iptables: VPN ಕ್ಲೈಂಟ್‌ಗಳು ಒಂದೇ ಹೋಸ್ಟ್ ತಲುಪಲು ಬಿಡಿ

ಸಂಬಂಧವಿಲ್ಲದಂತೆ ಕಾಣುವ ಎರಡು ಬೆಂಬಲ ಟಿಕೆಟ್ಗಳು ಒಂದೇ ಕಾರಣವನ್ನು ಹಂಚಿಕೊಳ್ಳುತ್ತವೆ. ಮೊದಲನೆಯದರಲ್ಲಿ, ನಿರ್ವಾಹಕರು ಸರ್ವರ್ ಸುರಂಗದಿಂದ ಮಾತ್ರ ಸಂಪರ್ಕ ಸ್ವೀಕರಿಸಬೇಕೆಂದು ಬಯಸುತ್ತಾರೆ; ಎರಡನೆಯದರಲ್ಲಿ, VPN ಬಳಕೆದಾರರು ಒಂದು ಆಂತರಿಕ ಹೋಸ್ಟ್ ತಲುಪಬೇಕು, ಅದಕ್ಕಿಂತ ಹೆಚ್ಚಲ್ಲ. ಎರಡೂ ನೀತಿಗಳು FORWARD ಗೆ ಸೇರಿವೆ, ಮತ್ತು ಎರಡನ್ನೂ ಸಾಮಾನ್ಯವಾಗಿ INPUT ನಲ್ಲಿ ಪ್ರಯತ್ನಿಸಲಾಗುತ್ತದೆ. ಫಲಿತಾಂಶ ಫೈರ್ವಾಲ್ನಂತೆ ಕಾಣುತ್ತದೆ ಮತ್ತು ಪ್ಲೇಸ್ಹೋಲ್ಡರ್ನಂತೆ ವರ್ತಿಸುತ್ತದೆ.

ಯಾವ ಸರಪಳಿ ನಿಮ್ಮ ಪ್ರಶ್ನೆಗೆ ಉತ್ತರಿಸುತ್ತದೆ

VPN ಕ್ಲೈಂಟ್ LAN ಹೋಸ್ಟ್ಗೆ ಅಥವಾ ಮುಂದೆ ಇಂಟರ್ನೆಟ್ಗೆ ಕಳುಹಿಸುವ ಪ್ಯಾಕೆಟ್ಗಳನ್ನು ಕರ್ನಲ್ ಮುಂದಕ್ಕೆ ರವಾನಿಸುತ್ತದೆ ಮತ್ತು ಅವು FORWARD ನಲ್ಲಿ ಮೌಲ್ಯಮಾಪನಗೊಳ್ಳುತ್ತವೆ. INPUT ಮತ್ತು OUTPUT ಸರ್ವರ್ನಲ್ಲೇ ಕೊನೆಗೊಳ್ಳುವ ಅಥವಾ ಅಲ್ಲಿಂದ ಪ್ರಾರಂಭವಾಗುವ ಸಂಚಾರವನ್ನು ಮಾತ್ರ ನೋಡುತ್ತವೆ. ಆದ್ದರಿಂದ tun0 ಗೆ ಬಾರದ ಎಲ್ಲದನ್ನೂ ತಿರಸ್ಕರಿಸುವುದು ಸರ್ವರ್ನ ಸ್ವಂತ ಕೇಳುಗರನ್ನು ರಕ್ಷಿಸುತ್ತದೆ, ಮತ್ತು ಸ್ಥಾಪಿತ ಹರಿವುಗಳನ್ನು ಮೊದಲು ಅನುಮತಿಸದಿದ್ದರೆ ಅದು ನಿಮ್ಮ SSH ಅಧಿವೇಶನವನ್ನೂ ಕೊನೆಗೊಳಿಸುತ್ತದೆ. ಕ್ಲೈಂಟ್ಗಳು ಎಲ್ಲಿಗೆ ಹೋಗಬಹುದು ಎಂಬುದರಲ್ಲಿ ಇದು ಏನನ್ನೂ ಬದಲಿಸುವುದಿಲ್ಲ.

ಮೊದಲು ಪ್ರಶ್ನೆಗೆ ಹೆಸರಿಡಿ: ಯಾರು ಸರ್ವರ್ ತಲುಪಬಹುದು, ಅಥವಾ ಕ್ಲೈಂಟ್ಗಳು ಎಲ್ಲಿಗೆ ಹೋಗಬಹುದು. ಬಹುಪಾಲು ಜಾಲಗಳಿಗೆ ಎರಡೂ ಉತ್ತರಗಳು ಬೇಕು, ಬೇರೆ ಬೇರೆ ಸರಪಳಿಗಳಲ್ಲಿ.

