Cuireann an lasc mhúchta cosc ar an bhfreastalaí VPN sula sreabhann aon trácht
Cén chéim a bhfuil lasc mhúchta ag cur cosc uirthi: cuardach an phointe deiridh, an bealach amuigh, an bealach ar ais agus sean-eisceachtaí piaraí — le cuntair seachas buille faoi thuairim.
Teipeann lasca múchta i dtreo nach mbíonn daoine ag súil leis: tá siad tógtha chun trácht a chosc agus an tollán síos, agus is trácht iad féin na paicéid a thógann an tollán. Sin an locht ar fad. Déanann sraith rialacha a scriosann gach rud nach dtéann amach tríd an tollán an crosaire láimhe a thógfadh é a scriosadh freisin, mar sin déanann an cliant iarracht arís i lúb agus baineann an earráid leis an gcéim a sheiceáiltear ar dtús. Sula leathnaítear balla dóiteáin, faigh amach cé acu de thrí chéim atá á diúltú: cuardach an ainm, an paicéad amuigh chuig an piara, nó an freagra a thagann ar ais.
Conas a bhíonn an tollán agus a iompar féin ag brath ar a chéile
Léigh cliant VPN mar dhá staid líonra a roinneann cosán socóid amháin. Sula bhfuil an tollán ann, osclaíonn an cliant socóid ar an adaptóir fisiciúil agus seolann sé frámaí criptithe chuig seoladh agus port an phiara. Ní chruthaíonn sé gléas an tolláin agus ní shuiteálann sé bealaí ach amháin tar éis don mhalartú sin éirí. Is polasaí faoin dara staid í lasc mhúchta, scríofa chomh leathan sin go mbaineann sí leis an dá cheann.
Is iad rialacha bunaithe ar chomhéadan an fhoirm is gnách: glac leis an rud a théann amach trí tun0 nó wg0, scrios an chuid eile den chosán amach. Ní féidir leis an bhfoirmliú sin nasc an chliaint féin leis an bhfreastalaí a eisiamh, mar sin cuireann cur i bhfeidhm ceart an eisceacht sin leis go sainráite, agus déanann tú féin amhlaidh nuair a scríobhann tú rialacha de láimh. Seachnaíonn rialacha in aghaidh an aip ar Windows agus macOS cuid de seo trí phróiseas a mheaitseáil in ionad comhéadain, ach caithfidh an próiseas dul amach fós sula mbíonn an tollán ann.
Trí chéim, san ord ina dtarlaíonn siad
Is é an chéad chéim an réiteach. Nuair a stórálann an próifíl óstainm in ionad seoladh litriúil, teastaíonn freagra DNS ón gcliant sula féidir leis rud ar bith a sheoladh. Cruthaíonn próifíl a dhíríonn DNS chuig réiteoir an tolláin clabhsúr: ní féidir teacht ar an réiteoir ach tríd an tollán a cheapfar an cuardach a chumasú. Baineann réiteach lasmuigh den tollán, nó an pointe deiridh a phionnáil le seoladh, an t-amhras sin.
Is é an dara céim an paicéad amuigh, a chaithfidh an ródú agus ansin an balla dóiteáin a sheasamh, san ord sin. Láimhseálann wireguard-tools leath an ródaithe de seo do WireGuard trína phaicéid féin a mharcáil agus riail pholasaí a chur leis ionas go scipeáil siad an bealach réamhshocraithe a shuiteáil sé díreach; leathanach lámhleabhair wg-quick cuireann síos ar an riail sin agus ar an tábla a úsáideann sé. Atóg an ródú sin de láimh, nó lig d’uirlis eile na rialacha a athscríobh, agus is féidir na paicéid mharcáilte a sheoladh ar ais isteach sa tollán atá le cruthú acu.
Is é an tríú céim an bealach ar ais. Ní cruthúnas é crosaire láimhe gan freagra go bhfuil rud á scriosadh amach; tá sé chomh comhsheasmhach céanna le riail ionchurtha ar an bhfreastalaí nó le gléas NAT a dhearmad an mapáil. Deighil iad sin sula dtéann tú i dteagmháil leis an gcliant.
| What you see | Stage | Where to look |
|---|---|---|
| The client log repeats a resolve step and no packets appear on the wire | 1, name lookup | Resolver path while the tunnel is down |
| The send counter on the physical adapter stays flat | 2, routing | Peer route and policy rules |
| The send counter rises and a firewall drop counter rises | 2, firewall | Rule order, mark, and interface match |
| Packets leave and nothing comes back | 3, return path | Server input rules, NAT, listening port |
Logaíonn cliaint an tsíomptóim a aimsíonn siad, ní an chéim a theip, mar sin is gnách go mbíonn an tábla níos tapúla ná an log.
Cinneann cuntair níos tapúla ná logaí
Ar Linux, nft list ruleset nó iptables -vnL OUTPUT priontálann sé cuntar paicéad in aghaidh na rialach. Ceangail uair amháin, lig dó teip, ansin léigh na cuntair arís. Is riail í riail a bhog a cuntar ar bhuail an crosaire láimhe í; mura bhfuil rud ar bith tagtha chun cinn in aon áit, níor shroich an paicéad an balla dóiteáin riamh. Chonaic mé sraith rialacha ag scriosadh a crosaire láimhe féin amach, agus níor dhúirt ach na cuntair é.
