Iyakance ƙa’idar SNAT ta OpenVPN kafin ta lalata nginx

Rashin nasara biyu suna ci gaba da zuwa daga irin wannan mai masauki. A farkon, abokan ciniki suna tabbatarwa sannan ba su isa kome bayan ramin ba. A na biyu, VPN ya tashi kuma gidan yanar gizon uwar garken da kansa ya daina amsawa, wanda shine mafi tada hankali domin yana kama da lalacewar gefe. A kan VPS mai tushe a kwantena duka biyu yawanci suna komawa ga gajeriyar jerin bincike ɗaya, kuma tsari yana da mahimmanci: na’urar farko, fassara ta biyu, iyaka ta uku.

Tabbatar cewa kwantenan zai iya ƙirƙirar na’urar tun

Babu wani abu da ke da mahimmanci idan haɗin gwiwar ramin ba zai iya kasancewa ba. Duba cewa /dev/net/tun yana nan kuma ƙirƙirar na’urar gwaji ta yi nasara, domin yawancin masu bayarwa suna kashe tun a cikin kwantena ta tsohuwar dabi’a. Babu wani aikin firewall da zai biya na’urar da ba a taɓa ƙirƙira ba.

Idan na’urar ba ta nan, mai masauki ko mai bayarwa ne kaɗai zai iya kunna ta. Wani shiri yawanci ya fi arha fiye da buɗaɗɗen zaren tallafi wanda ke ɗaukar mako ɗaya. Tabbatar da wannan kafin ka karanta layi ɗaya na log ɗin OpenVPN. In ba haka ba za ka yi maraice ɗin daidaita ƙa’idojin da ba za su taɓa ganin fakiti ba.

Yanke shawara abin da MASQUERADE ke yi a wannan haɗin gwiwa

A kan na’urar kama-da-wane ta yau da kullun ƙa’idar fita ta yau da kullun ita ce POSTROUTING MASQUERADE daga babban haɗin gwiwa. A cikin kwantenan OpenVZ na’urar da ake gani yawanci venet0 ce, haɗin gwiwar kama-da-wane da mai masauki ke sarrafawa maimakon NIC mai turawa, kuma MASQUERADE ba ya yin dabi’u a can koyaushe kamar yadda koyarwar ta ɗauka.

Sigar da za ta iya aiki ita ce fassara bayyananna zuwa adireshin da abokan ciniki suka riga suka isa, tare da ba da izinin turawa a kowane bangare. Sauya pool daga tsarin uwar garken yana da mahimmanci kamar sauya adireshin. Karanta kowane layi kafin liƙa shi.

iptables -t nat -A POSTROUTING -o venet0 -s 10.8.0.0/24 -j SNAT --to-source 203.0.113.10
iptables -A FORWARD -i tun0 -j ACCEPT
iptables -A FORWARD -o tun0 -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT

Ba tare da ƙa’idojin turawa ba fassarar tana faruwa har yanzu kuma kernel yana ƙin turawa har yanzu. Wannan haɗin yana haifar da yanayin ruɗani inda ƙididdiga a ƙa’idar NAT ke hawa yayin da abokin ciniki ba ya samun kome. Layukan FORWARD biyu kuma dole su tsaya gaban kowace babbar ƙa’idar drop a cikin sarƙa ɗaya. Tsari wani ɓangare ne na tsari, ba bayanin aiwatarwa ba.

Iyakance ƙa’idar zuwa pool ɗaya da haɗin gwiwa ɗaya

Alamar ta biyu tana da wani dalili: ƙa’idar POSTROUTING ba tare da takurawar tushe ko takurawar fita ba. Irin wannan ƙa’idar tana sake rubuta kowane fakiti da ke barin mai masauki.

Ayyukan da suka dogara da tushen asali sai su yi ɓarna. Uwar garken yanar gizo a bayan wakili na gida na iya daina amsawa, kuma sake kunna shi ba ya canza kome domin ƙa’idar tana cikin hanya har yanzu. Harkar da mai masauki ke turawa zuwa adireshinsa na jama’a ita ma an shafa ta, shi ya sa rashin nasarar na iya kama da matsalar DNS ko takardar shaida maimakon ta firewall. An ƙara ƙa’idar kusan tabbas don gyara alamar farko.

Magani shi ne a taƙaita daidaito zuwa pool ɗin ramin da haɗin gwiwar fita, sannan a ƙara ƙa’ida ɗaya ga kowane pool maimakon faɗaɗa ƙa’ida ɗaya don rufe da yawa.

Sanya ƙa’idojin dindindin kuma gano wanda kuma ya mallake su

Ƙa’idojin da aka ƙara da hannu suna ɓacewa a lokacin sake kunnawa, don haka ajiye su da iptables-save ko sarrafa su ta netfilter-persistent a inda aka shigar da shi. Tabbatar cewa maidowa yana gudana kafin OpenVPN ya fara. Sannan sake kunnawa sau ɗaya da gangan maimakon gano gibin yayin wani lamari.

A kan mai masaukin kwantena, kuma tabbatar cewa fayil ɗin dindindin yana cikin ajiyar kwantenan da za a iya rubutu kuma mai bayarwa ba ya maye gurbin tacewa a lokacin tashi. Wasu dandamali suna sarrafa manufa a wajen kwantenan, inda ake watsi da ƙa’idojin gida ko kuma suna gaba da na mai masaukin kansa.

Tabbatar da ƙididdiga da kwararar da aka kama guda ɗaya

Daga abokin ciniki da aka haɗa, duba adireshin jama’a da wani sabis na waje ke bayarwa. Idan ya yi daidai da adireshin uwar garken, fassarar tana aiki; in ba haka ba, fakitin yana fita ta wata hanya ko kuma bai fita kwata-kwata. Sannan gwada sabis da aka shirya a uwar garken da wanda ke cikin intanet na jama’a, domin suna bin hanyoyi daban-daban ta cikin tsarin ƙa’idoji ɗaya.

A uwar garken, karanta ƙididdigan fakiti a kan ƙa’idojin NAT da FORWARD da iptables -t nat -L -v -n kuma kalli kwarara ɗaya a cikin kama. Idan adireshin abokin ciniki ya bayyana a cikin kama kuma babu amsa da ta biyo baya, gibin yana kan hanyar dawowa ko cikin tacewar mai bayarwa, ba cikin bayanin abokin ciniki ba. Kwatanta tushen da aka kama da adireshin da ƙa’idar ke fassarawa zuwa gare shi, domin rashin daidaito yana nufin wata ƙa’idar ta fara daidaitawa. Kwarara ɗaya da aka lura tana warware fiye da shafi na karanta tsari.

Riƙe pool, adireshin da aka fassara da sunan haɗin gwiwa tare a cikin rikodin canji. Ƙa’idar da ta dace da pool ɗaya tana fassara na gaba da kuskure.