Toshe ɗaya OpenVPN abokin ciniki daga LAN ba tare da dakatar da rami ba

Ɗaya abokin ciniki a kan OpenVPN uwar garkenka dole ya rasa damar LAN yayin da duk sauran ramuka ke aiki. Idan ka nemi haka, amsa mafi kyau yawanci tana cewa daemon ba zai iya ba, wanda rabin gaskiya ne kawai: OpenVPN ba shi da bangon wuta na kowane abokin ciniki, amma uwar gidan da ke ƙare ramin yana riga yana tace fakiti. Hukunce-hukuncen biyu da suka fi muhimmanci su ne asalin da kake toshewa da matsayin ƙa'idar. Idan ka yi su daidai, canjin zai zama layi ɗaya da za ka iya gwadawa da cirewa.

Ka ɗaure abokin ciniki kafin ka rubuta ƙa'idar

OpenVPN yana ba da hayar adiresoshin rami daga tafki, don haka 10.8.0.6 wurin zama ne, ba mutum ba. Idan zaman ya ƙare hayar tana dawowa kuma ana iya ba da ita ga haɗi na gaba, wanda ke nufin ƙa'idar da aka rubuta a kan wannan adireshin tana bin wurin zama, ba mai amfani ba. Don haka ka fara yanke shawara abin da kake toshewa da gaske: adireshi don ɗan gajeren gwaji, ko takardar shaida ga wanda kake so ka kiyaye a waje.

Don ɗaure adireshin ga takardar shaida, ƙirƙiri fayil a cikin jagorar da client-config-dir ya ambata kuma ba fayil ɗin ainihin common name na takardar shaidar. Saka umarni ɗaya a ciki, ifconfig-push 10.8.0.6 255.255.255.0, kuma wannan abokin ciniki yana riƙe da adireshin rami ɗaya a duk sake haɗawa. Dole ne saituna biyu su kasance domin wannan ya yi tasiri: dole a bayyana client-config-dir a cikin tsarin uwar garke, kuma adireshin da ake turawa dole ya kasance a cikin ƙaramin cibiyar da uwar garke za ta iya yi masa hanya. Idan ɗaya ya ɓace, ana watsi da fayil ɗin ba tare da kuskure ba, wanda ke sa gwajin bangon wuta na gaba ya zama mai ruɗani.

Toshewar wucin gadi na iya amfani da adireshin tafki, muddin tikitin ya rubuta wane zaman ne ya riƙe shi a lokacin.

Tsari ne ke yanke shawara ko jefarwar za ta gudana

A kan ƙofar Linux da ke tura tsakanin ramin da LAN, fakiti suna wucewa ta sarkar FORWARD. Karanta umarnin da ke ƙasa a matsayin jumla: saka a farkon FORWARD, daidaita zirga-zirgar da ke shigowa daga tun0, daga wannan uwar gida ɗaya, zuwa ƙaramin cibiyar LAN, sannan ka jefar da ita.

iptables -I FORWARD -i tun0 -s 10.8.0.6/32 -d 192.168.1.0/24 -j DROP

-I ne ke sa ƙa'idar ta gudana. Idan an ƙara da -A, tana sauka ƙasan duk wani babban karɓa na ƙaramin cibiyar rami kuma ba ta taɓa ganin fakiti. Tabbatar da matsayi da iptables -vnL FORWARD --line-numbers, sannan ka karanta ƙididdiga: jefarwa a saman da ba ta ƙidaya komai tana nufin zirga-zirgar tana zuwa ta wata hanya.

Adireshin LAN na ƙofar da kanta wata hanya ce dabam. Fakitin da aka aika zuwa akwatin kansa suna zuwa INPUT, ba FORWARD ba, don haka abokin ciniki zai iya rasa uwar gidan LAN kuma har yanzu ya buɗe shafin gudanarwa na na'urar. Ƙara ƙa'idar INPUT da ta dace lokacin da wannan ya yi muhimmanci.

