iptables host na VPN kawai: suna wa na'urar tun, ba tun+ ba

Rubuta -o tun+ yana kama da cikakkiyar umarni kuma a zahiri alama ce da ta dace da kowane tunnel da kernel yake da shi. Wani abokin ciniki na VPN, gadar kwantena ko wata mu'amala da wani zaman da ya rushe ya bari duk sun cika ta, sannan host ɗin ya ba da izinin zirga-zirgar da manufar aka rubuta don hana shi. Tsarin da ke ƙasa yana tsayar da sunan na'ura ɗaya, yana jera keɓewa domin tunnel ɗin ya iya samuwa da gaske, kuma yana barin hanya ta dawowa idan dokokin sun faɗi mummuna. Kowane mataki gajere ne isa a soke shi shi kaɗai.

Mataki 1: rubuta dokokin da kake da su yanzu

Kafin ka canza manufar tsoho, ajiye halin yanzu domin dawowa ya zama umarni ba tunawa ba. iptables-save > /root/iptables.pre yana rubuta kowane tebur cikin fayil da za ka iya dawo da shi, kuma wata tashar jiragen ruwa ta biyu da buɗaɗɗen zaman root ba hauka ba ce lokacin da manufar da kake shirin saita ta yanke haɗin da ke ɗauke da ita. Idan kana aiki daga nesa, ka kuma tsara flush a matsayin maɓallin kashe gaggawa.

Sannan ka jera mu'amaloli, domin sunan da ka ɗauka shine sunan da ya kamata ka karanta: ip -br link yana nuna abin da ke akwai yanzu, kuma tunnel ɗin ba zai bayyana ba sai ya tashi. Rubuta sunayen na'urori yayin da kake karanta su.

Mataki 2: ba tunnel ɗin sunansa

OpenVPN yana karɓar dev tun_work a cikin tsarin abokin ciniki, sannan Linux yana ƙirƙirar mu'amala da wannan sunan daidai maimakon raba tun0. Sunan yana zama tabbatacce a tsakanin sake haɗawa muddin babu wani abu da ya yi da'awar sa, kuma wannan ne yake sa dokar da ke ambaton na'urar ta zama mai ma'ana.

Inda ba za a iya sarrafa sunan ba, yi daidai da adireshin tunnel ko alamar fakiti a maimakon haka. Dukansu suna aiki, dukansu sun fi wuya a karanta, kuma dukansu suna gazawa cikin nutsuwa lokacin da tunnel ɗin ya sake lambobi. Ko ta yaya, yi daidai da abu ɗaya kuma ka fayyace wane.

Mataki 3: rubuta manufar tare da keɓewar endpoint a farko

Host ɗin da ke da VPN kawai host ne na ƙin tsoho tare da gajeren jerin keɓewa, kuma keɓewar da ta fi muhimmanci ita ce wadda ke barin tunnel ɗin ya wanzu. Gina ta a wannan tsari, da dokar endpoint kafin dokar na'urar tunnel, domin musafaha ya sami inda zai je:

# allow the tunnel to be built, then everything the tunnel carries
iptables -P INPUT DROP
iptables -P OUTPUT DROP
iptables -A INPUT  -i lo -j ACCEPT
iptables -A OUTPUT -o lo -j ACCEPT
iptables -A OUTPUT -d 198.51.100.7 -p udp --dport 1194 -j ACCEPT
iptables -A OUTPUT -o tun_work -j ACCEPT
iptables -A INPUT  -i tun_work -j ACCEPT
iptables -A INPUT  -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT

Adireshin endpoint na zahiri da tashar jiragen ruwa na mai ba da sabis ɗinka ne, ba wannan shafi ba. Idan endpoint sunan host ne, warware shi sau ɗaya ka tsayar da sakamakon, domin doka ba za ta iya neman suna ba kuma amsa mai juyawa za ta karya manufar cikin nutsuwa bayan canjin DNS na gaba. Duba tashar jiragen ruwa kuma, domin masu bayar da sabis da suke motsa ka zuwa TCP 443 za su buƙaci in ba haka ba dokar da babu wanda ya rubuta. Tunnel ɗin da ke aiki da yare ɗaya kawai yawanci wannan tsallakewa ce ba aibu na bangon wuta ba.

A kan na'urar sadarwa irin wannan siffa tana shiga sarkar FORWARD ga abokan cinikin da ke bayanta, kuma zirga-zirgar na'urar sadarwar kanta tana buƙatar nata dokokin. Tsarin dokoki da ke rufe fakiti da aka tura gaba kawai yana barin SSH da DNS a kan tsohuwar hanya, kuma haka ne na'urar sadarwa ke zama ba za a iya isa ba a daidai lokacin da tunnel ɗin ya tashi.

Mataki 4: duba tsari, ba wanzuwa kawai ba

Ana kimanta dokoki a jere, don haka ACCEPT da ya zo da wuri yana ɓoye REJECT ɗin da ka ƙara bayansa kawai. Daidaiton established da related shine abin da ke barin amsoshin buƙatunka na fita su dawo ba tare da buɗe hanyar shiga ta gama gari ba, kuma sanya shi bayan karɓar tunnel yana nufin tunnel ɗin da ya faɗi har yanzu yana ba da zirga-zirgar dawowa a mu'amalarsa.

Riƙe adadin dokoki ƙanƙane isa a karanta a allon ɗaya. Tsarin dokokin da ba za ka iya bincika shi ba shine wanda za ka gyara ta hanyar ƙara keɓewa a saman, kuma haka manufofin ƙin tsoho suke samun gefen izini na tsoho a hankali. Ƙidaya ACCEPT kafin da bayan canjin.

Mataki 5: sa ya tsira daga tashi da dangin adireshi

Dokokin da aka shigar da hannu suna ɓacewa a sake tashi, don haka loda su daga sabis ɗin bangon wuta na rarraba ko daga unit da ke gudana bayan mu'amalar tunnel ta wanzu. Yin nuni ga tun_work a cikin rubutun da ke gudana kafin OpenVPN ya fara hanya ce ta gama gari ta haifar da madaukin tashi na zirga-zirgar da aka yi watsi da ita.

Sannan duba IPv6 daban, domin kyakkyawar manufar ƙin tsoho ta IPv4 ba ta ce komai ba game da ɗayan dangin. ip -6 route zai gaya maka ko host ɗin yana da hanya da za ta iya ɗaukar zirga-zirga a kewayen tunnel ɗin da ke kula da IPv4 kawai, kuma ip6tables ko nftables na buƙatar nata dokokin daidai. Gwada da manufa ta IPv6-only maimakon dogaro da daidaiton tsarin dokoki.

Mataki 6: tabbatar kuma ka kasance a shirye don dawo da shi

Tada tunnel ɗin, tabbatar sabis ɗin da kake so yana aiki, sannan gwada wani abu da manufar ya kamata ta ƙi. Dawo da shi da iptables-restore < /root/iptables.pre idan amsar ta ba ka mamaki, sannan kawai fara gyara dokoki. Dorewa tare da hanyar dawowa da aka gwada shine yake sa wannan ya zama canji da za ka iya yi sau biyu.