Ní chuireann rialacha calafoirt 80 agus 443 an brabhsálaí trí VPN

Iarrann duine éigin go n-úsáidfeadh an brabhsálaí an tollán, agus tagann an freagra ar ais mar riail balla dóiteáin a mheaitseálann calafoirt chinn scríbe 80 agus 443. Breathnaíonn sé beacht agus ní hea. Roghnaíonn meaitseáil calafoirt paicéid de réir a gceanrrúla iompair, ní de réir an chláir a d'oscail an soicéad, agus ní chuireann brabhsáil nua-aimseartha teorainn léi féin leis an dá chalafort sin ar TCP. Caillfidh an riail cuid den trácht a bhí ar intinn agat a áireamh agus gabhfaidh sé trácht nár cheap tú riamh a bhaint. Sula scríobhann tú í, socraigh cé acu de thrí theorainn éagsúla a theastaíonn uait i ndáiríre.

Déanann an riail cur síos ar aicme iompair, ní ar fheidhmchlár

Ar Linux, scrúdaíonn meaitseáil calafoirt chinn scríbe ceanntásc TCP agus faic os a chionn. Oibríonn marcáil na bpaicéad sin agus a stiúradh le bealach beartais go díreach mar atá doiciméadaithe, agus níl a fhios ag aon cheann den mheicníocht sin cad is brí leis an bpálasta ná cén próiseas a sheol é. Is uimhir é an marc atá ceangailte le paicéad, ní féiniúlacht atá ceangailte le feidhmchlár.

nft add rule inet mangle output tcp dport { 80, 443 } meta mark set 0x1
ip rule add fwmark 0x1 table 100
ip route add default dev wg0 table 100

Leanann dhá iarmhairt láithreach. Faigheann nuashonróir bogearraí a dhéanann teagmháil le TCP 443 an chóireáil chéanna leis an mbrabhsálaí, rud a d'fhéadfadh a bheith ceart nó a d'fhéadfadh a bheith ina mhíobráid ag fanacht leis an gcéad timthriall nuashonraithe eile. Agus titeann seirbhís ghréasáin a fhoilsítear d'aon ghnó ar chalafort eile, abair 8443, go hiomlán lasmuigh den riail cé go bhfuil sí fós mar an trácht gréasáin a raibh an t-úsáideoir buartha faoi.

Is roghnóirí dlisteanacha iad na huimhreacha nuair a bhíonn an ceanglas faoi na calafoirt sin i ndáiríre. Éiríonn siad ina fhicsin nuair a scríobhtar «brabhsálaí» sa ticéad agus nuair a chuirtear raon calafort i bhfeidhm sa tacar rialacha. Ní mionphointe doiciméadaithe é an bhearna sin. Is é an difríocht idir riail ar féidir leat í a chosaint in athbhreithniú agus ceann nach féidir le haon duine í a thástáil.

Fágann HTTP/3 do riail TCP go ciúin ina dhiaidh

Ritheann HTTP/3 ar QUIC, agus iompraítear QUIC in UDP. Ní féidir le riail a mheaitseálann TCP amháin é a fheiceáil, mar sin is féidir leis an mbrabhsálaí céanna a shásaíonn do leathanach tástála iarratas níos déanaí a sheoladh thar UDP agus an tollán a sheachaint gan aon duine socrú a athrú. Cuireann RFC 9114 síos ar HTTP/3 mar phrótacal bunaithe ar QUIC, agus úsáideann QUIC UDP le calafort réamhshocraithe 443 sa ghnáth-imscaradh.

Braithfidh cé acu a thriailfidh brabhsálaí áirithe HTTP/3 ar a chumraíocht, ar an suíomh agus ar éirigh le hiarracht roimhe seo. Fágann sin gur droch-rud é réasúnaíocht a dhéanamh air ó chuimhne. Fiafraigh den uirlis ina ionad:

curl --http3 -sS -o /dev/null -w '%{http_version} %{time_total}\n' https://example.com
ss -tunp | grep -E ':443\b'

Priontálann an líne curl an leagan a caibidlíodh, mar sin deimhníonn 3 gur úsáideadh an cosán UDP. Ansin taispeánann an liosta soicéad an bhfuil an nasc sin ceangailte le comhéadan an tolláin nó leis an gceann fisiceach. Mura bhfuil HTTP/3 ar fáil i do thógáil curl, teipeann an bhratach go hard in ionad cúlú go ciúin, rud atá ina thrócaire bheag dá chuid féin.