Abin da tacewa ba za ta iya gani ba

Tacewa tana faruwa lokacin da ake kimanta fakiti, don haka zaman TCP da aka kafa zai iya ci gaba har sai an rufe shi ko an sake saita shi. Idan toshewar dole ta yi aiki nan take, share magudanar da aka bi na wannan tushen da conntrack -D -s 10.8.0.6 bayan an saka ƙa'idar. Idan ɗan daƙiƙa na haɗuwa ya dace, rubuta wannan zaɓi maimakon barin shi a fakaice. Ko ta yaya, mutum na gaba yana buƙatar sanin ko ƙa'idar tana tsayar da zirga-zirgar rai ko sabbin haɗi kawai.

Zirga-zirgar takwarori ba ta taɓa bangon wutar uwar gida ba. Da client-to-client a kunne, OpenVPN yana tura waɗannan fakiti a cikin daemon, don haka FORWARD ko INPUT ba sa ganin su. Maganin kawai shi ne kashe client-to-client ko yarda da cewa takwarori za su iya isa juna; ƙa'idar iptables ba za ta ga wannan zirga-zirgar ba.

IPv6, firmware da tsira bayan sake kunnawa

Ƙa'idar IPv4 ba ta ce komai game da IPv6 ba. Idan ramin da LAN suna ɗauke da duka iyalai biyu, ƙa'idar da ta dace dole ta kasance a cikin ip6tables, ko a cikin rukunin ƙa'idodin nftables da ke da manufa a wannan uwar gida. Firmware na na'urar yawanci yana ɓoye netfilter a bayan nata tsari, don haka rubutun da aka kwafa daga dandalin tattaunawa da sunayen tebur ba za su yi aiki ba.

A OpenWrt, hanyar da aka rubuta ita ce shigarwar tsarin bangon wuta ba layin iptables da aka rubuta da hannu ba, kuma layin da aka rubuta da hannu zai iya ɓacewa lokacin da bangon wuta ya sake lodawa. Wasu rarrabawa suna maido da ƙa'idoji ta netfilter-persistent, naúrar taya ko ajiyar mai siyarwa, kuma waɗannan hanyoyin ba za a iya musanya su ba. Tabbatar da wanda ka zaɓa da sake kunnawa, domin sake lodawa yana gwada wata hanya dabam.

Tabbatar da kowace hanya, sannan ka koma baya cikin tsabta

Gwada kowace hanya daban, domin tabbaci ɗaya mai nasara yana ɓoye sauran. Abokin ciniki da aka toshe ya kamata har yanzu ya isa intanet ta rami yayin da ya kasa a kan uwar gidan LAN, abokin ciniki na biyu ya kamata ya isa wannan uwar gida, kuma adireshin ƙofa da hanyar takwarori kowanne yana buƙatar nasa lura. Rubuta sakamakon kusa da ƙa'idar domin canji na gaba ya sami tushe. Teburin da ke ƙasa shi ne rukunin da ya cancanci a ajiye a cikin tikiti.

Komawa baya sharewa ne bisa ƙayyadaddun bayani, ba flush ba: iptables -D FORWARD -i tun0 -s 10.8.0.6/32 -d 192.168.1.0/24 -j DROP yana cire ainihin wannan shigarwar kuma yana barin sauran sarkar lafiya. Cire wannan layin daga duk fayil ɗin da ke maido da ƙa'idoji a lokacin taya, sake lodawa, sannan ka tabbatar abokin ciniki ya sake isa uwar gidan LAN. Flush na FORWARD zai kuma soke ƙa'idodin da ba ka rubuta ba, wanda ke mai da komawa baya ya zama wani lamari na biyu.

Kafin ka rufe tikiti, tabbatar da abubuwa uku: adireshin da aka ɗaure ya dace da takardar shaida, ƙa'idar tana kan karɓa tare da ƙididdiga wanda ba sifili ba, kuma fayil ɗin dawwama yana ɗauke da ainihin ƙa'idar da ka gwada. Idan ɗaya daga cikinsu ya ɓace, toshewar ruɗi ne a cikin zaman shell.