Riƙe manufar nftables a tsaye yayin da mashigar VPN ke zuwa

Tunnel ɗin wucin gadi ne; manufa ba ta kamata ta zama haka ba. A kan ƙofar Linux, ana iya loda dokar nftables da ke daidaita mashigar tunnel ɗin da suna sau ɗaya, kuma tana ci gaba da aiki duk lokacin da wannan mashigar ta bayyana. Mashigar har yanzu tana da zagayowar rayuwa: ana ƙirƙirar ta, tana ɓacewa, kuma hanyoyi da fassarar da ke kewaye da ita suna bin nasu jadawalin. Raba waɗannan masu ita ce ke riƙe damar shiga a tsaye yayin sake haɗawa.

Daidaiton suna yana rayuwa fiye da mashigar

nftables yana ba da daidaiton lamba na gidan mashiga da kuma daidaiton suna mai motsi iifname da oifname. Dokokin da suke amfani da waɗannan sunaye suna lodawa lafiya ko da ba a ƙirƙiri na'urar tunnel ɗin ba tukuna, wanda shine ainihin abin da tsarin dokoki ke buƙata lokacin tashi. Yana daina daidaitawa idan an canza sunan mashigar kuma yana komawa idan sabuwar mashiga ta karɓi wannan sunan. Lambar gida ba ta da wannan sifa, shi ya sa siffar suna ita ce zaɓi na yau da kullum ga tunnel.

Sunan maɓallin daidaitawa ne, ba hujja ba ce game da wanda ke can ƙarshen. Tabbatar da abokin tafiyar aikin VPN ne.

Karanta sarkar kafin ƙara dokoki

Duba abin da tsarin dokoki ke ƙunshe yanzu da kuma inda sabon doka zai zauna, domin tsari ne ke yanke hukunci kan sakamako.

nft list ruleset
nft -c -f /etc/nftables.conf

Jerin yana nuna sarkoki, dokoki da hannaye, kuma yanayin dubawa yana tabbatar da fayil ɗan takara ba tare da loda shi ba. Izinin tunnel kawai da aka sanya bayan karɓar da ta gabata ga wannan rafi ɗaya ba ya canza komai, domin dokar farko da ta dace ita ce ke yin nasara. Shi ya sa dokar da ta makara za ta iya zama daidai kuma ba ta da wani tasiri. Karanta sarkar a tsari kuma tabbatar da cewa haramcin zirga-zirga daga abokin ciniki zuwa hanyar sama har yanzu yana gaban duk wani abu mafi fadi.

Hanyoyi, fassara da rafuka suna da wasu masu su

Kasancewar mashiga ba ya ƙirƙirar hanyoyi kuma ba ya tabbatar da abokin tafiyar. Waɗannan na mai gudanar da VPN ne, yayin da fassara ke da zagayowar rayuwa ta uku.

conntrack -L -s 10.20.0.0/24 | head
ip route show dev vpn0

Jerin conntrack yana nuna rafukan da ke akwai tare da ƙimar su ta asali da fassarar, kuma jerin hanyoyi yana nuna abin da mai gudanarwa ya sanya wa mashigar. Dokokin NAT suna kafa yanayin bin diddigin haɗi a fakitin farko, don haka rafin da aka kafa yana riƙe fassararsa ko da bayan dokar ta canza. Shi ya sa sabunta doka da rafin da ke amfani da sabuwar hanya maganganu ne daban. Yanke shawara wane zaman ya sake haɗawa kuma bar rafukan da ba su da alaƙa.

Karɓi farkon sanyi, asara da farfadowa

Gwada ƙofar tare da rashin tunnel lokacin tashi, sannan da kasancewarsa, sannan bayan tsayawa da dawowa. Tabbatar cewa haramtaccen turawa ya kasance haramme yayin da tunnel ɗin ya ɓace, cewa sabon rafin da aka yarda yana aiki da zarar an tabbatar da abokin tafiyar, kuma farfadowa ba ya buƙatar share yanayin da ba shi da alaƙa. Kada ka share dukan sarkar POSTROUTING ko kowane shigarwar conntrack a matsayin aikin tsayar da bayanin martaba ɗaya, domin sauran ayyuka suna raba su. Rubuta wane ɓangare ya canza mashigar, hanya da manufar, maimakon kawai cewa ƙugiyar tashi ta fita da sifili.

Manufar da ta jure sake haɗawa ita ce wadda aka ambaci masu ta kuma aka gwada dokokinta da tunnel ɗin a rufe da kuma a buɗe. Ƙugiyar da ke ba da rahoton nasara tana tabbatar da cewa ƙugiyar ta gudana kawai.