નવા VPN એક્ઝિટ પર નવા કનેક્શન, જૂનાં ફ્લો અકબંધ રહે છે

આયોજિત ડ્રેન ફક્ત વર્ગીકૃત ન કરેલા ફ્લોને ખસેડે છે. તેની સરખામણી રૂટ સ્વેપ સાથે કરો, અને તેને ટકાવી રાખતા માર્ક, કોષ્ટકો અને conntrack સ્થિતિ જુઓ.

બે સ્વસ્થ VPN એક્ઝિટ, એક લાંબું અપલોડ પહેલેથી ચાલી રહ્યું છે, અને એવી આવશ્યકતા કે આગલું કનેક્શન બીજી ટનલ વાપરે. તેને પૂર્ણ કરવાની બે રીતો છે, અને તેમાંથી ફક્ત એક જ જીવંત ગેટવે પર સુરક્ષિત છે. ડિફોલ્ટ રૂટ બદલવાથી દરેક પેકેટ ખસે છે, જે અપલોડના છે તે પણ. આયોજિત ડ્રેન નવા કનેક્શન માટે પસંદગી બદલે છે અને ટ્રેક કરેલા ફ્લોને તેઓ જ્યાં શરૂ થયા તે માર્ગ પર જ રહેવા દે છે.

એક્ઝિટ બદલવાની બે રીતો

રૂટ સ્વેપ એક જ આદેશ છે અને સેકંડોમાં પાછું ફેરવી શકાય છે, તેથી ઘટનાઓ દરમિયાન તેનો ઉપયોગ થાય છે. તે ભેદભાવ વગરનું પણ છે: હાલના અપલોડના પેકેટ અચાનક બીજી ટનલમાંથી નીકળે છે, અલગ જાહેર સ્રોત સરનામા અને અલગ અનુવાદ સ્થિતિ સાથે.

જો દૂરનો છેડો સ્રોત સરનામા દ્વારા ફ્લો ટ્રેક કરે છે, તો અપલોડ ફક્ત ઓળખાવાનું બંધ થઈ શકે છે. ડ્રેન આને દરેક કનેક્શન માટે એક વાર નિર્ણય લઈને તેને સંગ્રહિત કરીને ટાળે છે, તેથી જૂનું અપલોડ પૂરું થાય ત્યાં સુધી તેનું એક્ઝિટ જાળવી રાખે છે. આ જ આખા અભ્યાસનું મૂલ્ય છે: દૂરનો છેડો કોઈ એવો ફેરફાર જોતો નથી જેનું તેને અર્થઘટન કરવું પડે. તે પહેલેથી જાણતું કનેક્શન સાથે મેળ ખાતા પેકેટ સ્વીકારતું રહે છે.

કિંમત જટિલતા છે: બે રાઉટિંગ કોષ્ટકો, યોગ્ય હૂક પર ચાલતું વર્ગીકરણકર્તા, અને એવા માર્ક કે જે મશીન પર તેનો ઉપયોગ કરતા બીજા બધા સાથે સંકલિત કરવા પડે.

દરેક એક્ઝિટને તેનું પોતાનું કોષ્ટક આપો

દરેક એક્ઝિટ માટે રાઉટિંગ કોષ્ટક અને બે પસંદગીઓ માટે અલગ માર્ક મૂલ્યો અથવા બિટ્સ અનામત રાખો. દરેક કોષ્ટકને ફક્ત નામ નહીં, તેની ભૂમિકાને અનુરૂપ રૂટની જરૂર છે, અને ગુમ થયેલા કેસ માટે ઇરાદાપૂર્વક નિષ્ફળતાનું પરિણામ જોઈએ. એક ખાલી કોષ્ટક જે ચૂપચાપ મુખ્ય કોષ્ટકમાં પડી જાય છે — આ રીતે ટ્રાફિક એવા એક્ઝિટમાંથી નીકળે છે જે કોઈએ પસંદ કર્યું નથી.

ip rule add fwmark 0x10/0x10 table 101
ip rule add fwmark 0x20/0x20 table 102
ip route add default via 192.0.2.1 dev wg-a table 101
ip route add default via 198.51.100.1 dev wg-b table 102

દરેક કોષ્ટકના અંતે blackhole રૂટ ઉમેરો જેથી કોઈ મેળ ન મળતી શોધ તમે પસંદ ન કરેલા ડિફોલ્ટ તરફ ભાગવાને બદલે મોટેથી નિષ્ફળ જાય.

એક વાર પસંદ કરો, પહેલા પેકેટ પર

કનેક્શન ટ્રેકિંગ અસ્તિત્વમાં આવ્યા પછી અને મહત્વના રૂટ શોધ પહેલાં વર્ગીકરણ કરો. નવા, અવર્ગીકૃત LAN કનેક્શન માટે એક્ઝિટ પસંદ કરો અને તેને કનેક્શન સ્થિતિમાં સંગ્રહિત કરો. પછીના પેકેટો પર, સંગ્રહિત મૂલ્યને પેકેટ માર્કમાં પુનઃસ્થાપિત કરો જે નીતિ રાઉટિંગ વાંચે છે.

