ઘરના NAT તમારા VPN ઇન્ટરફેસને કેમ રક્ષણ આપતું નથી
ઘરનું રાઉટર સુરંગ આગળ મોકલે છે, પણ યજમાન ડિક્રિપ્ટ થયેલા પેકેટનો નિર્ણય કરે છે. શ્રોતા, આંતરિક માર્ગ અને પ્રવેશ નીતિ અલગ વાંચો.
ઘરના રાઉટર પાછળ પોર્ટ ફોરવર્ડિંગ વગરના લેપટોપ હજી પણ VPN દ્વારા આવતા SSH જોડાણો સ્વીકારે છે. આ વિરોધાભાસ નથી, કારણ કે બે અલગ ઉપકરણો બે અલગ પેકેટનો નિર્ણય કરે છે. રાઉટર એન્ક્રિપ્ટેડ પરિવહન આગળ મોકલે છે, અને યજમાન નક્કી કરે છે કે તેના સુરંગ ઇન્ટરફેસ પર પહોંચતા ડિક્રિપ્ટ થયેલા પેકેટનું શું કરવું. આ બે નિર્ણયો અલગ રાખવા એ જ આખો અભ્યાસ છે.
રાઉટર સુરંગ આગળ મોકલે છે, યજમાન પેકેટનો નિર્ણય કરે છે
એક પણ નિયમ જોતા પહેલા દૂરના સ્રોતથી સેવા સુધીનો માર્ગ દોરો. બાહ્ય ભાગ VPN પરિવહન છે, જે રાઉટર અને ગેટવે સંભાળે છે. આંતરિક ભાગ ત્યારે શરૂ થાય છે જ્યારે એન્ડપોઇન્ટ સુરંગનું સ્તર ઉતારે છે અને યજમાનને તેના VPN સરનામે મોકલેલું પેકેટ મળે છે.
આ બે ભાગ જોડી દો અને રાઉટર યજમાન લેતો નિર્ણયનું શ્રેય લઈ લે છે. પોર્ટ ફોરવર્ડિંગ પૃષ્ઠ કે રાઉટર લોગ ફક્ત બાહ્ય વાતચીત વર્ણવે છે, અને તેમાંથી કોઈ કહેતું નથી કે યજમાન કયો ડિક્રિપ્ટ થયેલો ટ્રાફિક સ્વીકારશે. યજમાન આંતરિક પેકેટ પર પોતાની પ્રવેશ નીતિ લાગુ કરે છે, જેમ ઇન્ટરફેસ પર આવતા કોઈપણ પેકેટ પર કરે છે. આ જ નીતિમાં એક્સપોઝરનો પ્રશ્ન ખરેખર નક્કી થાય છે.
વાઇલ્ડકાર્ડ શ્રોતા જાહેર સેવા નથી
Linux માં INADDR_ANY પર બાંધવાનો અર્થ દરેક સ્થાનિક સરનામું છે, તેથી સેવા એવા સુરંગ ઇન્ટરફેસ પર જવાબ આપી શકે છે જેનું તેણે ક્યારેય નામ નથી આપ્યું. IP સોકેટ સંદર્ભ તે બંધનનું વર્ણન કરે છે, અને શ્રોતાઓની યાદીમાંથી તારણ કાઢતા પહેલા તે વાંચવા યોગ્ય છે. વાઇલ્ડકાર્ડ નોંધ સોકેટ વિશેની હકીકત છે, પહોંચ વિશેનો દાવો નથી.
નીચેની બે લાઇન એક જ સેવાના બે અલગ બંધનો છે, અને ફરક એ જ પ્રશ્નનો આખો જવાબ છે કે ઇન્ટરફેસ મહત્ત્વનું છે કે નહીં. સૌથી પહેલા વાંચો કે સોકેટ કયા સરનામે બેઠું છે.
ss -lntp "sport = :22"
LISTEN 0 4096 0.0.0.0:22 0.0.0.0:* users:(("sshd",pid=812,fd=3))
LISTEN 0 4096 10.8.0.6:22 0.0.0.0:* users:(("sshd",pid=812,fd=4))જે ગોઠવણ પોર્ટ સુધી પહોંચી શકે તેનું નામ આપો
ત્રણ ગોઠવણો તે ઇન્ટરફેસ પર પેકેટ મૂકે છે, અને તેમના માલિકો અલગ છે. સાચીનું નામ આપવું નક્કી કરે છે કે કોણે નીતિ બદલવી છે.
