Fitar da wata tasha ɗaya daga VPN tana buƙatar tsarin hanya na dabaru

Buƙatar koyaushe wani nau'i ne na jimla ɗaya: a riƙe VPN don bincike, amma a bar SSH ko aikin ajiya su yi amfani da haɗin da aka saba. Shawarar da ke yawo kan wannan, wato tura tashar da dokokin NAT na iptables, ba ta yin haka. Dokar NAT tana sake rubuta adireshi da tashoshi a cikin magudanar ruwa; ba ta taɓa zaɓar wace fuska fakiti zai fita ba. Wannan shawara ta neman hanyar ce, kuma neman hanyar yana buƙatar taimako don ganin tasha.

Me ya sa hanyar da aka saba ba za ta iya dacewa da tasha ba

Linux yana zaɓar hanya ta hanyar neman adireshin inda za a je a cikin tebur, bayan an tace teburun da za su iya ta hanyar dokokin siyasa. Waɗannan dokoki na iya dacewa da alamar katangar wuta, adireshin tushe, fuskar shigowa ko UID. Shigarwar hanya kanta ba ta da filin tasha, domin ana zaɓar hanyar kafin kan magudanar ya zama mai muhimmanci.

iproute2 na yanzu da ƙwarin kernel suna faɗaɗa zaɓin dokar: ipproto, sport da dport ana karɓa, don haka ip rule add ipproto tcp dport 22 table 100 yana bayyana manufar a layi ɗaya. A gudanar da ip rule add help a kan ainihin uwar garke don ganin ko ginin naka ya lissafa dport. Idan ya yi, ka gama da umarni ɗaya; idan bai yi ba, hanyar alamar da ke ƙasa ita ce makamancin.

Ko ta yaya, dokar nuni ce kawai. Tebur 100 har yanzu yana buƙatar hanya, kuma wannan shi ne ɓangaren da mutane ke mantawa.

Sassa uku, ko ɗaya

Sigar zamani ita ce dokar ɗaya da ke sama tare da hanya a madadin tebur. Sigar gargajiya tana ƙara netfilter a tsakiya: yi alama a fakiti, sannan ka daidaita alamar a cikin doka. Dukansu suna ƙarewa a neman ɗaya; sun bambanta a inda ake karanta tasha.

Hanyar alama tana nan saboda netfilter yana ganin kan magudanar, kuma lambar hanya a tarihi ba ta gani ba. Wannan shi ne dukkanin tsarin, kuma yana bayyana me ya sa madadin sassa uku ne masu haɗin gwiwa maimakon umarni ɗaya mai wayo.

Sassan uku bisa tsari

Da farko, yi alama a magudanar da kake so a karkatar, a cikin sarkar da ke gudana da wuri sosai don alamar ta kasance kafin shawarar hanya:

nft add table inet vpnexempt
nft 'add chain inet vpnexempt out { type route hook output priority mangle; }'
nft add rule inet vpnexempt out tcp dport 22 meta mark set 0x1

Na biyu, aika fakiti masu alama zuwa wani tebur daban:

ip rule add fwmark 0x1/0x1 table 100

Na uku, ba wa wannan tebur hanyar da aka saba ta hanyar haɗin jiki. Adireshin misali ne; ka sanya naka:

ip route add default via 192.168.1.1 dev wlan0 table 100

Idan ka tsallake mataki na uku, fakiti mai alama ba zai sami hanya a tebur 100 ba, don haka ya kasa. Alamar cutar tana kama da dokar ta lalata cibiyar sadarwa, alhali a gaskiya ta cire hanya ɗaya tilo da ta rage wa fakiti.

Me ke sa shi aiki bayan fakiti na farko

Alamu suna aiki ne akan fitattun fakiti. Amsa tana shigowa a kan fuskar jiki da adireshin da wannan haɗin ya ba, kuma babban tebur na iya har yanzu fifita rami ga wannan inda za a je. Hanyoyi biyu suna kiyaye hanyar amsa daidai: doka bisa tushe don adireshin haɗin, da bin diddigin haɗi da ke adana shawarar tsawon rayuwar magudanar. Ajiye alamar a cikin conntrack da mayar da ita a lokacin amsa ita ce hanyar da aka saba don tabbatar da keɓewa mai yanayi.

Tacewar hanyar baya ita ce ɗaya mai kashewa a rufe. Idan kernel yana tabbatar da hanyar dawowa sosai kuma amsa ta zo a kan fuskar da babban tebur ba zai zaɓa ba, ana jefar da fakiti ba tare da wani saƙo ba. rp_filter tsoffin ƙima sun bambanta bisa ga rarraba da kuma ko ana tura fuskar gaba, don haka karanta ainihin ƙimar maimakon ɗauka cewa a kashe take.

Kada ka yi alama a jigilar ramin kansa. Ramin WireGuard ko UDP OpenVPN ba TCP 22 ba ne, don haka girke-girken da ke sama ba shi da haɗari, amma keɓewar da aka rubuta a matsayin komai sai inda ramin zai je na iya kama fakiti ɓoyayye kuma ya karya ramin ta hanyar da take kama da madauki na hanya.

Ka duba maimakon ɗauka

Tambayi kernel wace hanya zai bi, don inda za a je da kuma tasha, sannan ka gudanar da ainihin canja wuri:

ip route get 203.0.113.10
ip rule show
nft list ruleset

Idan alamar tana nan amma masu ƙirga ba sa motsawa, dokar ba ta dacewa. Masu ƙirga su ne bambanci tsakanin tsarin da ka rubuta da siyasar da kernel ke aiwatarwa.

Yaushe wannan shi ne kayan aiki mara kyau

Keɓewa bisa tasha suna da rauni a dabi'a. Ayyuka suna motsa tashoshi, HTTP/3 yana zuwa a matsayin UDP 443, kuma aikace-aikace ɗaya na iya buɗe magudanar da yawa iri-iri. Idan ainihin buƙata ita ce wannan shirin ya yi amfani da haɗin da aka saba, matakin hanya shi ne wuri mara kyau; sunan sararin cibiyar sadarwa ko wakili na kowane aikace-aikace sun fi dacewa.

Idan buƙatar ita ce wannan ƙaramin cibiyar sadarwa ta yi amfani da haɗin da aka saba, ka tsallake alamun gaba ɗaya kuma ka ƙara takamaiman hanya. Ya fi sauƙi, ana iya ganinsa a tebur ɗaya, kuma na gaba zai iya duba shi ba tare da karanta tarin dokoki ba.

Rubuta wace ɗaya daga cikin buƙatu uku kake da ita a gaske kafin ka taɓa katangar wuta. Tsarin da ke sama daidai ne, kuma daidaiton da aka yi amfani da shi a matakin da bai dace ba uzuri ne kawai na tsawaita katsewa.