સૂક્ષ્મ ભાગ એ છે કે નવું એટલે શું. જવાબ જોવાતા પહેલાં પ્રારંભિક પેકેટો અને પુનઃપ્રસારણ માટે conntrack હજી NEW જણાવી શકે છે, તેથી ફક્ત તે સ્થિતિ પર આધાર રાખતું વર્ગીકરણકર્તા પહેલેથી કરેલી પસંદગીને ફરી લખી શકે છે. એક સોંપતા પહેલાં ચકાસો કે કનેક્શન માટે કોઈ એક્ઝિટ સંગ્રહિત નથી.

nftables પેકેટ અને કનેક્શન માર્ક અલગ રાખે છે, અને મેટાઇન્ફોર્મેશન માર્ગદર્શિકા તેમની વચ્ચેની સ્પષ્ટ નકલનું દસ્તાવેજીકરણ કરે છે. કનેક્શન માર્ક જાતે જ તે પેકેટ માર્ક બનતું નથી જેની સાથે તમારો નિયમ મેળ ખાય છે, અને આ જ સાવચેતીથી લખાયેલા વર્ગીકરણકર્તાની કોઈ અસર ન થવાનું સૌથી સામાન્ય કારણ છે.

પુનઃસ્થાપનને તમે ઇચ્છો તે દિશા અને ટ્રાફિક સુધી મર્યાદિત કરો. પાછા ફરતા પેકેટો પર ઇન્ટરનેટ-એક્ઝિટ માર્ક લાગુ કરવાથી જવાબો LANને બદલે એક્ઝિટ તરફ જઈ શકે છે, અને લક્ષણ એકમાર્ગી કનેક્શન છે જે ફાયરવોલ સમસ્યા જેવું લાગે છે. ફાયરવોલ નિયમને સ્પર્શ કરતા પહેલાં જવાબનો માર્ગ વાંચો, કારણ કે પેકેટ રૂટ થઈ રહ્યું છે, ફક્ત મોકલનાર તરફ પાછું નથી.

ડ્રેનના ચાર તબક્કા

  1. A ને સ્પર્શ કર્યા વિના B તૈયાર કરો: રાઉટિંગ, ફોરવર્ડિંગ, અધિકૃતિ, NAT અને પરત માર્ગ. ગેટવેના હાલના રૂપરેખા માલિક દ્વારા તેનું કોષ્ટક અને પસંદગી નીતિ સ્થાપિત કરો.

  2. વર્ગીકરણકર્તા બદલો જેથી નવા, અવર્ગીકૃત કનેક્શન B પસંદ કરે, સંગ્રહિત પસંદગીઓ જાળવી રાખીને. અણુ nftables વ્યવહાર એવી વિંડો ટાળે છે જ્યાં જૂની સ્થિતિ સાફ કરવી પડે.

  3. A ના ફ્લો પૂરા થાય ત્યાં સુધી A ચાલુ રાખો. તેનું ઇન્ટરફેસ, કોષ્ટક, દૂરનું એક્ઝિટ અને NAT મેપિંગ હજી તે ફ્લોનો ભાગ છે, અને NAT નિયમ સંપાદિત કરવાથી પહેલેથી અસ્તિત્વમાં રહેલા બંધનો ફરી બનતા નથી.

  4. ડ્રેનની શરત પૂરી થાય ત્યારે A નિવૃત્ત કરો, જે એક શાંત અંતરાલને બદલે કનેક્શન સ્થિતિ અને એપ્લિકેશનના વર્તન પરથી નક્કી થાય.

ડ્રેન શું વચન આપી શકતું નથી

બ્રાઉઝર વિનંતી નવું પરિવહન કનેક્શન નથી; પૂલિંગ જૂના પર જ વિનંતીઓ મોકલતું રહે છે. તેનાથી વિપરીત, UDP ફ્લો conntrackમાંથી જૂનું થઈ શકે છે અને પછીનું પેકેટ ફરીથી વર્ગીકૃત થાય છે. ડ્રેન ટ્રેક કરેલા ફ્લોને અનુસરે છે, એપ્લિકેશનના સત્રની કલ્પનાને નહીં.

જો A તેના ફ્લો પૂરા થાય તે પહેલાં નિષ્ફળ જાય, તો સંગ્રહિત માર્ક તેમને બચાવતું નથી. તેઓ B દ્વારા ફરી જોડાય છે, અથવા બિલકુલ જોડાતા નથી. આયોજિત ડ્રેન મૂળ માર્ગ સ્વસ્થ હોય ત્યાં સુધી સાતત્ય ખરીદે છે; તે સ્વતંત્ર એક્ઝિટ વચ્ચે સ્થિતિની નકલ નથી.

બંને અર્ધ ચકાસો

ફેરફાર પહેલાં લાંબા સમયનું મંજૂર કનેક્શન અને પછી ખરેખર નવું શરૂ કરો. દરેક કઈ ટનલ વાપરે છે અને દૂરનો છેડો કયું જાહેર સ્રોત સરનામું જુએ છે તેની પુષ્ટિ કરો, પછી ચકાસો કે પરત ટ્રાફિક પાછો આવે છે.

નવી પસંદગી દેખાવા માટે conntrack કોષ્ટક ખાલી ન કરો. તે બરાબર એ જ સ્થિતિનો નાશ કરે છે જે ડ્રેનને સાચવવાની હોય છે, અને નિયંત્રિત સ્થળાંતરને સ્વચ્છ દેખાતી કસોટી સાથે વિક્ષેપમાં ફેરવે છે.

સંબંધિત લેખો