| Arrangement | What reaches the port | Where the decision lives |
|---|---|---|
| Another permitted VPN peer | A packet from the same tunnel subnet | Gateway forwarding policy and host input rules |
| A deliberate public forward | Traffic the gateway publishes on purpose | Gateway service definition |
| A subnet routed behind the gateway | Client traffic from the far side | Gateway route and host input rules |
જાહેર નિકાસ સરનામું દર્શાવતું બ્રાઉઝર પરિણામ ત્રણમાંથી કોઈ વિશે કંઈ કહેતું નથી, કારણ કે તે બહાર જતો ટ્રાફિક કેવી રીતે નીકળે છે તે વર્ણવે છે, અંદર આવતા ટ્રાફિકને શું પરવાનગી છે તે નહીં. તેના બદલે શ્રોતા અને સેવા લોગમાંના સ્રોત સરનામેથી પાછળ કામ કરો. જો સ્રોત બીજો સુરંગ સાથી હોય તો ગેટવે નીતિ રસપ્રદ દસ્તાવેજ છે. જો તે અનુવાદિત સરનામું હોય તો નિયમ બદલતા પહેલા અનુવાદ શોધો.
સેવાને તમારા ઇરાદાના માર્ગ સુધી મર્યાદિત કરો
જો SSH ફક્ત સંચાલન માર્ગથી જોઈએ તો તે માર્ગ સ્રોત શ્રેણી અને એક ઇન્ટરફેસ તરીકે લખો. પછી યજમાનના પ્રવેશ નિયમોને નેટવર્ક નામ પ્રમાણે નહીં પણ ઇન્ટરફેસ, ગંતવ્ય અને સ્રોત પ્રમાણે મર્યાદિત કરો, કારણ કે ખાનગી દેખાતું નામ કોઈપણ સરનામાનું પ્રતિનિધિત્વ કરી શકે છે. આગલી સમસ્યા ઉકેલનાર માટે માર્ગ રાખો.
nft add rule inet filter input iifname "tun0" ip saddr 10.8.0.0/24 tcp dport 22 accept
nft list chain inet filter inputજે નિયમ સુરંગ ઇન્ટરફેસ અને સંચાલન શ્રેણીનું નામ લે છે તે ઇરાદો એક જ જગ્યાએ જણાવે છે. તેની Wi-Fi નેટવર્ક માટે લખાયેલા નિયમ સાથે તુલના કરો, જે ડિક્રિપ્ટ થયેલા સુરંગ ટ્રાફિક વિશે કંઈ કહેતું નથી. જ્યારે બંને સ્તરો અસહમત હોય ત્યારે યજમાનની નીતિ જ પેકેટને મળે છે.
લોગિન અને પેચ જ્યાં છે ત્યાં જ રહેવા દો; પોર્ટ સુધી પહોંચવું ક્યારેય તેનો ઉપયોગ કરવાની પરવાનગી જેટલું નહોતું. કોઈપણ અજાણ્યા સ્રોત માટે સરનામા કુટુંબ અને સમય નોંધો, અને કોઈ સુવિધા કે ભેદ્યતાને દોષ દેતા પહેલા તપાસ કરો. જે નિયમ દરેક સુરંગ સાથીને અંદર આવવા દે છે તે સંચાલન સબનેટને આવવા દેનારાથી અલગ ડિઝાઇન છે, અને કોઈ લોગ લાઇન નહીં કહે કે કયો ઇરાદો હતો.
સુધારાને એક સફળતા અને એક ઇનકાર સાથે સ્વીકારો
બંને અડધા સાબિત કરો: એક મંજૂર જોડાણ સફળ થાય છે અને એક બાકાત માર્ગ નકારાય છે. ઇનકાર એ અડધો છે જે લોકો છોડી દે છે, અને તે જ દર્શાવે છે કે નિયમ કામ કરે છે, પરવાનગી આપતા ડિફોલ્ટની બાજુમાં ઊભો નથી. બાકાત બાજુથી પરીક્ષણ કરો, તેના વિશે વિચારવાને બદલે.
ફરી જોડાયા પછી જોડીનું પુનરાવર્તન કરો, કારણ કે અલગ ઇન્ટરફેસ નામ સાથે પાછી આવતી સુરંગ જૂની માટે મર્યાદિત નિયમને શાંતિથી ટાળી શકે છે. જે મર્યાદા મહત્ત્વની છે તે જ છે જે યજમાન ખરેખર મળતા પેકેટો પર લાગુ કરે છે.