Chun idirdhealú a dhéanamh idir nár shroich riamh an balla dóiteáin agus nár fhág riamh an t-óstach, breathnaigh ar an gcomhéadan féin. ip -s link show dev wlan0 tuairiscíonn sé paicéid a seoladh, agus tcpdump -ni wlan0 udp port 51820 taispeánann sé na frámaí. Má fhanann sé cothrom agus an cliant ag iarraidh arís, tá an locht os cionn netfilter: bealach piara ar iarraidh, riail pholasaí ag díriú isteach i ngléas nach bhfuil ann fós, nó earráid socóid atá an cliant a shlogadh.
Tástáil eisceachtaí in aghaidh seoltaí doiciméadúcháin ar nós 203.0.113.10, ionas nach féidir le sleamhnú óstach duine eile a chrannú.
Léitear sean-eisceacht phointe deiridh mar chliseadh freastalaí
Tagann an leagan is míthreoraí chun solais tar éis do sheoladh an phiara athrú: tá sé bogtha ag seirbhís seoltaí dinimiciúla, atógadh an t-óstach, nó tá seoladh amach do líonra difriúil. Ainmníonn an eisceacht an seoladh sean fós, mar sin buaileann paicéid chuig an gceann nua an riail scriosta. D’oibrigh an chumraíocht chéanna inné, agus sin é an fáth a dtosaíonn daoine ag fabhtcheartú an fhreastalaí.
Ní shábhálann óstainm laistigh de riail balla dóiteáin thú. In nftables réitítear an t-ainm nuair a luchtaítear an tsraith rialacha, mar sin pionnálann sé cibé seoladh a bhí ann an nóiméad sin agus éiríonn sé sean mar cheann litriúil. Is é an réiteach marthanach an eisceacht a nuashonrú nuair a athraíonn an pointe deiridh agus í a choinneáil cúng: seoladh piara amháin, port iompair amháin. Tá raon atá leathan go leor chun athrú seolta a mhaireachtáil leathan go leor freisin chun trácht neamhghaolmhar a ligean amach.
Nuair a ritheann an lasc mhúchta ar óstach an fhreastalaí
Tá an spleáchas céanna ann ag an taobh eile, agus is ea is fusa é a chailleadh ansin. Má ritheann an meaisín atá ina fhreastalaí VPN agat cliant deisce le lasc mhúchta freisin, nó próifíl balla dóiteáin a cóipeáladh ó ríomhaire glúine, bíonn a rialacha scriosta i bhfeidhm ar an tseirbhís a chríochnaíonn na tolláin. Scriostar freagraí ar chrosaire láimhe cliaint, mar sin teipeann ar gach cliant ceangal a dhéanamh agus an freastalaí ag breathnú sláintiúil agus a chomhéadan tolláin ina luí gan úsáid.
Teastaíonn trí ghlacadh cúng ón óstach sin roimh an scriosadh: an port éisteachta ar an gcomhéadan fisiciúil, comhéadan an tolláin le haghaidh tráchta díchriptithe, agus seoladh ar aghaidh ón tollán i dtreo cibé rud a bhfuil na cliaint le sroicheadh. Léigh an tsraith shuiteáilte le nft list ruleset, iptables -S, nó pfctl -sr sula n-athraíonn tú rud ar bith, agus cuimhnigh go maireann sraith rialacha sábháilte atosú, mar sin maireann botún ansin níos faide ná an próiseas a rinne é.
Ord athshlánaithe a choinníonn an meaisín dúnta
Oibrigh amach ón bpróifíl. Léigh seoladh agus port an phiara a úsáideann an cliant, deimhnigh go réitítear an t-óstainm gan an tollán, ansin cuir eisceacht amháin leis don seoladh agus don phort sin ar an adaptóir fisiciúil amháin. Athcheangail agus breathnaigh ar chuntar an tseolta; is é crosaire láimhe críochnaithe an comhartha go bhfuil an dara céim deisithe.
Fág an chuid eile den pholasaí scriosta ina háit agus tú ag tástáil. Seiceáil neamhdhíobhálach is ea iarracht a dhéanamh ceangal le seoladh doiciméadúcháin neamhghaolmhar agus a dheimhniú go dtagann sé chun deiridh fós, rud a thaispeánann go bhfuil an lasc mhúchta ag obair seachas múchta. Teamh an eisceacht nuair a bheidh an tollán cobhsaí, agus ná fág cead buan do gach rud don dénártha cliaint díreach mar go bhfuil sé áisiúil.
Má éiríonn an tollán agus má theipeann ar an aip fós, ní hé seo na céimeanna atá fágtha: déanann DNS scoilte, MTU agus ródú in aghaidh an aip tollán ceangailte le trácht briste i ngach cás, agus tá an chéad seiceáil éagsúil ag gach ceann acu.