Crios VPN OpenWrt, seoladh ar aghaidh agus mascáil: cé acu a theastaíonn?

Meascann trí athrú le chéile aon uair a thagann VPN trasna OpenWrt: port a oscailt, seoladh ar aghaidh a cheadú agus mascáil a chur ar siúl. Freagraíonn siad ar cheisteanna éagsúla, agus de ghnáth ní bhíonn ach ceann amháin acu mar an riachtanas iarbhír. Nuair a léitear gach rialtán de réir an róil tráchta a rialaíonn sé, déantar cinneadh de bhuille faoi thuairim, agus insítear duit freisin cén siomptóm a bheith ag súil leis nuair a bhíonn an t-athrú mícheart. Tosaigh tríd an ról a theip a ainmniú, ní an bosca seiceála a mheabhraíonn tú.

Ainmnigh ról an tráchta sula ndéanann tú teagmháil le rialtán

Cinneann ionchur crios cad is féidir a bhaint amach don ródaire féin. Clúdaíonn aschur crios trácht a chruthaíonn an ródaire féin, is é seoladh ar aghaidh crios an réamhshocrú do thrácht a théann trí chrios, agus cinneann mascáil an athscríobhtar an seoladh foinse ar an mbealach amach. Ceithre cheist éagsúla iad sin, agus freagraíonn polasaí crios iad ar fad ag an am céanna leis an luach céanna, agus is ar an ábhar sin gur ionstraim gharbh é athrú ar fud an chrios ar fad. Is féidir le riail ainmnithe freagra a thabhairt ar cheann acu gan na cinn eile a bhaint.

Is é an léarscáil úsáideach ná de réir ról tráchta, mar sin an rud is féidir leat a bhreathnú nuair a theipeann ar rud éigin. Tá rialtán amháin ag gach ról thíos a chinneann é agus siomptóm amháin a dhíríonn air:

Teastaíonn riail ionchuir chúng amháin ó éisteoir ar an ródaire

Faigheann freastalaí OpenVPN ar an ródaire trácht atá dírithe ar an ródaire, mar sin braitheann a nasc seachtrach ar pholasaí ionchuir an chreasa a iompraíonn é. Cead an t-iompar agus an port atá cumraithe agus fág gach rud eile sa chrios sin diúltaithe. Is athrú i bhfad níos lú riail phoirt amháin ná glacadh ar fud an chreasa ar fad, agus is í sin an riail ar féidir leat a mhíniú fós bliain ina dhiaidh sin.

Déanann dhá rud an riail sin sábháilte le coinneáil: ainmníonn sé an port a úsáideann an tseirbhís i ndáiríre, agus seasann sé in aice le sainmhíniú an chreasa ionas go bhfeice an chéad duine eile cén fáth a bhfuil sé ann. Is é an fhoirm atá sna línte thíos, agus an port in ionad an rud atá cumraithe ar an bhfreastalaí. Athraigh an port sin sa dá áit nuair a bhogann an tseirbhís, mar tá riail a fhanann ar an seanphort dofheicthe go dtí iniúchadh.

config zone
    option name 'wan'
    option input 'REJECT'
    option forward 'REJECT'
    option output 'ACCEPT'
    option masq '1'

config rule
    option name 'allow-openvpn'
    option src 'wan'
    option proto 'udp'
    option dest_port '1194'
    option target 'ACCEPT'

Bailíochtaigh sula n-athlódálann tú, mar féadann earráid chomhréire i gcomhad balla dóite an ródaire a fhágáil gan sraith rialacha oibre. I eisiúint a úsáideann fw4 is ordú ar leith é an tseiceáil, agus teipeann sé go hard in ionad bloc briste a ghlacadh go ciúin. Ná hathlódáil ach tar éis don tseiceáil éirí as, agus coinnigh an comhad roimhe sin san áit ar féidir leat é a chur ar ais.

