Is féidir le rialacha seolta uile-ghabhálacha do WireGuard a shlogadh
Is féidir le riail seolta leathan éisteoirí WireGuard agus SSH an gheata féin a shlogadh. Roghnaigh rialacha cúnga nó seoladh poiblí ar leith, ansin tástáil an cosán rialaithe.
Tá WireGuard ag rith ar UDP 51820 cheana féin ar gheata poiblí, SSH ar 22, agus feidhmchlár amháin nach mór a bheith inrochtana ón idirlíon. Seolann an riail mhealltach gach port chuig an bpiaraí agus deir sí go bhfuil sí déanta. Ar gheata WireGuard féadann riail den sórt sin iompar an tolláin féin a ghabháil agus tú a chur amach as an meaisín a chuireann críoch leis. Is cinneadh ródaithe é foilsiú le heisceacht don phlána rialaithe, ní líne DNAT amháin.
Ionad poiblí nó ionad tolláin: roghnaigh ceann amháin
Cruthaíonn foilsiú seirbhíse ionad iontrála nua chuig an idirlíon. Ní hionann sin agus ballraíocht VPN a thabhairt do phiaraí, mar ní théann an cuairteoir isteach sa tollán riamh agus tagann an geata chun bheith ina aghaidh phoiblí ar an inneall cúil. Cinneann an t-idirdhealú sin lucht féachana na rialach agus an teastas a théann léi.
Is annamh a bhaineann comhéadain riaracháin leis an áit sin. Coinníonn leathanach riaracháin a shroicheann cliaint VPN údaraithe an t-achar ionsaithe taobh istigh den tollán agus seachnaíonn sé foirm logála isteach a nochtadh do scanadh treallach. Teastaíonn a dteastas TLS féin, fíordheimhniú agus teorannú ráta ó chríochphointí poiblí feidhmchláir fós; ní chosnaíonn an chéim WireGuard chriptithe cos an chuairteora chuig an ngeata.
Má chaithfidh an tseirbhís a bheith poiblí i ndáiríre, scríobh síos an t-ainm óstaigh, an teastas a chlúdaíonn é agus na raonta cuairteoirí ar cheart dóibh teacht air. Cinneann an trí fhíric sin cruth na rialach agus an polasaí scagtha níos déanaí. Is méadú scóipe ar éisteoir poiblí é aon rud lasmuigh díobh.
Port amháin isteach, inneall cúil amháin amach
Úsáid port poiblí amháin agus seirbhís inneall cúil amháin. Sa sampla seo iompraíonn eth0 an seoladh poiblí 198.51.100.20, is é 10.200.0.1 seoladh tolláin an gheata, agus ritheann an piaraí an feidhmchlár ar 10.200.0.7. Mapáiltear TCP 9443 poiblí chuig TCP 8443 an phiaraí:
iptables -t nat -A PREROUTING -i eth0 -d 198.51.100.20 -p tcp --dport 9443 -j DNAT --to-destination 10.200.0.7:8443
iptables -t nat -A POSTROUTING -o wg0 -d 10.200.0.7 -p tcp --dport 8443 -m conntrack --ctorigdst 198.51.100.20 --ctorigdstport 9443 -j SNAT --to-source 10.200.0.1Meaitseálann an riail SNAT an t-inneall cúil aistrithe agus an ceann scríbe poiblí bunaidh, ionas go bhfanann nasc eile leis an tseirbhís chéanna inneall cúil lasmuigh den mhapáil seo. Folaíonn sí freisin seoladh an chuairteora ón bpiaraí, agus sin an mhalairt a dhéanann dearaidh ar leith de chosán fillte ródaithe a chaomhnaíonn an fhoinse. Déanann an tagairt um shíneadh iptables cur síos ar an dá sprioc agus a roghanna meaitseála.
Caithfear seoladh a chumasú fós, agus teastaíonn cead ón slabhra scagtha don cheann scríbe agus don phort aistrithe móide freagraí bunaithe. Feiceann an slabhra FORWARD an ceann scríbe aistrithe tar éis DNAT, mar sin ní mheaitseálann riail a scríobhtar i gcoinne an tseolta phoiblí an paicéad seolta. Scríobh an cead i gcoinne na tuple inneall cúil, ní i gcoinne an cheann phoiblí.
Caithfidh an piaraí nasc na seirbhíse a ghlacadh ó sheoladh tolláin an gheata agus an freagra a sheoladh ar ais tríd an tollán. Caithfidh a AllowedIPs an fhoinse a údarú a fhaigheann sé i ndáiríre, agus faoi aistriú foinse is é sin seoladh tolláin an gheata; ní gá iontráil leathan 0.0.0.0/0 ar gach piaraí don dearadh seo. Is é a ligeann an trácht fillte titim ná piaraí a bhfuil an seoladh sin ar iarraidh óna liosta, nó dearadh a chaomhnaíonn an fhoinse a sheolann seoladh an chuairteora féin ina ionad, mar sin seiceáil an fhoinse a fheiceann an piaraí i ndáiríre seach an ceann atá i do riail.
