Seol aon tseirbhís ghréasáin logánta amháin thart ar an VPN de réir calafoirt

Caithfidh aon tseirbhís ósta freagairt don idirlíon thar an nasc uachtarach fisiciúil agus gach rud eile ar an meaisín fós ag úsáid an tolláin. Cinneann trí choinníoll an féidir le ródú bunaithe ar bheartas an t-ualach sin a iompar, agus tá gach ceann acu saor le seiceáil sula scríobhann tú riail. Caithfidh an tseirbhís críochnú ar an óstach seo seachas taobh thiar de DNAT nó de chalafort a atreoraithe, caithfidh rialacha an VPN féin an eisceacht a cheadú, agus caithfidh tú an freagra a mheaitseáil seachas an iarratas. Má theipeann ar aon cheann de na trí, lódálfaidh na horduithe thíos go glan agus gan aon rud úsáideach a dhéanamh.

Seiceáil na trí choinníoll sula scríobhann tú riail

Cruthaíonn coimeádán a fhoilsíonn calafort trí DNAT, nó freastalaí taobh thiar d’atreorú calafoirt, paicéid nach dtéann chun tosaigh ar an óstach seo. Déantar na paicéid sin a atreorú, mar sin ní fheiceann riail atá bunaithe ar ionchur logánta an óstaigh iad choíche agus leanann an trácht ag glacadh na bealaigh réamhshocraithe. Deimhnigh cá mbíonn an tseirbhís ag rith i ndáiríre sula leanann tú ar aghaidh, mar is é seo an coinníoll a fhaigheann daoine mícheart is minice.

Is beartas é an dara coinníoll, ní meicnic. Is eisceacht é aon bhealach a sheachnaíonn an tollán ó chuspóir an tolláin, agus ar óstach faoi bhainistíocht baineann an cinneadh sin le duine a shealbhaíonn an beartas, ní leis an duine a bhíonn ag dífhabhtú teorainn ama.

Meaitseáil an freagra, ní calafort cinn scríbe an chliaint

Fágann freagra ó fhreastalaí a bhíonn ag éisteacht ar TCP 443 an t-óstach le calafort foinse 443. Seolann brabhsálaí ar an óstach céanna a nascann le suíomh HTTPS cianda calafort foinse gearrshaolach agus calafort cinn scríbe 443. Trácht ar chalafort 443 iad an dá cheann agus níor cheart ach ceann amháin acu an tábla WAN a ghlacadh, agus is ar an ábhar sin a ghabhfadh meaitseáil ar chalafort an chinn scríbe an leath mícheart.

Is é treo an fhreagra an rud is féidir leat a idirdhealú. Meaitseáil an calafort foinse, cuir an riail le paicéid a ghintear go logánta amháin, agus clúdaíonn an riail freagraí na seirbhíse féin gan na hiarratais ón mbrabhsálaí a bhaint.

Tóg tábla fillte iomlán sula dtreoraíonn an riail chuige

Ciallaíonn tábla folamh nach bhfuil aon bhealach ann, rud a fhéachann cosúil le seirbhís bhriste seachas beartas briste. Líon isteach é ar dtús, le huimhir tábla agus tosaíocht nach n-éilíonn aon rud eile ar an óstach:

ip -4 route add table 100 192.0.2.0/24 dev eth0
ip -4 route add table 100 default via 192.0.2.1 dev eth0
ip -4 rule add priority 1000 iif lo ipproto tcp sport 443 lookup 100

Léigh na huimhreacha ón óstach beo in ionad iad a chóipeáil. Insíonn ip -4 rule show duit cé na tosaíochtaí atá tógtha, agus athraíonn cur riail ar thosaíocht atá ann cheana go ciúin ord dhá riail a bhféachann gach ceann acu ceart ina aonar.

Déanann dhá roghnóir an fhíor-obair anseo. Is é iif lo an bealach a dtuairiscíonn an t-eithne paicéid a ghineann an t-óstach féin, mar sin ní féidir leis an riail trácht atreoraithe a thagann ón taobh amuigh a ghabháil trí thimpiste. Cuimsíonn ipproto tcp sport 443 go dtí aon iompróir amháin agus aon chalafort amháin é, atá chomh daingean agus a cheadaíonn an ceanglas. Bain an roghnóir prótacail agus gabhfaidh an riail UDP 443 freisin, arb ionann é agus seirbhís eile le hiompar eile.

Coinnigh freagraí príobháideacha taobh istigh den tollán

Má fhreagraíonn an t-éisteoir céanna freisin do chliaint ar an taobh príobháideach, déanfaidh bealach WAN réamhshocraithe a ghabhann gach rud i dtábla 100 iarracht na freagraí sin a thabhairt ar ais thar an nasc uachtarach. Cuir leis na réimíreanna príobháideacha nár cheart dóibh bealach WAN réamhshocraithe a leanúint, nó lig dóibh titim go dtí an chéad riail bheartais eile:

ip -4 route add table 100 throw 10.90.0.0/24

Cuireann bealach throw deireadh leis an gcuardach sa tábla seo agus tugann sé an paicéad ar ais don liosta rialacha, ionas go bhfaigheann an beartas VPN a leanann a sheans. Ní dhéanann sé féin aon rud a ródú isteach sa tollán, agus mura bhfuil aon bhealach comhoiriúnach ag aon riail níos déanaí, teipeann ar an bpaicéad mar sin féin; fíoraigh an beartas seo chugainn seachas glacadh leis gur réiteach é throw.

Baineann scagadh an chonair droim ar ais agus rialacha balla dóiteáin an óstaigh fós leis an iarratas a thagann isteach. Féach ar a bhfíor-bhreithiúnais sula scaoileann tú an bhailíochtú, mar ní dhéanann eisceacht ródaithe do rp_filter glacadh le conair fillte a mheasann sé a bheith dodhéanta.

Tástáil TCP, ansin QUIC, ansin atosú

Oscail aon nasc amháin ó chliant seachtrach údaraithe agus ceann amháin ón taobh príobháideach, ansin scrúdaigh cuardach an fhreagra leis na seoltaí agus na calafoirt iarbhír. Má ghlacann an freagra seachtrach tábla 100 agus nach nglacann an freagra príobháideach, tá an beartas ag déanamh an méid a d’iarr tú.

Déantar HTTP/3 a sheirbheáil thar UDP agus ní mheaitseálfaidh riail TCP é, mar sin teastaíonn a roghnóir féin ó éisteoir QUIC, nó leanfaidh sé ag úsáid an tolláin agus HTTPS ag obair. Coinnigh pé rialacha a shocraíonn tú le comhpháirt a shealbhaíonn an chomhéadan, agus deimhnigh iad tar éis athnascadh nó athnuachan DHCP. Nuair a bhaineann bainisteoir iomaíoch bealach am rite tar éis atosaithe, is fadhb úinéireachta í sin atá le socrú ag an bhfoinse, ní cúis le rialacha NAT níos leithne a chur air.