Ba da hanya ga sabis ɗin yanar gizo na gida ɗaya kawai a wajen VPN bisa tashar

Dole sabis ɗin mai masauki ɗaya ya amsa intanet ta hanyar haɗin sama na zahiri yayin da duk sauran abubuwan da ke cikin na'urar ke ci gaba da amfani da rami. Sharuɗɗa uku ne ke yanke shawara ko hanyar da ta dogara kan manufa za ta iya ɗaukar wannan nauyin, kuma kowanne yana da sauƙin dubawa kafin ka rubuta ƙa'ida. Sabis ɗin dole ya ƙare a wannan mai masaukin ba a bayan DNAT ko tashar da aka tura gaba ba, ƙa'idojin VPN ɗin kansa dole su ba da izinin keɓewa, kuma dole ka daidaita amsa maimakon buƙata. Idan ɗaya daga cikin ukun ya faɗi, umarnin da ke ƙasa za su loda lafiya amma ba za su yi wani abu mai amfani ba.

Duba sharuɗɗan uku kafin ka rubuta ƙa'ida

Kwandon da ke wallafa tasha ta DNAT, ko sabar da ke bayan tura tasha, yana ƙirƙirar fakiti waɗanda ba su samo asali a wannan mai masaukin ba. Ana tura waɗannan fakiti gaba, don haka ƙa'idar da ta dogara kan shigar gida ta mai masaukin ba ta taɓa ganinsu kuma zirga-zirgar na ci gaba da ɗaukar hanyar da aka saba. Tabbatar inda sabis ɗin yake gudana a zahiri kafin ka ci gaba, domin wannan ita ce sharar da mutane suka fi kuskure.

Sharadi na biyu manufa ce ba injiniya ba. Duk hanyar da ta tsallake rami keɓewa ce ga manufar ramin, kuma a kan mai masaukin da ake sarrafawa wannan shawarar ta mai manufar ce, ba ta wanda ke gyara matsalar ƙarewar lokaci ba.

Daidaita amsa, ba tashar alkiblar abokin ciniki ba

Amsa daga sabar da ke sauraron TCP 443 tana barin mai masaukin da tashar tushe 443. Mai bincike a kan wannan mai masaukin yana haɗi zuwa wani shafin HTTPS mai nisa yana aika tashar tushe na ɗan lokaci da tashar alkibla 443. Dukansu zirga-zirgar tasha 443 ne kuma ɗaya ne kawai ya kamata ya ɗauki teburin WAN, shi ya sa daidaita tashar alkibla zai kama rabin da ba daidai ba.

Alkiblar amsa ita ce abin da za ka iya bambanta. Daidaita tashar tushe, iyakance ƙa'idar ga fakiti da aka ƙirƙira a gida, kuma ƙa'idar tana rufe amsoshin sabis ɗin kansa ba tare da taɓa buƙatun mai binciken ba.

Gina cikakken teburin dawowa kafin ƙa'idar ta nuna gare shi

Tebur mara komai yana nufin babu hanya, wanda ke kama da sabis ɗin da ya lalace maimakon manufar da ta lalace. Cika shi da farko, da lambar tebur da fifiko wanda babu wani abu a kan mai masaukin da ke da'awarsu:

ip -4 route add table 100 192.0.2.0/24 dev eth0
ip -4 route add table 100 default via 192.0.2.1 dev eth0
ip -4 rule add priority 1000 iif lo ipproto tcp sport 443 lookup 100

Karanta lambobin daga mai masaukin da ke aiki maimakon kwafa su. ip -4 rule show yana gaya maka waɗanne fifiko aka ɗauka, kuma ƙara ƙa'ida a kan fifikon da ya riga ya wanzu yana canza odar ƙa'idoji biyu a hankali waɗanda kowannensu yana kama da daidai.

Masu zaɓi biyu ne ke yin ainihin aikin a nan. iif lo ita ce hanyar da kernel ke ba da rahoton fakiti waɗanda mai masaukin da kansa ya ƙirƙira, don haka ƙa'idar ba za ta iya kama zirga-zirgar da aka tura daga waje ba bisa kuskure. ipproto tcp sport 443 yana taƙaita ta zuwa jigilar kaya ɗaya da tasha ɗaya, wanda yake da matsewa kamar yadda buƙatar ta yarda. Cire mai zaɓin yarjejeniya kuma ƙa'idar za ta kama UDP 443 ma, wanda wani sabis ne da wata ɗabi'a.

Riƙe amsoshin sirri a cikin ramin

Idan mai sauraro ɗaya yana amsa abokan ciniki a gefen sirri kuma, hanyar WAN ta gama-gari a tebur 100 za ta yi ƙoƙarin mayar da waɗannan amsoshin ta hanyar haɗin sama. Ƙara prefiks ɗin sirri waɗanda ba su kamata su bi hanyar WAN ta gama-gari ba, ko bar su su faɗi zuwa ƙa'idar manufa ta gaba:

ip -4 route add table 100 throw 10.90.0.0/24

Hanyar throw tana ƙare bincike a cikin wannan tebur kuma tana mayar da fakitin ga jerin ƙa'idoji, don haka manufar VPN da ke biye ta sami damarta. Ita kanta ba ta binne wani abu cikin ramin, kuma idan babu wata ƙa'ida ta gaba da ke da hanyar da ta dace fakitin zai ci gaba da kasawa; tabbatar da manufa ta gaba maimakon ɗauka cewa throw gyara ne.

Tacewar hanya ta baya da ƙa'idojin katangar wuta na mai masaukin suna aiki har yanzu kan buƙatar da ke zuwa. Duba ainihin hukuncinsu kafin ka sassauta tabbatarwa, domin keɓewar hanya ba ta sa rp_filter ta karɓi hanyar dawowa da take ganin ba zai yiwu ba.

Gwada TCP, sannan QUIC, sannan sake farawa

Buɗe haɗi ɗaya daga abokin ciniki na waje da aka ba da izini da ɗaya daga gefen sirri, sannan duba binciken amsa da ainihin adireshi da tashoshi. Idan amsar waje ta ɗauki tebur 100 amma ta sirri ba ta ɗauka ba, manufar tana yin abin da ka nema.

HTTP/3 ana ba da ita ta UDP kuma ƙa'idar TCP ba za ta daidaita ta ba, don haka mai sauraron QUIC yana buƙatar nasa mai zaɓi ko zai ci gaba da amfani da ramin yayin da HTTPS ke aiki. Adana waɗanne ƙa'idoji ka daidaita tare da ɓangaren da ya mallaki muƙamin, kuma tabbatar da su bayan sake haɗawa ko sabunta DHCP. Lokacin da wani mai gudanarwa mai gasa ya cire hanyar aiki bayan sake farawa, wannan matsalar mallaka ce da za a gyara a tushe, ba dalilin ƙara faɗin ƙa'idojin NAT a kai ba.