -L -s 10.90.0.14 -d 198.51.100.20
sudo nft list ruleset | grep -n -A3 'ct state'

Taispeánann an chéad ordú an bhfuil sreafa ann, agus taispeánann an dara ceann an leanann riail staid luath de bheith ag glacadh leis. Tá an dá cheann inléite amháin agus sábháilte le rith le linn teagmhais.

Cad nach bhfuil sa riail seo

Ní liosta dubh fearainn, polasaí IPv6 ná srian ar chuntas feidhmchláir aonair an riail.

Teastaíonn a mheicníocht féin ó gach ceann acu. Caithfidh bac fearainn ainmneacha a réiteach, rud nach ndéanann scagaire paicéad. Teastaíonn a mheaitseáil féin ó thrácht IPv6, mar nach ndeir slonn ip aon rud faoi phaicéid ip6. Baineann srian ar leibhéal feidhmchláir leis an tseirbhís nó le seachfhreastalaí fíordheimhnithe, ní le meaitseáil réimíre. Is é na riachtanais sin a choinneáil ar leithligh a choisceann go n-iarrfaí ar riail chaol ceithre jab a dhéanamh.

Tá an conradh a chuireann an riail seo ar fáil beacht: diúltaítear do thrácht ó chomhthiomsú a nglactar leis chuig réimír ceann scríbe amháin, agus coinníonn trácht neamhghaolmhar an gheata a pholasaí atá ann cheana. Scríobh an abairt sin in aice na rialach, agus beidh a fhios ag an gcéad duine eile cad chuige a raibh sí.