Manhaja ta gida, ƙa’idar VPN: me ya sa sarkar FORWARD ɗinka ba ta taɓa kunna

Kana ƙara ƙa’ida don zirga-zirgar VPN a sarkar FORWARD, ka gudanar da buƙatar daga wannan na’urar Linux, sai mai ƙidayar ya tsaya a sifili. Ƙa’idar tabbas daidai ce. Fakitin bai taɓa bin wannan hanya ba, domin buƙatar da aka ƙirƙira a kan na’urar kanta ba ta tura ta gaba. Bin rayuwar fakitin daga soket zuwa waya yana bayyana me ya sa, da kuma inda ƙa’idar ta kamata ta kasance a maimakon haka.

Nemo inda aka haifi fakitin

Tsarin ƙugiya na Netfilter yana raba yanayi uku, kuma ɗaya ne kawai cikinsu ya shafi FORWARD:

Manhaja ta gida tana farawa a hanyar OUTPUT, domin kernel ya riga ya tabbatar da cewa fakitin yana tasowa a nan kuma ba ya zama ɗan takarar turawa. Ƙirƙirar rami ba ya canza wannan rabe-rabe; rami na’ura ce da fakitin zai iya fita ta cikinta, ba mataki da ke mai da fitowar gida zuwa wucewa ba.

Fakiti biyu, labari ɗaya

Da zarar ramin ya tashi, fakitin ciki na manhajar da fakitin waje da aka rufa masa asiri abubuwa ne daban-daban. Fakitin ciki yana ɗaukar inda ake zuwa da kayan da manhajar ta zaɓa. Fakitin waje yana ɗaukar rubutun asiri zuwa adireshin abokin tarayya da tasharsa, kuma shi ne ainihin abin da ke ratsa ma’auni na zahiri.

Manufofinka sun shafi ɗaya daga cikinsu, kuma zaɓin da ba daidai ba shine sanadin da ya zama ruwan dare ga ƙa’idar da ke ganin kamar ba ta yin komai. Ƙa’idar da ta dace da adireshin waje na abokin tarayya tana ganin kowane fakitin rami daidai, ko me manhajar ciki take yi. Ƙa’idar da ta dace da inda ake zuwa na ciki tana ganin zirga-zirgar da kake buƙata, kuma za ta kunna ne kawai idan wannan fakitin ya isa ƙugiyar da ka sanya ƙa’idar a kanta.

Rukunin suna suna motsa iyaka

Akwatin ajiya yana mai da wannan wahala ba tare da canza ƙa’ida ba. Buƙatar manhajar fitowa ce ta gida a cikin rukunin sunan cibiyar sadarwar akwatin. Mai masaukin yana karɓar wannan zirga-zirgar a ma’aunin Ethernet na ƙira kuma yana iya tura ta gaba, don haka ƙa’idar FORWARD a kan mai masaukin na iya yin ma’ana duk da cewa tsarin da ya ƙirƙiri buƙatar bai taɓa sarkar OUTPUT ta mai masaukin ba.

Kafin zaɓin ƙugiya, tabbatar da inda tsarin ƙa’idoji da ramin suke da gaske. Rami a cikin akwatin, rami a kan mai masauki tare da tura akwatin ta cikinsa, da rami a wani rukunin suna dabam, waɗannan su ne nau’ikan yanayi uku daban-daban da wuraren sanya ƙa’ida uku daban-daban. Karanta ƙa’idojin a cikin rukunin sunan da ya mallaki na’urar, ba kawai na tsoho ba.

Tambaya ko kana buƙatar alama kwata-kwata

Idan manufar ita ce aika firamin inda ake zuwa ɗaya ta cikin ramin, hanya ɗaya don wannan firamin na iya isa. Fara duba hanyoyin da ke aiki, har da duk abin da uwar garke ya tura: tsohon hanya da aka juya yana aika zirga-zirga da yawa ta VPN fiye da ƙunƙuntar manufar da kake da ita a zuciya, kuma babu adadin yin alama da zai sa sakamakon ya dace da niyya.

Ana buƙatar rabe-rabe sa’ad da shawarar ta dogara da abin da hanya ba za ta iya bayyanawa ba, kamar tushe, mai amfani, ko tsari. Don zirga-zirgar da aka karɓa, yin alama a PREROUTING yana aiki. Don zirga-zirgar gida, dole ne yin alama ya faru a matakin fitowa wanda zai iya sake haifar da binciken hanya bayan an sanya alamar. A nftables wannan sarkar ce ta nau’in route a ƙugiyar fitowa; sarkar tacewa ta fitowa ta yau da kullum za ta sanya ƙimar ta bar hanya ba ta canza ba.

A iptables, makamancin yana zaune a tsarin mangle OUTPUT, kuma wannan buƙatar ɗaya ta ayyana: dole ne a sake duba shawarar hanya bayan alamar ta wanzu. Sannan ƙa’idar manufa dole ne ta cinye alamar kuma ta nuna ga tebur da ke ɗauke da hanya mai amfani. Sanya alamar conntrack aiki ne na uku, dabam; yana adana ƙima a kan kwarara kuma ba ya sanya wannan ƙimar da kansa a kan fakitin na yanzu don hanyar ta karanta ta.

Tabbatar da bincike da mai ƙidaya tare

nft list ruleset
ip route get 198.51.100.25
ip route get 198.51.100.25 mark 0x1

Adireshin da alamar misali ne, kuma tambayoyin hanya biyu suna amsa tambayoyi dabam-dabam. Na biyu yana tambaya me kernel zai yi idan fakitin yana ɗauke da wannan alamar; ba ya nuna cewa tsarin ƙa’idajinka yana ba da ɗaya. Ka ɗauke shi a matsayin gwajin zato, ba shaida ba cewa manufar tana aiki.

Sannan gudanar da buƙata marar lahani ka duba abubuwa biyu a lokaci ɗaya: mai ƙidayar a ƙugiyar da ka zaɓa, da hanyar fita da fakitin ya bi da gaske. Idan mai ƙidayar ya motsa kuma fakitin ya fita wani wuri, alamar ko tebur ba daidai ba ne. Idan babu ɗaya da ya motsa, fakitin ba ya isa wannan ƙugiyar kwata-kwata, kuma tambaya ta gaba ita ce rukunin suna ko hanyar.

A ƙarshe, iyakance gwajin ga abin da injin zai iya bayyanawa. Hanya ɗaya don adireshi ɗaya ba ta zama manufa ta dindindin don sabis da adireshinsa ke juyawa. Fara yanke shawarar iyakar fakitin, sannan duba ko tsarin hanya da yin alama zai iya riƙe wannan iyaka bayan sake haɗawa.