Balla dóiteáin VPS: ná hoscail ach an port VPN, ansin cruthaigh é

Ní riail amháin é balla dóiteáin nach ligtear isteach ach an port VPN. Is trí chinneadh ar leith iad a bhaineann de thaisme leis an uimhir phoirt chéanna: socraíonn an tslabhra ionchuir cad is féidir a shroichfidh próiseas áitiúil, socraíonn an tslabhra ardaíochta cad is féidir a ghabhfaidh tríd an óstach thar ceann cliaint an tolláin, agus athscríobhann an tábla NAT an seoladh foinse ar an mbealach amach. Déan ceann acu mícheart agus is annamh a bhíonn an toradh ina bhriseadh glan. Faigheann tú óstach a ghlacann le cliaint ach nach lódálann aon rud, nó óstach a bhféachann le bheith dúnta go dtí go léann duine ord na slabhraí.

An t-aon phort nach féidir a dhúnadh

Caithfidh an t-éisteoir VPN glacadh le naisc ó sheoltaí nach féidir leat a thuar, mar sin is seirbhís phoiblí é de réir sainmhínithe. Sin an t-aon eisceacht a bhfuil an dearadh tógtha uirthi: port UDP amháin do OpenVPN, port UDP amháin do WireGuard, port TCP amháin do VPN SSL. Baineann gach rud eile leis an taobh thiar den tollán, rud a chiallaíonn gur cheart do sheirbhísí feidhmchláir ceangal le seoladh an tolláin nó le loopback seachas le gach comhéadan.

Ní forfheidhmiú é ceangal, áfach. Ní féidir teacht ar phróiseas atá ceangailte le 0.0.0.0 ach amháin má ligeann riail isteach é, agus is é an polasaí réamhshocraithe an t-aisiompú do thrácht nár mheaitseáil aon riail, ní an riail a rialaíonn an port. Is glacadh fós é glacadh a chuirtear os cionn do dhiúltaithe, agus is feabhsú neamhspleách é seirbhís a bhogadh ón seoladh poiblí seachas ionadaí don tslabhra.

Freagraíonn ionchur, ardú agus NAT do cheisteanna éagsúla

Tá trácht ionchuir dírithe ar an óstach féin, mar sin is ann a chónaíonn éisteoir VPN agus an cosán riaracháin. Gabhann trácht ardaíochta tríd an óstach, agus tá sé de dhíth ar chliaint an tolláin mar aon le net.ipv4.ip_forward=1. Ligeann an chumraíocht chlasaiceach leathbhriste don sreabhadh amach agus dearmadann sí an treo fillte, mar sin críochnaíonn an cliaint a chroidhteagmháil agus ansin ní lódáiltear aon rud; clúdaíonn riail conntrack do thrácht bunaithe agus gaolmhar an treo sin.

Is é NAT an tríú ceist. Gan athscríobh i postrouting, fágfaidh paicéid ardaíochta an t-óstach le foinse phríobháideach an tolláin agus caitear uachtarach iad, toisc nach bhfuil a fhios ag aon líonra thar an óstach conas an linn a ródú ar ais. Caithfidh réimír na foinse sa riail sin teacht leis an linn VPN, ní le seoladh féin an óstaigh, agus tá an rud céanna fíor don riail ardaíochta a ainmníonn foshlíonra na gcliaint.

Is polasaí eile é IPv6, ní iar-smaoineamh. Níor dhún óstach a bhfuil slabhra IPv4 dian aige agus polasaí oscailte ar ip6tables aon rud; tá na seirbhísí fós inrochtana tríd an teaghlach eile. Déan an tsraith rialacha a scáthánú le ip6tables nó díchumasaigh IPv6 go toiliúil ar an gcomhéadan poiblí, agus scríobh síos cé acu a roghnaigh tú.

