Dokokin tashar 80 da 443 ba sa tura burauza ta VPN

Wani yana neman burauza ta yi amfani da ramin, sai amsar ta dawo a matsayin dokar bangon wuta da ta dace da tashoshin manufa 80 da 443. Tana kama da daidai kuma ba haka ba ce. Daidaiton tasha yana zaɓar fakiti bisa ga kan jigilar su, ba bisa ga wace manhaja ta buɗe soket ɗin ba, kuma binciken zamani ba ya tsayawa kan waɗannan tashoshi biyu a kan TCP. Dokar za ta rasa wasu zirga-zirgar da ka so ka haɗa da su kuma ta kama zirga-zirgar da ba ka taɓa niyyar taɓawa ba. Kafin ka rubuta ta, ka yanke shawara wace ɗaya daga cikin iyakoki uku daban-daban kake so da gaske.

Dokar tana bayyana nau'in jigilar bayanai, ba manhaja ba

A Linux, daidaiton tashar manufa yana duba kan TCP kuma babu wani abu da ke sama da shi. Yi wa waɗannan fakiti alama da tuka su da hanyar manufa yana aiki daidai kamar yadda aka rubuta, kuma babu ɗaya daga cikin waɗannan injina da ya san abin da kaya ke nufi ko wace tsari ya aiko shi. Alamar lamba ce da aka maƙala wa fakiti, ba ainihi da aka maƙala wa manhaja ba.

nft add rule inet mangle output tcp dport { 80, 443 } meta mark set 0x1
ip rule add fwmark 0x1 table 100
ip route add default dev wg0 table 100

Sakamako biyu suna biyo nan take. Mai sabunta manhaja da ke tuntuɓar TCP 443 yana samun irin wannan kulawa da burauza, wanda zai iya zama daidai ko kuma ya zama katsewar da ke jiran zagayen sabuntawa na gaba. Kuma hidimar yanar gizo da aka wallafa da gangan a wata tasha, a ce 8443, ta faɗi gaba ɗaya daga dokar duk da cewa ita ce zirga-zirgar yanar gizon da mai amfani ya damu da ita.

Lambobin zaɓi ne na halal sa'ad da buƙatar ta shafi waɗannan tashoshi da gaske. Suna zama tatsuniya sa'ad da aka rubuta «burauza» a cikin tikitin kuma aka aiwatar da jeri na tasha a cikin tsarin dokoki. Wannan gibin ba ƙaramin abu ba ne na rubuce-rubuce. Shi ne bambanci tsakanin dokar da za ka iya kare ta a bita da wadda babu wanda zai iya gwadawa.

HTTP/3 yana barin dokar TCP ɗinka a hankali

HTTP/3 yana aiki a kan QUIC, kuma ana ɗaukar QUIC a cikin UDP. Dokar da ta dace da TCP kawai ba za ta iya ganinsa ba, don haka burauzar da ta cika shafin gwajin ka na iya aika wata buƙata daga baya a kan UDP kuma ta tsallake ramin ba tare da kowa ya canza saiti ba. RFC 9114 yana bayyana HTTP/3 a matsayin yarjejeniya da ta ginu a kan QUIC, kuma QUIC yana amfani da UDP mai tashar da aka saba da ita 443 a cikin turawa ta yau da kullum.

Ko wata burauza za ta gwada HTTP/3 ya dogara da saitinta, da shafin, da ko wani yunƙuri na baya ya yi nasara. Wannan ya sa ya zama mummunan abu don yin tunani a kansa daga ƙwaƙwalwa. Ka tambayi kayan aikin maimakon haka:

curl --http3 -sS -o /dev/null -w '%{http_version} %{time_total}\n' https://example.com
ss -tunp | grep -E ':443\b'

Layin curl yana buga sigar da aka tattauna, don haka 3 yana tabbatar da an yi amfani da hanyar UDP. Sai jerin soket ya nuna ko wannan haɗin yana daure da muƙamin ramin ko da na zahiri. Idan HTTP/3 babu shi a cikin ginin curl ɗinka, tutar tana kasawa da ƙarfi maimakon ja da baya a hankali, wanda shine ɗan tausayinta.