Is cinneadh ar leith é DNS a chaithfidh tú a dhéanamh

Ní deir riail calafoirt do thrácht gréasáin faic faoi réiteach ainmneacha. Féadfaidh an brabhsálaí réiteachán an chórais a úsáid, réiteachán atá cumraithe laistigh den bhrabhsálaí, nó ceann a bhrúigh an nasc deireanach isteach. Féadfaidh gach ceann acu ceisteanna a sheoladh ar chosán difriúil ón gceann a roghnaíonn do riail, rud a tháirgeann an scoilteadh clasaiceach: luchtaítear an leathanach, réitítear an t-ainm áit éigin nár thug tú súil leis, agus réitítear an suíomh inmheánach go seoladh poiblí nó ní réitítear ar chor ar bith.

Socraigh go saimráite é. Más gá ainmneacha inmheánacha a réiteach tríd an tollán, caithfidh an réiteachán a bheith istigh ann, agus caithfidh an tacar rialacha DNS a cheadú chuig an réiteachán sin agus ceisteanna eile a choinneáil amuigh. Má úsáideann an brabhsálaí DNS over HTTPS chuig soláthraí poiblí, seachnaíonn an cheist do réiteachán go hiomlán agus ní féidir leis an riail calafoirt cabhrú. Scríobh an rogha sa taifead athraithe céanna leis an riail ródaithe, mar go léann an té a dhífhabhtaíonn an chéad chliseadh eile an dá rud le chéile.

Ansin fíoraigh leis an réiteachán seachas leis an leathanach:

resolvectl query intranet.example.internal
resolvectl status | grep -A3 'Current DNS Server'

Is fadhb réitigh é freagra atá ar iarraidh fiú nuair a chuireann teachtaireacht earráide an bhrabhsálaí an milleán ar an líonra. Breathnaíonn an dá chliseadh sin mar an gcéanna don úsáideoir agus is ticéid iomlána difriúla iad.

Trí theorainn, trí mheicníocht éagsúla

Imíonn an chuid is mó den mhearbhall a luaithe a ainmníonn tú an teorainn a theastaíonn uait. Níl siad idirmhalartach, agus tá mód cliseadh difriúil ag gach ceann le linn briseadh an tolláin.

Is é próifíl bhrabhsálaí ar leith an gaiste sa lár-ró. Scarann sé fianáin agus stair, agus ní athraíonn sé faic ar thábla ródaithe an óstaigh, mar sin tógann an dá phróifíl an cosán céanna. Teastaíonn aonrú ó rud éigin a fhorchuireann an t-eithne, is é sin spás ainmneacha, coimeádán nó feidhmchlár a shealbhaíonn a chomhéadan tolláin féin.

Cibé ró a bhaineann, scríobh síos cad ba cheart tarlú nuair a thiteann an tollán. De ghnáth titeann bealach bunaithe ar mharc a imíonn leis an gcomhéadan ar ais chuig an mbealach réamhshocraithe fisiceach, ar iompar fail-open é. D'fhéadfadh sé sin a bheith inghlactha le brabhsáil agus neamh-inghlactha le haon rud eile, agus is cinneadh é, ní mionsonra feidhmithe.

Tástáil na sreafaí a mhaíonn tú a chlúdaíonn tú

Caithfidh an tástáil ghlactha leanúint den teorainn a scríobh tú, ní de na huimhreacha calafoirt a bhí áisiúil. Roghnaigh sreabhadh amháin a chaithfidh dul tríd an tollán, ceann nár cheart, agus ceann a úsáideann iompar nár smaoinigh tú air:

ip route get 203.0.113.40
curl -sS -o /dev/null -w 'v4 %{http_version} %{remote_ip}\n' https://example.com
nft list ruleset | grep -A2 'dport'

Insíonn an cuardach bealaigh duit cén comhéadan a úsáideann ceann scríbe i ndáiríre, agus sin an fhíric a fhaigheann formhór na dtuarascálacha mícheart. Deimhníonn an líne curl an leagan a caibidlíodh agus an teaghlach seoltán. Gabhann dumpáil an tacair rialacha an riail a chuireadh tú leis le linn tástála agus a ndearna tú dearmad í a theorannú, agus is mar sin a iompaítear marc sealadach ina ródú fail-open buan.

Taifead na trí aschur le stampa ama agus coimeád iad leis an athrú. Nuair a thuairisceoidh duine níos déanaí gur «bhris an VPN an inlíon», beidh an difríocht idir an teorainn bheartaithe agus an ceann curtha i bhfeidhm le feiceáil sa taifead sin, agus is athrú rialach a bheidh sa cheartú seachas argóint.