Toshe yanki ɗaya na manufa ga kowane rukunin abokan ciniki na VPN

Doka ɗaya na iya nisantar da rukunin VPN da aka yarda da shi daga yankin manufa ba tare da kawo cikas ga wani abu da ƙofar ke yi ba. Dokar kanta gajera ce; abin da ke tabbatar da ko za ta yi aiki shi ne hook ɗin da take ciki da matsayinta a cikin sarkar. Idan ka yi kuskure a waɗannan biyu, za ka sami katangar wuta da ke kama da daidai kuma tana aiki ba daidai ba. Fara daga abin da fakitin ke yi sa’ad da dokar ta gan shi.

Abin da dokar ke daidaitawa a zahiri

Dokar tana daidaita abubuwa uku a lokaci ɗaya: interface ɗin shigarwa, prefix ɗin tushe da prefix ɗin manufa. Dukan ukun dole su zama gaskiya kafin a yi drop, kuma wannan ne ke riƙe ta kunkuntar. Karanta ta a matsayin magana ɗaya ya fi sauƙi fiye da karanta ta a matsayin manufofi uku daban-daban.

Daidaiton interface shi ne ke bambanta zirga-zirgar abokin ciniki da aka tura gaba daga haɗin kan ƙofar. Idan babu shi, dokar da ta ambaci rukunin tushe kawai za ta shafi fakiti da ƙofar kanta ke ƙirƙira daga wannan adireshin, idan ta taɓa yin haka. Prefix ɗin tushe yana iyakance manufar ga abokan cinikin da aka yarda da su, kuma prefix ɗin manufa yana iyakance ta ga yanki ɗaya. Karanta dokar a matsayin haɗuwa ba a matsayin jeri ba.

Rubuta ƙimar uku kafin ka gyara wani abu: sunan interface ɗin tunnel, rukunin da uwar garken ke bayarwa, da prefix ɗin da kake son hana shi. Kuskuren rubutu a ɗayansu yana haifar da doka da ake nazari da kyau kuma ba ta kare komai. Riƙe waɗannan ƙima uku a cikin rikodin canji kusa da dokar.

Hook ɗin yana yanke shawarar kan wanda dokar ta shafi

Ana haɗa sarkar netfilter da hook, kuma hook ɗin ne ke yanke shawarar waɗanne fakiti sarkar ke gani. Hook ɗin forward yana ganin zirga-zirgar da aka yi mata hanya ta ƙofar, wato zirga-zirgar abokin ciniki zuwa manufa. Duk sauran da ke cikin sarkar an nufa su ga wani masu sauraro dabam.

Hook ɗin input yana ganin zirga-zirgar da aka aika zuwa ƙofar kanta, don haka dokar da aka sanya a can tana kula da damar shiga hidimominta maimakon wucewa. Hook ɗin output yana ganin zirga-zirgar da ƙofar ke haifarwa, wanda shine akasin abin da manufar rukunin abokan ciniki ke buƙata. Sunayen sarkoki lakabi ne na son rai da wanda ya rubuta ka'idojin ya zaɓa, don haka kada ka gano hook daga sunan. Duba inda aka haɗa sarkar kafin ka ɗauka abin da za ta iya daidaitawa.

Karanta haɗin layi ɗaya ne na dubawa wanda ke hana doka faɗawa cikin sarkar da ba ta taɓa ganin fakitin.

Sanya dokar gaban karɓa mai faɗi

Ana kimanta dokoki bisa tsari, kuma hukunci na farko ne ke yin nasara. Karɓa mai faɗi da ke gaba a sarkar yana ƙare kimantawa ga fakitan da ya dace da su, don haka drop da aka ƙara bayan haka ba ya taɓa gudana gare su. Wannan ka'idar tsari ita ce dukan dalilin da ya sa doka mai kama da daidai ba ta da wani tasiri.

Saka dokar gaban karɓa maimakon ƙara ta a ƙarshen. Idan sarkar tana da karɓa gama-gari don interface ɗin tunnel, sabuwar dokar dole ta gabace shi in ba haka ba kawai adon ne. Duba tsarin da ya samu ba fayil ɗin da ka gyara ba, domin rukunin ka'idoji da aka haɗa daga fayiloli da yawa mai yiwuwa ba ya dace da kowane ɗaya. Sannan tabbatar da fakitin gwaji daga rukunin.

sudo nft list chain inet filter forward
sudo nft insert rule inet filter forward iifname "tun0" ip saddr 10.90.0.0/24 ip daddr 198.51.100.0/24 drop
sudo nft -c -f /etc/nftables.conf

Umarni na uku yana nazarin fayil ɗin ba tare da amfani da shi ba, wanda ke kama kurakuran tsari kafin su zama katsewa. Yi amfani da shi tare da shirin janyewa, domin kuskuren doka a sarkar forward na iya yanke tunnel ɗin da kake aiki a kai.

Magudanan da suka wanzu ba su damu da sabuwar dokarka ba

Shigarwar conntrack da aka ƙirƙira kafin dokar ta wanzu tana ci gaba da dacewa da karɓar da ta gabata. Shi ya sa sabon drop wani lokaci yana kama da yin aiki ga sabbin haɗi kuma ba ya yin komai ga wanda ake gwadawa.

Karanta daidaiton yanayi a saman sarkar. Idan tana karɓar zirga-zirgar established da related kafin dokarka, kowane magudanar da ke gudana yana ci gaba har sai ya rufe. Yawanci wannan shine halin da kake so ga dokar gaggawa, kuma yana da ruɗani sa’ad da kake tsammanin yanke nan take. Yanke shawarar wane tasiri kake so kafin turawa. Gwajin da ke sake amfani da buɗaɗɗiyar haɗi zai gaya maka labari mara kyau.

sudo conntrack -L -s 10.90.0.14 -d 198.51.100.20
sudo nft list ruleset | grep -n -A3 'ct state'

Umarni na farko yana nuna ko magudanar ta wanzu, na biyu kuma yana nuna ko dokar yanayi ta farko tana ci gaba da karɓarta. Dukansu karatu ne kawai kuma amintattu ne a lokacin aukuwa.

Abin da wannan doka ba ta kasance ba

Dokar ba baƙin jerin sunayen yanki ba ce, manufar IPv6 ba, ko takunkumi kan asusun aikace-aikace ɗaya ba.

Kowanne daga cikinsu yana buƙatar nasa tsarin. Toshe yanki dole ya warware sunaye, abin da matatar fakiti ba ta yi. Zirga-zirgar IPv6 tana buƙatar nata daidaiton, domin maganar ip ba ta ce komai ba game da fakitan ip6. Takunkumi a matakin aikace-aikace na hidima ne ko na wakili mai tabbatarwa, ba na daidaiton prefix ba. Raba waɗannan buƙatu shi ne ke hana a nemi doka ɗaya kunkuntar ta yi ayyuka huɗu.

Yarjejeniyar da wannan doka ke bayarwa daidai take: ana hana zirga-zirga daga rukunin da aka yarda zuwa prefix ɗin manufa ɗaya, yayin da zirga-zirgar ƙofar da ba ta da alaƙa ke riƙe da manufarta ta yanzu. Rubuta wannan jumlar kusa da dokar, kuma na gaba zai san abin da aka yi ta.