VPN તૂટે ત્યારે કંઈ લીક ન થાય તે માટે Linuxનું આઉટગોઇંગ કેવી રીતે લૉક કરવું

ઘરના અપલિંક પરનું મીડિયા બોક્સ વિચારો, જેને ઇન્ટરનેટ સુધી ફક્ત ટનલ દ્વારા જ પહોંચવાનું છે. ટનલ તૂટે ત્યારે એપ્લિકેશને ફિઝિકલ ઇન્ટરફેસ પર ચૂપચાપ ચાલુ રાખવાને બદલે અટકી જવું જોઈએ. આ વર્તન મેળવવું રાઉટિંગની નહીં, ફાયરવોલની સમસ્યા છે, અને આ ફરક મહત્વનો છે કારણ કે રૂટ ડેમન રીસ્ટાર્ટ દ્વારા બદલાઈ શકે છે, જ્યારે ફિલ્ટર તમે જ્યાં મૂક્યું છે ત્યાં જ રહે છે. હવે આગળ જોઈશું કે પેકેટનો રસ્તો ખરેખર કેવી રીતે નિર્ણય લે છે, અને પછી ટનલને ફરી જોડાતી રાખતા અપવાદોને કેવી રીતે મર્યાદિત કરવા.

સ્થાનિક આઉટપુટ ફોરવર્ડિંગ કરતાં અલગ હૂક છે

મશીન પરની એપ્લિકેશનમાંથી નીકળતું પેકેટ આઉટપુટ હૂકમાંથી પસાર થાય છે; મશીન બીજા હોસ્ટ માટે જે પેકેટ રાઉટ કરે છે તે ફોરવર્ડમાંથી પસાર થાય છે. જે નીતિમાં ફક્ત forward નો ઉલ્લેખ હોય છે તે બીજાને મર્યાદિત કરે છે અને પહેલાને સંપૂર્ણ ખુલ્લું રાખે છે, તેથી ઘણા આઉટગોઇંગ લૉક સાચા લાગે છે અને કંઈ કરતા નથી. ઇન્ટરફેસ મેળ બેસાડવો એ જ નિયમમાં આવે છે: oifname "tun0" accept એવા ટ્રાફિકને પસાર કરે છે જે પહેલેથી ટનલ દ્વારા રાઉટ થયેલો છે. રાઉટિંગ અને ફિલ્ટરિંગ પણ અલગ નિર્ણયો રહે છે, તેથી ફિલ્ટર પેકેટ નકારે ત્યારે પણ અપલિંક રૂટ અસ્તિત્વમાં હોઈ શકે. તમે આ જ વિભાજન પર ભરોસો રાખો છો.

બીજા ઉપકરણો માટે ફોરવર્ડ કરતા ગેટવેને બંને હૂકની જરૂર છે. ફક્ત આઉટપુટ લૉક કરવાથી મશીન પોતે સુરક્ષિત રહે છે અને નીચેના દરેક ક્લાયંટને લીક કરવાની છૂટ મળે છે.

એન્ડપોઇન્ટથી બહારની તરફ અપવાદોની યાદી લખો

ટનલના એન્ડપોઇન્ટથી શરૂ કરો: એક ગંતવ્ય સરનામું કે નાનો મંજૂર સમૂહ, ટ્રાન્સપોર્ટ પ્રોટોકોલ અને ગંતવ્ય પોર્ટ, ઉદાહરણ તરીકે udp dport 1194 ip daddr 203.0.113.7 accept. ક્લાયંટ હોસ્ટનામ રિઝોલ્વ કરે તો બૂટસ્ટ્રેપ DNS વિનિમયને પોતાનો નિયમ જોઈએ, જે રિઝોલ્વર અને પોર્ટ 53 સુધી મર્યાદિત હોય, તે રિઝોલ્વરના સરનામા માટે સર્વગ્રાહી પરવાનગી નહીં. દરેક અપવાદે તે કેમ અસ્તિત્વમાં છે તે કારણ જણાવવું જોઈએ. VPN પોર્ટ પરના બધા UDP ટ્રાફિક માટેની પરવાનગી તમારા ધ્યાનમાં રહેલી એક જ પ્રમાણિત સેવા કરતાં ઘણું વધુ આવરી લે છે.

બૂટસ્ટ્રેપ રિઝોલ્યુશન એ જ જગ્યા છે જ્યાં લૉક સામાન્ય રીતે સડી જાય છે. ટાઇમર પર રિફ્રેશ થતા સરનામાના સમૂહને રિફ્રેશ નિષ્ફળ જાય ત્યારે નિશ્ચિત વર્તનની જરૂર છે, અને એ વર્તન સફળ ન થાય ત્યાં સુધી અપલિંક ખોલવાનું ન હોઈ શકે. ટનલ ચાલુ હોય ત્યારે ટનલ દ્વારા રિફ્રેશ કરો, અને નહીં તો છેલ્લા જાણીતા સ્વસ્થ એન્ડપોઇન્ટ પર પાછા ફરો.