fw4 check
service firewall reload

Téann iarratas cliaint trí sheoladh ar aghaidh, ní trí ionchur

Tar éis fíordheimhnithe cruthaíonn iarratas ó chliant tolláin ar sheirbhís LAN sreabhadh seolta ar aghaidh, mar sin is é an rialtán a chinneann é ná an gaol seolta ar aghaidh idir crios an tolláin agus crios an LAN. Sann an comhéadan tolláin don chrios atá beartaithe, ansin dearbhaigh an treo, na foinsí agus an tseirbhís. Is é sannadh an chreasa a thugann brí don riail seolta ar aghaidh, agus ní dhéanann an dá rud ciall ach iad a léamh le chéile. Léitear gaol seolta ar aghaidh a ainmníonn crios an tolláin mar fhoinse agus crios an LAN mar cheann scríbe mar aon chinneadh d’aon ghnó, agus léitear dhá ghlacadh ar fud an chreasa ar fad mar thimpiste.

Úsáideann baint amach an ródaire féin an cosán ionchuir fós, agus is ar an ábhar sin nach ndeir ping chuig an ngeata aon rud faoin gcomhroinnt comhad taobh thiar de. Maireann an dá theip sin i mbloic éagsúla agus deisítear iad le hathruithe éagsúla. Scríobh an dá chosán ar leithligh sula n-athraíonn tú ceachtar acu.

Is cinneadh ródaithe í an mhascáil, ní cead

Athscríobhann mascáil seoladh foinse tráchta amach roghnaithe. Is féidir léi dearadh amach a tharrtháil nuair nach bhfuil aon bhealach ar ais ag an taobh i bhfad i gcéin, agus cuireann sí seoltaí cliant aonair i bhfolach ó aon tseirbhís a dhéanann logáil nó a údaraíonn de réir seoladh. Is rogha ródaithe é a mhúchadh maidir leis an mbealach ar ais, ní lasc slándála a dhúnann poll ionchuir. Go hiondúil bíonn bealach ar ais in easnamh ar thollán a oibríonn le haistriúchán ar siúl agus a theipeann an nóiméad a mhúchtar é, ní riail balla dóite in easnamh.

Teastaíonn bealach ar ais ar an taobh i bhfad i gcéin ón rogha ródaithe in ionad aistriúcháin. Ní sholáthraíonn ceachtar rogha an cead balla dóite ná an cuntas feidhmchláir, agus is ar an ábhar sin gur beag an t-ús a bhíonn le mascáil a mhúchadh chun cliant tolláin nach mbaineann amach aon rud a dheisiú. Caith le polasaí IPv4 agus IPv6 ar leithligh freisin, mar ní chuireann socrú aistriúcháin amháin síos ar an dá theaghlach.

Cruthaigh an cinneadh le hiarratas ceadaithe agus ceann diúltaithe

Seol iarratas amháin ar chóir a cheadú agus ceann ar chóir a dhiúltú, ansin sainaithin an rialtán a rinne gach cinneadh. Ní fianaise é leathanach a lódálann de thaisme; is í an fhianaise an riail a mheaitseáil, sa slabhra inar mheaitseáil sí. Tá an diúltú chomh tábhachtach leis an rath, mar taispeánann sé go bhfuil an polasaí ag déanamh rud éigin in ionad gach rud a bheith ceadaithe.

Tugann dhá ordú an fhianaise sin duit ar eisiúint reatha. Bogann an t-áiritheoir ar an riail mheaitseála nuair a ghlactar leis an iarratas, agus taispeánann an logáil an t-éaradh má chuir tú logáil ar siúl don riail:

nft list chain inet fw4 forward_wan
logread -f | grep -i -E 'DROP|REJECT'

Coinnigh cosán riaracháin is féidir leat a úsáid fós sula n-athraíonn tú aon pholasaí balla dóite, agus lean próiseas bailíochtaithe agus aischuir úinéir an chumraíochta. Ní toradh tástála é athrú a chuireann faoi ghlas amuigh den ródaire thú, is éard atá ann ná dara teagmhas. Taifead an crios agus ról an tráchta in aice le gach breathnóireacht, ionas go míneoidh an péire torthaí an polasaí in ionad cur síos a dhéanamh ar lódáil leathanaigh áidh.