DNS shawara ce daban da dole ka yanke

Dokar tasha don zirga-zirgar yanar gizo ba ta faɗi komai game da warware sunaye ba. Burauza na iya amfani da mai warwarewar tsarin, mai warwarewa da aka saita a cikin burauza, ko wanda wanda ya haɗa na ƙarshe ya tura. Kowanne daga cikinsu na iya aika tambayoyi ta wata hanya dabam da wadda dokar ka ke zaɓa, wanda ke haifar da rarrabuwar da aka saba: shafin yana lodawa, ana warware sunan a wani wuri da ba ka yi tsammani ba, kuma shafin cikin gida yana warware zuwa adireshin jama'a ko kuma ba ya warwarewa kwata-kwata.

Ka yanke shawarar hakan a fili. Idan dole a warware sunayen cikin gida ta ramin, dole mai warwarewar ya kasance a cikinsa, kuma tsarin dokoki dole ya ba da izinin DNS zuwa wancan mai warwarewar tare da ajiye sauran tambayoyi a waje. Idan burauza tana amfani da DNS over HTTPS zuwa mai bayarwa na jama'a, tambayar tana tsallake mai warwarewarka gaba ɗaya kuma dokar tasha ba za ta iya taimakawa ba. Rubuta zaɓin a cikin rikodin canji ɗaya da dokar hanyar, domin wanda zai gyara gazawar gaba yana karanta duka biyu tare.

Sai ka tabbatar da mai warwarewar maimakon da shafin:

resolvectl query intranet.example.internal
resolvectl status | grep -A3 'Current DNS Server'

Amsar da ta ɓace matsalar warwarewa ce ko da saƙon kuskuren burauza yana zargin cibiyar sadarwa. Waɗannan gazawa biyu suna kama da juna ga mai amfani kuma tikiti ne daban-daban kwata-kwata.

Iyakoki uku, hanyoyi uku daban-daban

Yawancin rikicewar yana ɓacewa da zaran ka ambaci iyakar da kake so. Ba su da musanya, kuma kowanne yana da salon gazawa daban a lokacin katsewar ramin.

Bayanan martaba na burauza daban shine tarkon da ke cikin layin tsakiya. Yana raba kukis da tarihi, kuma ba ya canza komai game da allon hanyar mai masaukin, don haka duka bayanan biyu suna bin hanya ɗaya. Keɓewa na buƙatar wani abu da kernel ke tilastawa, wato filin suna, kwantena ko manhaja da ta mallaki muƙamin raminta.

Kowace layin da ya dace, rubuta abin da ya kamata ya faru idan ramin ya faɗi. Hanya mai alama da ke ɓacewa tare da muƙami yawanci tana komawa kan hanyar zahiri ta asali, wanda shine halin fail-open. Wannan na iya zama abin karɓa don bincike kuma ba abin karɓa ga wani abu ba, kuma shawara ce, ba dalla-dalla na aiwatarwa ba.

Gwada kwararar da kake da'awar ka rufe

Dole gwajin karɓa ya bi iyakar da ka rubuta, ba lambobin tashar da suka fi sauƙi ba. Zaɓi kwarara ɗaya da dole ta bi ta ramin, ɗaya da ba za ta bi ba, da ɗaya da ke amfani da jigila da ba ka yi tunani a kanta ba:

ip route get 203.0.113.40
curl -sS -o /dev/null -w 'v4 %{http_version} %{remote_ip}\n' https://example.com
nft list ruleset | grep -A2 'dport'

Binciken hanya yana gaya maka wace muƙama manufa ke amfani da ita da gaske, kuma wannan ita ce hujjar da yawancin rahotanni ke kuskure. Layin curl yana tabbatar da sigar da aka tattauna da dangin adireshi. Fitowar tsarin dokoki tana kama dokar da ka ƙara a lokacin gwaji kuma ka manta iyakance ta, kuma haka alama ta wucin gadi ke juya zuwa dindindin fail-open wayar hanya.

Yi rikodin duka fitowar uku da tambarin lokaci kuma ka riƙe su tare da canjin. Sa'ad da wani ya ba da rahoto daga baya cewa «VPN ya karya intanet», bambancin tsakanin iyakar da aka yi niyya da wadda aka aiwatar zai kasance a bayyane a cikin wannan rikodin, kuma gyaran zai zama canjin doka maimakon muhawara.