સ્થાનિક વ્યવસ્થાપનને પણ એ જ વર્તન જોઈએ. મેનેજમેન્ટ સબનેટ ફક્ત એટલા માટે ભરોસાપાત્ર નથી કે તેના સરનામાં ખાનગી છે, અને તેના પર ભરોસો રાખતો નિયમ લૉક ફરતે બીજો રસ્તો આમંત્રે છે.

ઇન્ટરફેસ મેળ બેસાડવો સ્વસ્થ ટનલનો પુરાવો નથી

tun0 માંથી નીકળતું બધું સ્વીકારતા નિયમો ધારે છે કે એ ઇન્ટરફેસ પરનું પેકેટ ટનલમાંથી આવ્યું છે. ઇન્ટરફેસના નામ ફરી બનાવાય છે, અને નામ એ ક્રિપ્ટોગ્રાફિક ઓળખ નથી. પીઅર પણ જતું રહી શકે જ્યારે ઇન્ટરફેસ ચાલુ રહે, જે નિયમને અત્યંત વિશ્વાસપાત્ર નિષ્ક્રિયતા બનાવે છે.

કનેક્શન ટ્રેકિંગ સંબંધિત ફાંસો ઉમેરે છે. સ્થાપિત કનેક્શન માટેનો વિશાળ નિયમ ફ્લોને પહેલાં મળેલી પરવાનગી ફરી ચલાવે છે, તેથી ટનલ તૂટતાં પહેલાં શરૂ થયેલું સત્ર પછી પણ ચાલુ રહે છે. સ્ટેટ આધારિત સ્વીકૃતિને તમે ખરેખર ધ્યાનમાં રાખો છો તે ઇન્ટરફેસ અને સરનામાં સુધી મર્યાદિત કરો, નહીં તો તમે પોતાને ખોલતું લૉક બનાવ્યું છે. ઇનપુટ અને આઉટપુટ નિયમો પણ જુદા પ્રશ્નોના જવાબ આપે છે, અને એકને કડક કરી બીજાને અવગણવાથી મશીન તમે ન વિચારેલી દિશામાં પહોંચી શકાય તેમ રહે છે.

ડેમન ક્રેશ પછી શું ટકે છે

ટનલ ઉપર આવ્યા પછી ચાલતી સ્ક્રિપ્ટ જે ફિલ્ટર સ્થાપે છે તે ટનલ સાથે જ અદૃશ્ય થાય છે, બરાબર જ્યારે તેની જરૂર હોય ત્યારે. લૉક બૂટ વખતે લોડ કરો અને ડેમનને ફક્ત તેના અપવાદો સંભાળવા દો.

ડિફૉલ્ટ રૂટ કાઢી નાખવો પણ વિકલ્પ નથી. રૂટ એ સ્થિતિ છે જેની ડેમન માલિકી ધરાવે છે અને ફરી લખે છે, અને તેને દૂર કરવાથી ફરી જોડાવા માટે જરૂરી રસ્તો જતો રહી શકે. IPv6ને પોતાની યોજના જોઈએ, કારણ કે નેબર ડિસ્કવરી અને રાઉટર જાહેરાતો લિંક સેવાઓ છે જે સામાન્ય ટ્રાફિક બ્લૉક હોય ત્યારે પણ ચાલુ રહેવી જોઈએ. DHCP એ જ શ્રેણીમાં આવે છે. આ વસ્તુઓને હેતુ સાથેના અપવાદો તરીકે લખો, પછી અટકાવ તરીકે શોધવાને બદલે.

જમાવઠા પહેલાં પુનઃપ્રાપ્તિનો રસ્તો

લૉકને એ રીતે ચકાસો જે રીતે તે નિષ્ફળ જશે: ટનલ વગર બૂટ, ડેમન મારો, એન્ડપોઇન્ટ બદલો અને ફરી જોડાઓ. દરેક કિસ્સામાં એપ્લિકેશન અટકવી જોઈએ અને પુનઃપ્રાપ્તિ ચેનલ ચાલુ રહેવી જોઈએ. આ કન્સોલથી કરો, કારણ કે રિમોટ શેલ એ સત્ર છે જે તમારા પોતાના નિયમથી સૌથી વધુ લૉક થવાની શક્યતા ધરાવે છે.

પછી તપાસો કે સામાન્ય એપ્લિકેશન હજી ક્યાં પહોંચી શકે છે, નિરુપદ્રવી ગંતવ્ય અને ચકાસી શકાય તેવી વિનંતી સાથે. તમે ઇચ્છો છો તે પરિણામ અપલિંક પર નકાર અને ટનલ દ્વારા સફળતા છે, બંનેનો અર્થ થઈ શકે તેવી અસ્પષ્ટ સમયમર્યાદા નહીં. નિયમોનો સમૂહ ફાયરવોલના બાકીના ભાગ જેવા જ માલિક હેઠળ રાખો, શેલ સ્ક્રિપ્ટમાંથી આખું ટેબલ બદલવાને બદલે. જે નીતિમાં દરેક પરવાનગી પોતાને ન્યાયી ઠેરવી શકે તે કોઈ સમજાવી ન શકે તેવા લાંબા નિયમસમૂહ કરતાં વધુ મૂલ્યવાન છે.