Kill switch a na’urar router da ke rufe FORWARD, OUTPUT da IPv6

Kuna shiga router, kuna liƙa jerin dokokin kill switch daga wani rubutu na forum, kuma LAN ya daina bincike a lokacin da tunnel ya faɗi. Bayan kwana biyu router yana har yanzu sabunta rikodin DNS ɗin sa mai motsi ta hanyar WAN ta yau da kullum, kuma kwamfutar hannu ta baƙi tana har yanzu isa shafukan IPv6. Dukansu halayen al’ada ne, domin dokokin da aka liƙa sun rufe sarƙa ɗaya da iyalin adireshi ɗaya, kuma babu ɗaya daga cikinsu da yake dukan router. Bin hanyoyin fakiti a jere yana nuna ainihin abin da aka manta.

Ku fara daga router, ba daga kwamfutar hannu ba

Manufa a matakin router tana da ban sha’awa ga ƙaramin ofis saboda kowace na’ura da ke bayansa tana gado irin wannan hali kuma babu wanda zai iya manta da kunna maɓallin abokin ciniki. Hakanan yana ba ku wuri ɗaya don gwadawa bayan kowace sabuntawar firmware. Abin da ba ya bayarwa shi ne rufewar trafik ɗin router ɗin kansa ko na wani iyalin adireshi na biyu kai tsaye, kuma waɗannan su ne giɓi biyu da ke bayan yawancin turawar da ba su yi nasara ba.

Kafin ku gyara wani abu, ku rubuta gaskiya uku a takarda: sunan haɗin WAN, sunan gadar LAN, da adireshin ƙarshen VPN da tasharsa. Za ku buƙaci duka uku a cikin dokokin, kuma yin hasashe kan sunayen haɗi shine mafi yawan dalilin da ya sa jerin dokokin da suka yi kama da daidai ba su yin komai.

Ku bi hanyoyi uku da fakiti zai iya bi

Trafik daga kwamfutar hannu zuwa intanet ana turawa, don haka yana wucewa ta sarƙar FORWARD. Trafik ɗin da router ɗin kansa ke ƙirƙira, kamar tura DNS, tambayoyin NTP, sabuntawar DDNS da tashar sarrafa VPN, yana wucewa ta OUTPUT. Trafik ɗin kulawa da aka aika zuwa router yana shigowa ta INPUT.

Don haka kill switch da aka gina a FORWARD kawai yana kare abokan ciniki kuma babu wani abu. Teburin yana nuna me ya sa yoyon ruwan da ke cikin fage na farko abu ne da ake iya tsammani ba asiri ba.

A yawancin tsare-tsare ba kwa buƙatar kill switch a INPUT, amma kuna buƙatar kiyaye hanyar kulawa tana aiki yayin da tunnel ya ƙare. In ba haka ba, da farkon lokacin da VPN ya kasa, za ku tuƙa zuwa ofis da kebul na console.

Ku tsara dokokin domin tunnel ya iya tashi

Kill switch da ke aiki jerin izini ne da ya ƙare da ƙin amincewa, kuma tsari ne ya sa ya zama kill switch maimakon bulo. Ku ba da izini ga loopback, ƙarshen VPN, amsoshin rafukan da aka kafa da haɗin tunnel da farko; ku ƙi sauran a ƙarshe.

iptables -A OUTPUT -o lo -j ACCEPT
iptables -A OUTPUT -d 198.51.100.7 -p udp --dport 51820 -j ACCEPT
iptables -A OUTPUT -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -o wg0 -j ACCEPT
iptables -A OUTPUT -o eth0 -j REJECT

Ƙarshen dole ya zama adireshi a wannan matakin, ba sunan mai masauki ba. Da zarar ƙin amincewar ƙarshe ya toshe DNS, dokar da ta ambaci sunan mai masaukin mai bayarwa ba za a iya warware ta ba, kuma tunnel ba zai sake tashi ba bayan sake kunnawa. Idan mai bayarwa yana juya ƙarshen, ku warware sunan kafin a yi amfani da manufar kuma ku sabunta wancan dokar daga wannan script ɗin.