Bunús is féidir a léamh in aon phas

Tosaigh le diúltú, ansin ní chuir ach an méid a theastaíonn ón óstach. Loopback agus freagraí ar dtús, ansin an cosán riaracháin, ansin éisteoir an tolláin, ansin an polasaí ardaíochta do chliaint:

iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -A INPUT -i lo -j ACCEPT
iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -p tcp --dport 22 -m conntrack --ctstate NEW -j ACCEPT
iptables -A INPUT -p udp --dport 1194 -m conntrack --ctstate NEW -j ACCEPT
sysctl -w net.ipv4.ip_forward=1
iptables -A FORWARD -i tun0 -o eth0 -s 10.8.0.0/24 -j ACCEPT
iptables -A FORWARD -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -o eth0 -j MASQUERADE

Is sealbhóirí áite iad ainmneacha na gcomhéadan, an port agus an linn; léigh iad ón bhfreastalaí in ionad iad a chóipeáil. Tá an toradh a shábháil chomh tábhachtach leis an scríobh, mar téann sraith rialacha a mhaireann sa chuimhne amháin as feidhm ag an gcéad atosú eile agus osclaíonn sí an t-óstach arís go ciúin. Déan marthanach í le meicníocht an dáileacháin, agus coinnigh cóip lasmuigh den mheaisín don lá nach dtosóidh an meaisín.

An port deireanach a dhúnadh gan an t-óstach a chailleadh

Tá gaiste sa dearadh. Má tá SSH ann ach tríd an tollán, tógann seirbhís VPN chliseadh SSH léi, agus b’fhéidir nach bhfuil sa bhealach ar ais ach consól nár oscail tú riamh. Sula ndúnfaidh tú an port poiblí deireanach, deimhnigh go bhfuil an consól sin ann agus go bhféadann tú í a úsáid i ndáiríre, nó coinnigh cosán riaracháin cúng amháin nach bhfuil ag brath ar an tollán: SSH ó sheoladh seasta, eochracha amháin, fíordheimhniú pasfhocail as.

Cuir an t-athrú i bhfeidhm ó sheisiún atá bunaithe cheana, ní tríd an nasc a bhfuil tú ar tí a scagadh. Sceideala aischur ionas go rachaidh earráid in éag in ionad bheith buan, mar shampla tasc systemd-run --on-active=10min a athchuireann an tsraith rialacha roimhe seo, agus coinnigh dara seisiún SSH oscailte agus tú ag tástáil an chéad cheann. Ansin fíoraigh go dtéann an tasc aischuir i bhfeidhm i ndáiríre, mar is ionann aisghabháil nár tástáladh agus gan aisghabháil ar bith.

Fíoraigh an cosán, ní an script

Léigh na rialacha luchtaithe, ní an comhad a bhí leo a lódáil. Ó óstach seachtrach údaraithe, deimhnigh nach freagraíonn ach na poirt atá beartaithe; ón taobh istigh den tollán, deimhnigh go bhfuil na seirbhísí a bhí ar intinn agat a fhoilsiú inrochtana. Breathnaíonn polasaí diúltaithe réamhshocraithe a chuireann bac ar thrácht an tolláin freisin díreach mar an gcéanna le glasáil atá ag obair go dtí go ndéanann duine iarracht í a úsáid.

iptables -S
iptables -t nat -S
ss -lntup
ip -4 addr show

Taifead an port ceadaithe, linn na gcliaint, comhéadan an tolláin, an fhoinse riaracháin agus nós an chonsóil in aice na cumraíochta. Caithfear an chéad athrú eile ar an linn nó ar ainm an chomhéadain a mheaitseáil sa scagaire agus sa riail NAT araon, nó fillfidh an t-óstach ar staid leathoscailte gan aon duine ag tabhairt faoi deara.

Is fiú níos mó ná an tsraith rialacha beart amháin: tar éis gach athraithe, cruthaigh an cosán ardaíochta le hiarratas cliaint agus an cosán aisghabhála le dara seisiún. Is hipitéis í glasáil nár úsáid tú.