iptables: bar abokan cinikin VPN su isa wata manhaja ɗaya kawai

Dokar da kake so tana cikin FORWARD, ba INPUT ba. Ka yarda da manufa ɗaya don rukunin VPN, ka ƙi sauran, sannan ka tabbatar da hakan da ƙididdiga da umarnin dawowa.

Tikitin tallafi biyu da suke kama da ba su da alaƙa a ƙarshe suna da dalili ɗaya. A na farko, mai gudanarwa yana so uwar garken ta karɓi haɗi daga rami kawai; a na biyu, masu amfani da VPN ya kamata su isa wata manhaja ta ciki ɗaya kuma babu wani abu fiye da haka. Duk manufofin biyu suna cikin FORWARD, kuma yawanci ana gwada su a INPUT. Sakamakon yana kama da bangon wuta amma yana aiki kamar maɓallin ajiya.

Wace sarkar ce ke amsa tambayarka

Fakitin da abokin ciniki VPN ke aikawa zuwa manhaja a LAN, ko kuma gaba zuwa intanet, kernel ɗin yana tura su gaba kuma ana tantance su a FORWARD. INPUT da OUTPUT suna ganin zirga-zirgar da ke ƙarewa a kan uwar garken kanta ko kuma ta samo asali daga gare ta kawai. Don haka ƙin duk abin da bai zo ta tun0 ba yana kare masu sauraron uwar garken, kuma zai kuma kawo ƙarshen zaman SSH naka sai dai idan an fara yarda da kwararar da aka kafa. Bai canza kome ba game da inda aka yarda abokan ciniki su je.

Fara ambaci tambayar: wa zai iya isa uwar garken, ko kuma inda abokan ciniki za su iya zuwa. Yawancin cibiyoyin sadarwa suna buƙatar amsoshi biyu, a cikin sarkoki daban-daban.

Da farko yanayi, sannan izini, sannan ƙin

Jerin izini yana aiki ne kawai idan takamaiman izinin yana sama da ƙin gama-gari, kuma idan an yarda da zirga-zirgar dawowa sama da duka biyun. Saka dokoki a wurare bayyanannu, sannan ka fitar da sarkar da iptables -S FORWARD domin tsari ya kasance a bayyane maimakon zato.

POOL=10.99.0.0/24
iptables -I FORWARD 1 -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
iptables -I FORWARD 2 -s "$POOL" -d 172.31.20.15 -p tcp -m multiport --dports 443,3389 -j ACCEPT
iptables -I FORWARD 3 -s "$POOL" -j REJECT

Abu biyu ne ke yanke shawarar ko wannan zai tsaya da haɗuwa da ainihin zirga-zirga. Ba tare da dokar yanayi ba, amsoshin haɗin da ka yarda da su yanzu ana tantance su da kansu a kan ƙin kuma ana watsar da su. Dokar LOG marar iyaka na iya cika ƙaramin yanki a farkon binciken da ya same shi, don haka ƙara -m limit --limit 10/min kafin ka ci gaba da yin rikodi. REJECT yana mayar da kuskure nan take, wanda ya fi sauƙi yayin da kake daidaita jerin; DROP yana watsarwa cikin shiru, don haka kowane kuskure yana bayyana a matsayin ƙarewar lokaci. Zaɓi ɗaya da gangan kuma rubuta zaɓin a cikin rikodin canji.

Tura gaba da NAT dole ne sun riga suna aiki

Tacewa ba za ta iya tabbatar da cewa akwai hanya ba. Fara tabbatar da cewa kernel ɗin yana tura gaba kwata-kwata, kuma ka mai da wannan saitin dawwameme maimakon umarni ɗaya na harsashi. Matakin ƙarshe ne tacewa, ba na farko ba.

sysctl -w net.ipv4.ip_forward=1
iptables -t nat -A POSTROUTING -s "$POOL" -o eth0 -j MASQUERADE

Inda maƙarƙashiya ta kasance ya dogara da inda abokan ciniki suke fita. Idan sun fita zuwa wata cibiyar sadarwa mai nisa ta cikin rami, dokar NAT tana kan wannan mu'amala ba mu'amalar WAN ba. Sannan ka kalli ƙididdiga: idan ƙididdigar POSTROUTING ba ta motsawa yayin da adadin karɓa a FORWARD ke ƙaruwa, hanyar dawowa ta lalace kuma tacewar tana lafiya. Wannan karatun yana ceton yini ɗaya na sake rubuta dokokin da ba su taɓa zama matsala ba.

Toshewar wasiƙa tana cikin sarka ɗaya gaba

Toshe tashar 25 a INPUT yana tsayar da wasiƙar da aka aika wa uwar garken VPN kawai. Abokin ciniki da aka yi wa kutse da ke aika wasiƙa ta rami ana tura shi gaba, don haka toshewar dole ta kasance a FORWARD kusa da 465 da 587. Idan wata manhaja tana isar da wasiƙa bisa doka, sanya manufarta da tasharta sama da wannan doka.

iptables -I FORWARD 2 -s "$POOL" -p tcp -m multiport --dports 25,465,587 -j REJECT

Bar ƙididdigar ƙin ta yi aiki mako ɗaya kafin ka tsaurara wani abu. Adadin da ya daina hawa shi ne ingantaccen kwarara da ka karya yanzu.

Karanta shi baya, sannan ka tabbatar daga abokin ciniki

Karanta rukunin dokoki kamar yadda kernel ke bayar da rahoto, ba kamar yadda rubutunka ya rubuta ba. Fara da iptables -S FORWARD, sannan teburin NAT da iptables -t nat -L POSTROUTING -n -v, sannan shigarwar conntrack don kwararar da kake bincike. Riƙe umarnin dawowa ko sharewar da aka tsara muddin aikin yana ci gaba. Kowane kira yana buƙatar -w, in ba haka ba masu gudanarwa biyu za su yi karo a kan makullin xtables. Babu ɗaya daga cikin waɗannan da ke na zaɓi a cikin tagar canji.

Kammala da gwaji daga abokin ciniki a cikin rukunin da kuma daga wanda ke wajensa. Dokar da ke aiki daga na'urar da ka buga ta kawai ba manufa ba ce.

Labarai masu alaƙa