Aip áitiúil, riail VPN: cén fáth nach n-adhainn do shlabhra FORWARD riamh

Cuireann tú riail le haghaidh tráchta VPN sa slabhra FORWARD, ritheann tú an t-iarratas ón meaisín Linux céanna, agus fanann an t-áiritheoir ar nialas. Is dócha go bhfuil an riail ceart. Níor ghlac an paicéad an bealach sin riamh, mar ní sheolann an meaisín féin iarratas a ghintear air féin ar aghaidh. Míníonn rianú shaolré an phaicéid ón socket go dtí an sreang cén fáth, agus cá háit ar cheart an riail a bheith ina ionad.

Faigh amach cá háit ar rugadh an paicéad

Deighleann ordú hook Netfilter trí chás, agus ní bhaineann ach ceann acu le FORWARD:

Tosaíonn aip áitiúil sa chonair OUTPUT, mar tá an t-eithne tar éis a shuí cheana go dtagann an paicéad chun cinn anseo agus nach iarrthóir é riamh le seoladh ar aghaidh. Ní athraíonn cruthú tollán an t-aicmiú sin; gléas is ea an tollán ar féidir leis an bpaicéad imeacht tríd, ní céim a dhéanann aschur áitiúil de thrasdul.

Dhá phaicéad, scéal amháin

Nuair a bhíonn an tollán suas, is rudaí éagsúla an paicéad istigh den aip agus an paicéad seachtrach criptithe. Iompraíonn an paicéad istigh an ceann scríbe agus an t-ualach a roghnaigh an aip. Iompraíonn an paicéad seachtrach cripteacs chuig seoladh agus port an phiar, agus is é a thrasnaíonn an comhéadan fisiciúil i ndáiríre.

Baineann do pholasaí le ceann acu, agus is cúis choitianta é an ceann mícheart a roghnú le go bhfeictear riail ag déanamh faic. Feiceann riail a mheaitseálann seoladh seachtrach an phiar gach paicéad tolláin mar an gcéanna, is cuma cad a dhéanann an aip istigh. Feiceann riail a mheaitseálann ceann scríbe istigh an trácht a bhfuil suim agat ann, agus ní scaoilfidh sí ach amháin má shroicheann an paicéad sin an hook ar a bhfuil an riail suiteáilte agat.

Bogann spásanna ainmneacha an teorainn

Déanann coimeádán é seo níos deacra gan an prionsabal a athrú. Is aschur áitiúil é iarratas na haipe laistigh de spás ainmneacha líonra an choimeádáin. Faigheann an t-óstach an trácht sin ar chomhéadan Ethernet fíorúil agus féadann sé é a sheoladh ar aghaidh, mar sin féadann riail FORWARD ar an óstach a bheith bríoch cé nár theagmhaigh an próiseas a ghinn an t-iarratas le slabhra OUTPUT an óstaigh riamh.

Sula roghnaíonn tú hook, socraigh cá háit a bhfuil an tsraith rialacha agus an tollán ina gcónaí i ndáiríre. Is trí thopolaíocht éagsúla iad tollán laistigh den choimeádán, tollán ar an óstach leis an gcoimeádán ródaithe tríd, agus tollán i spás ainmneacha ar leith, le trí shuíomh rialacha éagsúla. Léigh na rialacha laistigh den spás ainmneacha a shealbhaíonn an gléas, ní amháin sa spás réamhshocraithe.

Fiafraigh an bhfuil marc de dhíth ort ar chor ar bith

Más é an sprioc réimír ceann scríbe amháin a chur tríd an tollán, b’fhéidir gur leor bealach don réimír sin. Seiceáil na bealaí éifeachtacha ar dtús, lena n-áirítear aon rud a bhrúigh an freastalaí: seolann bealach réamhshocraithe atreoraithe i bhfad níos mó tráchta tríd an VPN ná an polasaí cúng a bhí ar intinn agat, agus ní chuirfidh aon mhéid marcála an toradh ag teacht leis an rún.

Tá aicmiú de dhíth nuair a bhíonn an cinneadh ag brath ar rud nach féidir le bealach a chur in iúl, mar an fhoinse, an t-úsáideoir nó an próiseas. I gcás tráchta a fhaightear, oibríonn marcáil i PREROUTING. I gcás tráchta áitiúil, caithfidh an mharcáil tarlú i gcéim aschuir a fhéadann cuardach bealaigh nua a spreagadh tar éis an marc a shocrú. Le nftables is slabhra de chineál route ar an hook aschuir é sin; socróidh slabhra scagaire aschuir traidisiúnta an luach agus fágaidh sé an bealach gan athrú.

Le iptables, tá a chomhionann in eagar mangle OUTPUT, agus tá an ceanglas céanna i bhfeidhm: caithfear an cinneadh ródaithe a athbhreithniú tar éis an marc a bheith ann. Ansin caithfidh riail pholasaí an marc a chaitheamh agus pointeáil ar thábla ina bhfuil bealach inúsáidte. Is é an tríú hoibríocht ar leith é marc conntrack a shocrú; stórálann sé luach ar an sruth agus ní chuireann sé an luach sin ann féin ar an bpaicéad reatha le go léifeadh an ródú é.

Fíoraigh an cuardach agus an t-áiritheoir le chéile

nft list ruleset
ip route get 198.51.100.25
ip route get 198.51.100.25 mark 0x1

Tá an seoladh agus an marc léiritheach, agus freagraíonn an dá cheist bhealaigh ceisteanna éagsúla. Fiafraíonn an dara ceann cad a dhéanfadh an t-eithne dá mbeadh an marc sin ar phaicéad; ní thaispeánann sé go samhann do shraith rialacha a leithéid. Caith leis mar thástáil hipitéise, ní mar fhianaise go n-oibríonn an polasaí.

Ansin rith iarratas neamhurchóideach agus féach ar dhá rud ag an am céanna: an t-áiritheoir ar an hook a roghnaigh tú, agus an t-aschur a ghlac an paicéad i ndáiríre. Má bhogann an t-áiritheoir agus má fhágann an paicéad áit eile, tá an marc nó an tábla mícheart. Mura mbogann ceachtar acu, ní shroicheann an paicéad an hook sin ar chor ar bith, agus is é an spás ainmneacha nó an bealach an chéad cheist eile.

Faoi dheireadh, cuir teorainn leis an tástáil agus í a laghdú go dtí an méid a fhéadann an mheicníocht a chur in iúl. Ní thagann bealach amháin le haghaidh seoladh amháin chun bheith ina pholasaí buan do sheirbhís a bhfuil a seoltaí ag rothlú. Socraigh scóip na bpaicéad ar dtús, ansin seiceáil an féidir leis an dearadh ródaithe agus marcála an scóip sin a choinneáil tar éis athnascadh.