OpenVPN yana haɗawa amma babu abin da ke gudana: gano matakin da fakitin ke faɗuwa

OpenVPN ya ce an haɗa kuma babu zirga-zirgar da ke motsawa, jumla da ta ƙunshi aƙalla kurakurai biyar da ba su da alaƙa. Gyara ƙa'idodin wuta kafin ka san wane mataki ke gazawa yana ninka abubuwan da ba a sani ba kuma yana barin injiniyan na gaba rikici. Yi aiki daga tsarin zuwa waje maimakon, domin kowane mataki da ke ƙasa ko yana share wani mataki ko yana taƙaita inda fakitin ke mutuwa. Tsari yana da muhimmanci a nan: kamawar da aka yi kafin ka san wane adireshi aka ɗaure zai tabbatar da wani abu, amma ba abin da kake buƙata ba.

Socket ɗin ko an ɗaure shi ko ba a ɗaure shi ba

Sabis ɗin da ke ba da rahoton cewa yana aiki na iya kasancewa an ɗaure shi da wani adireshi ko jigilar da ba ka taɓa nufi ba. Tambayi socket ɗin kanta: ss -lunp yana lissafa masu sauraron UDP kuma ss -ltnp yana lissafa TCP, kuma ginshiƙin da ya cancanci karantawa shine adireshin gida, ba yanayin ba.

Amsa marar komai yawanci tana nufin ɗaya daga cikin abubuwa uku: tsarin ya fita bayan farawa, ya ɗora wani fayil ɗin saiti, ko yana saurara a wani adireshi daban da wanda ake buga wa waya.

ss -lunp | grep 1194
ss -ltnp | grep 1194

Umarnin local yana manne da mai sauraro ga adireshi ɗaya, don haka an ƙi abokin ciniki da ya nufi wani wuri a kan wannan mai karɓar yayin da sabis ɗin daga waje yake kamar yana da lafiya. Sunan misali kuma zai iya nuna fayil ɗin da ba ka taɓa gyara shi ba, abin da ke faruwa a kan masu karɓar da ke gudanar da bayanai biyu gefe da gefe.

Kama fakitin waje, ba tunel ɗin ba

Tace a kan mashigar jiki da tashar jiragen ruwa ta gaske, da madadin mashigarka: tcpdump -ni eth0 udp port 1194. Fakitin da ke fita ba tare da wani abu ya dawo ba suna nuni ga abin da ke sama: tacewar mai bayarwa, na'urar NAT, ko adireshin nesa wanda ba shine wanda kake tsammani ba. Shiru a duka bangarorin biyu yana nuni ga turawar abokin ciniki ko wutar gida. Amsoshin da ke zuwa ba tare da ci gaban tunel ba suna nuni ga tashar sarrafawa, wato rashin daidaituwar maɓalli ko sirri, ba tacewa ba.

Kama duka bangarorin biyu kuma ka riƙe fayil ɗin a takaice. Dogon kamawa yana binne daƙiƙa uku masu ban sha'awa, kuma amsar kusan koyaushe tana cikin musayar farko.

Da farko masu ƙidaya, alama kawai lokacin da suke ƙarya

Fara da masu ƙidaya, domin ba su da wani farashi. Ko nft list ruleset ko iptables -L -n -v yana amsa tambaya ɗaya tilo da ke da muhimmanci a nan: shin ƙa'idar ta dace? Tsari ne ke yanke sakamakon, domin farkon da ya dace ne ke cin nasara, shi ya sa babban DROP kafin wani ACCEPT na baya yake barin wannan ACCEPT ya mutu kuma shi ya sa ƙara ƙa'ida ba safai yake gyara wani abu ba.

Mallaka kuma tana sa mutane su yi tuntuɓe. Kernel yana danganta fakitin da aka ƙirƙira a gida ga tsarin da ya buɗe socket ɗin, kuma OpenVPN yawanci yana aiki a matsayin root, don haka ƙa'idar da aka ɗaure ga ID na mai amfani na yau da kullum ba ta taɓa ganin zirga-zirgar tunel ɗin kanta ba. Duba UID mai shi kafin ka yanke shawarar cewa ƙa'idar ba daidai ba ce.

Sai kawai lokacin da masu ƙidaya suka kasance marasa tabbas ne log ɗin ya cancanci hayaniya, kuma har ma a lokacin sai ga wani yanki ƙunci: ƙa'idar iptables da ke iyakance sauri kuma tana sanya prefix ga layukan log ɗinta, ko ƙa'idar nftables da ke ɗauke da meta nftrace set 1 yayin da nft monitor trace ke gudana. Alama tana faɗin sunan sarkar da ƙa'idar da ta karɓi ko ta jefar da fakitin. Cire duka biyu bayan haka kuma ka riƙe rikodin kaya a waje.

Duba jigilar kuma. Sabis ɗin wuta da aka iyakance ga TCP ba ya faɗin komai game da mai sauraron UDP a wannan lambar, don haka ƙa'idar da ake karantawa daidai tana iya jefar da kowane fakitin har yanzu.

Turawa da hanyar dawowa

Fakitin da aka karɓa wanda har yanzu yake ɓacewa yana buƙatar a duba hanyar wurin da zai je. ip route get yana ba da rahoton hanyar da aka zaɓa ga adireshi ɗaya, kuma tacewar hanyar baya na iya jefar da amsar da ta zo ta mashigar da babban tebur ba zai taɓa zaɓa ba. Alamar tana kama da jefarwar wuta daidai, shi ya sa wannan dubawa ke zuwa kafin wata ƙa'idar NAT.

A kan ƙofa, duba turawa da sarkar forward maimakon sarkar input. Sannan tabbatar da cewa gefen nesa ya san yadda zai isa adireshin tushe, domin hanyar fita da ke aiki ba tare da wani abu ya dawo ba shiru ne a duka yanayin.

Abin da rubutun dole ya faɗa

Ga kowane canji, rubuta matakin da ka gwada, shaidar da ka karanta da ƙimar mai ƙidaya a kowane gefensa. Wannan rubutu ne ke sa "yana aiki yanzu" ya rayu a bita na gaba.

Hanyoyi biyu suna riƙe rubutun da gaskiya. Fakitin da bai taɓa barin mai karɓar ba ba zai iya zama an jefar da shi da wata ƙa'ida a wani wuri ba, duk yadda tsarin gefen nesa ya yi kama da tabbaci. Fakitin da ya fita ya dawo yana motsa tambayar zuwa sama da matakin cibiyar sadarwa, inda masu ƙidaya na wuta ba su da wani abin da za su gaya maka.