Me ya sa sabis ɗin Linux na jama’a ke amsawa ta VPN maimakon haka

Babu wani abu a cikin soket ɗin da ke tunawa wace mu’amala ce ta ɗauki buƙatar, don haka tsohuwar hanyar VPN mai cikakken tunnel na iya kama amsar da ta dace da WAN. Sabis ɗin ba ya watsi da mu’amalar shigowa; Linux yana tafiyar da amsar da aka ƙirƙira a gida bisa ga manufa da manufar tushe. Dokar da ta dogara da tushe za ta iya aika amsoshin sabis ɗin kawai ta cikakken teburin WAN, ta bar fitarwa ta yau da kullum a kan tunnel. Tashar tana buɗe yayin da amsar ke fita ta hanyar da ba daidai ba, wanda shine dalilin da ya sa alamar ta kasance ta gefe ɗaya.

Kuskuren fahimta: amsoshi suna bin mu’amalar da suka zo da ita

Yana da ma’ana cewa fakitin da ya iso a eth0 ya kamata ya fita a eth0. Ana iya rubuta matattarar fakiti marasa yanayi haka, kuma tcpdump a gefen shigowa yana nuna buƙatar daidai inda ake tsammani. Tafiyar da hanya ba ya aiki haka ga zirga-zirgar da mai masaukin da kansa ke ƙirƙira.

Da zarar sabis ɗin ya karɓi haɗin, amsarsa sabon fakitin da aka ƙirƙira a gida ne. Kernel ɗin yana duba dokokin tafiyar da hanya don manufa da tushen amsar, kuma tsohuwar hanyar VPN amsa ce mai inganci sosai. Babu wani abu a cikin soket ɗin da ke tunawa wace mu’amala ce ta ɗauki buƙatar.

Shi ya sa alamar ta kasance ta gefe ɗaya: buƙatu suna zuwa, amsoshi suna ɓacewa. Shi ma ya sa ƙara dokar wuta don tashar shigowa ba ta canza komai. Ba a toshe fakitin a kan hanyar shiga ba; ana tafiyar da shi wani wuri a kan hanyar fita. Bi amsar da bincike mai ƙayyadadden tushe kuma karkatarwar za ta bayyana.

Abin da kernel ɗin ke tafiyar da shi da gaske: adireshin tushe

Hannun da kuke buƙata shine adireshin gida da sabis ɗin ke amfani da shi don amsoshi. A kan mai masauki mai misalin adireshin eth0 na 192.0.2.10/24 da ƙofar 192.0.2.1, wannan adireshin yana nan a kan mu’amalar. A kan VM na girgije, ana iya fassara adireshin jama’a a sama kuma ba ya cikin baƙo, don haka yi amfani da adireshin da mai masaukin ke da shi da gaske.

Duba yanayin yanzu kafin ka ajiye lambar tebur ko fifikon doka. Dokokin manufofin da suke akwai na iya rufe sabuwa, kuma tsohon tebur mai lamba ɗaya na iya ɗaukar hanyoyin da ba su da alaƙa:

ip -4 addr show dev eth0
ip -4 rule show
ip -4 route show table all

Sannan zaɓi tebur ta tushe. Dokar ta dace da amsoshin da suka riga suna ɗauke da 192.0.2.10, daidai zirga-zirgar da aka ƙarasa a gida da kuke so ku keɓe. Zirga-zirgar da aka tura gaba da fakiti daga wasu adiresoshin gida ba su dace ba.