Ku kwafa siffar a FORWARD don trafik ɗin abokan ciniki, kuma ku sanya wata doka ta kulawa bayyananna a saman ƙin amincewa. Ku riƙe wannan dokar kulawa ƙunci amma ana iya isa, kuma ku tabbatar da ita ta hanyar buɗe wani zaman SSH na biyu kafin ku rufe na farko. Kulle kanku a waje yayin canjin kill switch abu ne da ya zama ruwan dare don yin shiri. A kan router da ke gudanar da WireGuard, allowed-ips na abokin tarayya ne ke yanke shawarar abin da ke shiga tunnel, yayin da waɗannan dokokin ke yanke shawarar abin da aka yarda ya fita ba tare da shi ba.

IPv6 yana buƙatar ƙofarsa ta kansa

Duk abin da ke sama IPv4 ne. Idan LAN ɗinku yana da IPv6 mai aiki kuma tunnel yana ɗaukar IPv4 kawai, kowace na’urar da aka rufe tana da hanyar kai tsaye zuwa intanet da sabbin dokokinku ba za su taɓa gani ba. Kwamfutar hannu mai matakai biyu za ta fi son ta, kuma kill switch zai yi kama da karye kawai ga wanda ke gwadawa da IPv4.

ip6tables -A FORWARD -i br-lan -j REJECT
ip6tables -A OUTPUT -o eth0 -j REJECT
ip6tables -A OUTPUT -o lo -j ACCEPT

Tsari yana da muhimmanci a nan ma: izinin loopback dole ya gabaci ƙin WAN, in ba haka ba ayyukan gida a kan router za su fara kasawa cikin hanyoyi masu ban mamaki. Idan cibiyar sadarwar ba ta amfani da IPv6 kwata-kwata, kashe shi a WAN da LAN ya fi sauƙi kuma ba ya barin komai da za a manta.

Wasu abokan cinikin VPN suna shigar da hanyar da aka saba kawai don IPv4 kuma suna barin hanyar IPv6 da ke akwai ba ta taɓa ba. Ku duba teburin tuƙi bayan tunnel ya haɗa maimakon ɗauka cewa abokin ciniki ya magance shi.

Ku tabbatar da hakan da tunnel a kashe

Ku tsayar da tunnel daga router kuma ku gwada daga wurare uku a wannan jere:

# systemctl stop wg-quick@wg0
# ip route get 203.0.113.1
# curl -m 5 -sS http://example.com || echo blocked
# iptables -vnL OUTPUT | head
# ip6tables -vnL OUTPUT | head

Binciken hanya yana gaya muku inda fakiti zai je, kuma ƙididdigar tana gaya muku ko dokokinku sun taɓa daidaitawa. Doka da ba ta da fakiti bayan gwajin da ya kasa ba ta kare komai, kuma dalilin da aka saba shi ne sunan haɗin da ya bambanta da wanda kuka rubuta. Ku gwada trafik ɗin da router ya ƙirƙira a bayyane, domin gwaji daga ɓangaren LAN ba zai iya motsa OUTPUT ba.

Ku yanke shawarar yanayin gazawa kafin ku buƙace shi. Fail-closed yana riƙe abokan ciniki a layi har tunnel ya dawo; fail-open yana mayar da hanyar WAN ta yau da kullum kuma yana lalata manufar ga trafik ɗin da kuka damu da shi. Hanyar blackhole zuwa tafkin VPN mai babban ma’auni wani mataki na biyu ne mai amfani ga tsare-tsaren fail-closed, tunda tana rayuwa lokacin da hanyar tunnel ta ɓace maimakon komawa ga na asali.

Ku karɓi saitin ne kawai lokacin da abokin cinikin LAN, buƙatar da router ya ƙirƙira da buƙatar IPv6 duk sun kasa da tunnel a kashe, kuma duk ukun sun sake aiki da zarar ya tashi.