Coinnigh éisteoirí an gheata féin amach as an riail
Má mhalartaíonn tú an mheaitseáil phoirt le riail a chlúdaíonn gach ceann scríbe TCP agus UDP, tagann socket WireGuard an gheata féin istigh inti. Tarlaíonn aistriú cinn scríbe sula gcinnfidh an meaisín go bhfuil paicéad áitiúil, mar sin féadann UDP 51820 críochnú ag an bpiaraí seachas ag an bpróiseas a choinníonn gach nasc piaraí. Luchtaíonn an riail go rathúil agus faigheann an tollán bás, rud is teip deacair a léamh ó thaobh an phiaraí.
Tá an nochtadh céanna ag SSH, ag gníomhairí faireacháin agus ag aon tseirbhís eile atá ar an ngeata. Ní dhéanann riail a sheolann gach rud idirdhealú idir an plána rialaithe agus an feidhmchlár foilsithe, agus is é an chéad atosú tar éis an athraithe an uair a éiríonn an glasáil amach soiléir. Ní thugann an riail uile-ghabhálach rabhadh faoin tseirbhís a ghlacann sí gan fhios. Aimsíonn tú é nuair a theipeann an chéad nasc eile.
Má tá gá i ndáiríre le seoladh leathan, cuir na poirt rialaithe in áirithe roimh an riail uile-ghabhálach nó úsáid seoladh poiblí ar leith le haghaidh foilsithe. Tá an dara rogha níos glaine mar coinníonn an seoladh rialaithe a pholasaí féin, ach caithfidh an soláthraí an seoladh sin a sholáthar; ní leithdháileann taifead DNS ceann.
Ní hé seoladh leathan TCP agus UDP gach prótacal ach an oiread. Teastaíonn a bpolasaí féin ó ICMP, IPv6, aiseolas MTU cosáin agus iompar seachtrach an VPN, agus fágann riail a chlúdaíonn TCP agus UDP na cásanna sin ag an slabhra réamhshocraithe.
Roghnaigh an tsamhail sula scríobhann tú rialacha
Clúdaíonn ceithre chruth formhór fhoilseachán na ngeataí, agus braitheann an rogha ar an méid seirbhísí a ritheann tú agus ar an méid riosca plána rialaithe a fhéadann tú a fhulaingt. Ordaíonn an tábla thíos iad ón gceann is cúinge go dtí an ceann is leithne.
| Model | What it protects | Cost | Use when |
|---|---|---|---|
| Narrow port forward | Every other listener, including the VPN | One rule per service | Few services, stable ports |
| Catch-all with reserved ports | Ports named in the exception list | Rule order becomes critical | Many services and disciplined review |
| Separate public address | Control address fully isolated | Provider must supply the address | High-value publication |
| VPN-only access | No public entry at all | Visitors need the tunnel | Admin interfaces and internal tools |
Tosaigh leis an tsamhail chúng fiú má tá tú ag súil le níos mó seirbhísí níos déanaí. Is í is éasca le hiniúchadh, agus is simplí sraith rialacha cúnga a thiontú ina riail uile-ghabhálach athbhreithnithe ná a fháil amach cén t-éisteoir a ghabhadh riail leathan. Cibé samhail a roghnaíonn tú, coinnigh na rialacha ag úinéir an bhalla dhála. Má chuireann tú línte iptables in aice le cumraíocht UFW nó nftables a bhainistíonn na slabhraí céanna, cruthaítear polasaí a athraíonn de réir ord an tosaithe.
Cruthaigh an foilsiú agus an cosán rialaithe araon
Tástáil ó chliant seachtrach údaraithe ag baint úsáide as an ainm óstaigh cheadaithe agus teastas atá bailí dó. Deimhnigh cén t-inneall cúil a d'fhreagair, ansin seiceáil go bhfanann poirt phoiblí neamhghaolmhara diúltaithe. Ní tástáil HTTPS rathúil é seiceáil teastais atá díchumasaithe, agus is measa nasc a shroicheann an t-inneall cúil mícheart ná ceann a theipeann.
Ina dhiaidh sin, fíoraigh an geata féin: ceangail piaraí WireGuard, oscail seisiún SSH agus deimhnigh go bhfuil an fhaireachán fós ag tuairisciú. Féadann an tseirbhís fhoilsithe oibriú agus an plána rialaithe briste, mar sin ba cheart an dá sheiceáil a bheith san fhuinneog athraithe chéanna. Atosaigh uair amháin chun a chruthú go gcuirtear na rialacha i bhfeidhm arís san ord a bhfuiltear ag súil leis, ansin bain an foilsiú agus deimhnigh go n-oireann an bhaint don bhreisithe. Is amhlaidh a dhéantar tástáil shealadach ina oscailt bhuan nuair a bhíonn a lán breiseanna tosaithe ann agus an teardown neamhiomlán.