Gina cikakken teburin dawowa, ba rabin tsohuwar hanya ba

Tebur mai tsohuwar hanya kawai bai isa ba. Kernel ɗin har yanzu dole ya warware ƙofar, kuma wannan warwarewar tana buƙatar prefix ɗin da aka haɗa a cikin tebur ɗaya. Tebur ɗin da ba shi da wannan prefix yana kasawa a warwarewar ƙofar ko da tsohuwar hanyarsa ta yi kama da daidai. Ƙara duka biyu, sannan ka nuna dokar tushe ga tebur ɗin:

ip -4 route add table 100 192.0.2.0/24 dev eth0 src 192.0.2.10
ip -4 route add table 100 default via 192.0.2.1 dev eth0
ip -4 rule add priority 1000 from 192.0.2.10/32 lookup 100

Yi amfani da ainihin prefix da ƙofa maimakon kwafin misali. Mu’amalar girgije da aka saita a matsayin /32 tare da ƙofar kan hanyar tana buƙatar wata hanyar da aka haɗa daban, kuma tebur da aka gina daga kuskuren prefix yana kasawa a tsallen farko. Siffar src tana nuna tushen da aka fi so don wannan hanyar; ba ta maye gurbin dokar tushe ba.

Tsari ma yana da muhimmanci. Ana fara kimanta faffadan doka mai ƙaramin lambar fifiko, don haka dole a kai ga dokar tushe kafin duk wata doka da za ta mayar da wannan zirga-zirgar zuwa babban tebur. Duba fifikon tare da ip rule show bayan ƙarawa, ba kawai lokacin taya ba.

Tabbatar da bincike mai ƙayyadadden tushe

Nemi kernel ɗin ya tafiyar da manufar gwaji daga adireshin sabis ɗin. Amsar ya kamata ta ambaci eth0 da ƙofar WAN, ba tunnel ba:

ip -4 route get 198.51.100.25 from 192.0.2.10

Sannan yi sabon haɗin da aka ba da izini kuma ka kalli duka bangarorin. Binciken da ya zaɓi tebur ɗin daidai yayin da haɗin kai na gaske har yanzu yana kasawa yana nuni ga tacewar hanyar baya ko dokar wuta, ba tebur ɗin ba. Duba waɗannan matakan kafin ka kashe wani abu a duniya.

Sanya hanyoyin ƙarshe da dokar a ƙarƙashin manajan cibiyar sadarwa da ya mallaki mu’amalar. Canjin adireshi, sabunta DHCP da sake haɗa VPN duk suna sake rubuta yanayin kernel, kuma dokar da aka ƙara da hannu tana ɓacewa ko tana nuna tsohuwar ƙofa bayan abin da ya biyo baya.

Inda wannan keɓe ya tsaya

Dokar tana keɓe zirga-zirgar da aka ƙarasa a gida daga adireshin tushe ɗaya. Ba ta rufe tashoshin da Docker ya wallafa, DNAT ko ayyukan da aka tura ta mai masauki, domin waɗannan fakiti ana tafiyar da su a matsayin zirga-zirgar da aka tura gaba kuma ba sa ɗaukar tushen gida na mai masauki haka. Irin waɗannan tsare-tsare yawanci suna buƙatar alama da aka sanya a shigowa da doka da ta dace da alamar.

Hakanan ba ya sa adireshin jama’a na mai masauki ya bayyana a kan mu’amalar. Lokacin da NAT na sama ya mallaki wannan adireshin, amsar har yanzu dole ta fita ta hanyar da wannan NAT ke tsammani, wanda shine dalilin da ya sa teburin WAN dole ya nuna ainihin ƙofar da prefix maimakon wani yanki na jama’a da aka yi hasashe.

Riƙe keɓewar a rubuce tare da lambar tebur, fifikon doka da ainihin adireshin tushe. Canji na gaba a VPN ko mu’amalar na iya karya ta a hankali, kuma bayanin da ya ambaci ukun nan da sauri a duba fiye da sake gano alamar daga rahoton abokin ciniki.

Idan sabis ɗin har yanzu yana amsawa a hanyar da ba daidai ba bayan binciken tushe ya yi nasara, kwatanta adireshin tushen soket ɗin rayuwa da wanda ke cikin dokar. Sabis ɗin da aka ɗaure ga adireshin wildcard na iya zaɓar tushe daban da adireshin da ka gwada, kuma wannan rashin daidaituwa shine gibin da ya rage.