Éisteann Redsocks ar loopback ach ní thagann trácht VPN riamh

Tagann tollán aníos, is féidir leis an gcliaint an geata a phiongal, agus faigheann gach iarratas gréasáin trí chonair an tseachfhreastalaí bás. Tá próiseas redsocks ag rith agus tá a phort ag éisteacht, mar sin tá an tseirbhís dealraitheach sláintiúil ón ngeata féin. An rud a theipeann ná an chéim seachadta: ní thagann paicéad a atreoraítear ón tollán i dtír ar an soicéad a thosaigh tú. Caithfidh an seoladh ceangail agus sprioc an atreoraithe teacht le chéile, agus ní sheiceáiltear ach ceann amháin acu de ghnáth.

Cá dtéann paicéad atreoraithe i dtír i ndáiríre

Úsáideann seachfhreastalaí trédhearcach ar gheata REDIRECT sa tábla nat ag PREROUTING chun ceann scríbe naisc isteach a athscríobh chuig port áitiúil. Is seoladh áitiúil é an ceann scríbe athscríofa mar a fheiceann an comhéadan ar tháinig an paicéad isteach air é, ní seoladh loopback próisis a tosaíodh áit éigin eile. Glacann éisteoir atá ceangailte le 127.0.0.1 amháin le naisc a bhí áitiúil cheana ar an óstach, agus sin go díreach an cás a leanann ag obair fad a theipeann trácht an tolláin. Is tríú seoladh é loopback an chliaint féin agus ní sprioc riail an gheata riamh é.

Mar sin sula dtéann tú i dteagmháil le dintiúir an tsreafa suas, socraigh dhá fhíric: cén seoladh áitiúil a athscríobhann an riail chuige, agus cén seoladh a bhfuil soicéad an tseachfhreastalaí ceangailte leis.

Léigh an t-éisteoir agus an riail atreoraithe le chéile

Priontáil tábla na soicéad agus na rialacha nat san aon phas amháin, mar tá cuma chomhionann ar riail a dhíríonn ar phort nach bhfuil ag éinne le riail a dhíríonn ar an seoladh micheart. Taispeánann sudo ss -ltnp | grep redsocks an seoladh ceangail agus an próiseas a shealbhaíonn é. Taispeánann sudo iptables -t nat -S PREROUTING an sprioc REDIRECT, agus taispeánann sudo iptables -t nat -L PREROUTING -v -n ar mheaitseáil aon rud leis.

Ní chomhlíonann léim chuig slabhra úsáideora darb ainm REDSOCKS dada mura bhfuil an slabhra sin ann agus na heisiaimh bheartaithe agus an gníomh REDIRECT á n-iompar aige. Léigh an slabhra a léimeann sé chuige le sudo iptables -t nat -S REDSOCKS in ionad glacadh leis go ndéanann an t-ainm an obair.

Ansin cuir an dá luach i gcomparáid. Má atreoraíonn an riail chuig seoladh geata ar phort 12345 agus má thuairiscíonn an t-éisteoir 127.0.0.1:12345, míníonn an neamhréir an teip gan aon diagnóis bhreise.

Ceangail go cúng, ansin sriantaigh céard is féidir a shroicheadh

Cuireann cumraíocht shamplach an tsreafa suas an t-éisteoir ar loopback ar chúis mhaith: glacann seachfhreastalaí trédhearcach le naisc thar ceann aon duine a fhéadann é a shroicheadh. Deisíonn athrú an cheangail go 0.0.0.0 an seachadadh agus osclaíonn sé an port ar gach comhéadan ag an am céanna, rud is athrú slándála é, ní deisiú neodrach. B'fhearr ceangal leis an seoladh áitiúil ar leith a ndíríonn an t-atreorú air, agus an port a choinneáil dúnta ar chomhéadain neamhiontaofa. Má tá ceangal níos leithne dosheachanta, cuir riail balla dóiteáin óstaigh leis nach gceadaíonn ach raon foinse an tolláin agus trácht áitiúil an gheata féin.

Ní gá an port a oscailt ar an gcomhéadan poiblí riamh do thrácht VPN atreoraithe, mar críochnaíonn an nasc go háitiúil tar éis an athscríofa. Ná nocht an seachfhreastalaí don idirlíon chun atreorú áitiúil a chur ag obair.

Cruthaigh é le nasc nua ó chliant

Tástáil ó fhíorchliant VPN le nasc TCP úr, ní ó bhlaosc ar an ngeata. Cleachtann curl -sS -o /dev/null -w '%{http_code}\n' http://example.com ar an gcliaint an chonair atreoraithe ó thús go deireadh.

Ansin dearbhaigh go ndiúltaítear fós do nasc díreach chuig an éisteoir ó líonra neamhiontaofa, agus nach ndéantar nasc sruth suas an tseachfhreastalaí féin a ghabháil arís leis an riail chéanna. Taispeántar gabháil athchúrsach mar sheachfhreastalaí a nascann leis féin agus nach gcríochnaíonn iarratas riamh. Cuir ceann scríbe an tseachfhreastalaí leis an tacar eisiaimh, nó marcáil a phaicéid amach ionas go scipeann an slabhra iad.

Ar deireadh, cuimhnigh ar a bhfuil an chonair seo a chlúdach. Ní chuireann atreorú TCP rialta redsocks UDP, QUIC ná DNS ina thrácht SOCKS, agus is gnách go dteastaíonn eisiaimh shoiléire ó chinn scríbe príobháideacha. Ní chruthaíonn tástáil áitiúil rathúil ach an chonair loopback nárbh í an fhadhb riamh.