ಮೊದಲು ಸ್ಥಿತಿ, ನಂತರ ಅನುಮತಿ, ನಂತರ ತಿರಸ್ಕಾರ

ಅನುಮತಿ ಪಟ್ಟಿ ಕೆಲಸ ಮಾಡುವುದು ನಿರ್ದಿಷ್ಟ ಅನುಮತಿ ಸಾಮಾನ್ಯ ತಿರಸ್ಕಾರದ ಮೇಲೆ ಇದ್ದಾಗ ಮತ್ತು ಹಿಂತಿರುಗುವ ಸಂಚಾರ ಎರಡರ ಮೇಲೂ ಅನುಮತಿಸಲ್ಪಟ್ಟಾಗ ಮಾತ್ರ. ನಿಯಮಗಳನ್ನು ಸ್ಪಷ್ಟ ಸ್ಥಾನಗಳಲ್ಲಿ ಸೇರಿಸಿ, ನಂತರ iptables -S FORWARD ನಿಂದ ಸರಪಳಿಯನ್ನು ಡಂಪ್ ಮಾಡಿ, ಇದರಿಂದ ಕ್ರಮ ಊಹೆಯಲ್ಲ, ಕಾಣುವಂತೆ ಇರುತ್ತದೆ.

POOL=10.99.0.0/24
iptables -I FORWARD 1 -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
iptables -I FORWARD 2 -s "$POOL" -d 172.31.20.15 -p tcp -m multiport --dports 443,3389 -j ACCEPT
iptables -I FORWARD 3 -s "$POOL" -j REJECT

ಈ ನಿಯಮ ನಿಜವಾದ ಸಂಚಾರದೊಂದಿಗೆ ಒಡನಾಟದಲ್ಲಿ ನಿಲ್ಲುತ್ತದೆಯೇ ಎಂಬುದನ್ನು ಎರಡು ವಿವರಗಳು ನಿರ್ಧರಿಸುತ್ತವೆ. ಸ್ಥಿತಿ ನಿಯಮವಿಲ್ಲದಿದ್ದರೆ, ನೀವು ಈಗಷ್ಟೇ ಅನುಮತಿಸಿದ ಸಂಪರ್ಕಗಳಿಗೆ ಬರುವ ಉತ್ತರಗಳು ತಾವೇ ತಿರಸ್ಕಾರದ ವಿರುದ್ಧ ಮೌಲ್ಯಮಾಪನಗೊಂಡು ಬಿಡಲಾಗುತ್ತವೆ. ಮಿತಿಯಿಲ್ಲದ LOG ನಿಯಮವು ಮೊದಲ ಸ್ಕ್ಯಾನ್ ಬಂದಾಗಲೇ ಸಣ್ಣ ವಿಭಾಗವನ್ನು ತುಂಬಬಹುದು, ಆದ್ದರಿಂದ ಲಾಗಿಂಗ್ ಮುಂದುವರಿಸುವ ಮೊದಲು -m limit --limit 10/min ಸೇರಿಸಿ. REJECT ತಕ್ಷಣ ದೋಷ ಹಿಂತಿರುಗಿಸುತ್ತದೆ, ಇದು ಪಟ್ಟಿ ಸರಿಹೊಂದಿಸುವಾಗ ಹೆಚ್ಚು ಸ್ನೇಹಪರ; DROP ಮೌನವಾಗಿ ಬಿಸಾಡುತ್ತದೆ, ಆದ್ದರಿಂದ ಪ್ರತಿ ತಪ್ಪೂ ಸಮಯ ಮೀರಿದಂತೆ ಕಾಣುತ್ತದೆ. ಉದ್ದೇಶಪೂರ್ವಕವಾಗಿ ಒಂದನ್ನು ಆರಿಸಿ ಮತ್ತು ಆಯ್ಕೆಯನ್ನು ಬದಲಾವಣೆ ದಾಖಲೆಯಲ್ಲಿ ಬರೆಯಿರಿ.

ರವಾನೆ ಮತ್ತು NAT ಈಗಾಗಲೇ ಕೆಲಸ ಮಾಡಬೇಕು

ಫಿಲ್ಟರಿಂಗ್ ಮಾರ್ಗವೊಂದು ಅಸ್ತಿತ್ವದಲ್ಲಿದೆ ಎಂದು ಸಾಬೀತುಪಡಿಸಲಾರದು. ಮೊದಲು ಕರ್ನಲ್ ಸ್ವಲ್ಪವಾದರೂ ರವಾನಿಸುತ್ತದೆಯೇ ಎಂದು ಖಚಿತಪಡಿಸಿ, ಮತ್ತು ಆ ಸೆಟ್ಟಿಂಗ್ ಅನ್ನು ಶೆಲ್ನ ಒಂದು ಬಾರಿಯ ಆದೇಶವಲ್ಲ, ಶಾಶ್ವತಗೊಳಿಸಿ. ಫಿಲ್ಟರ್ ಕೊನೆಯ ಪದರ, ಮೊದಲನೆಯದಲ್ಲ.

sysctl -w net.ipv4.ip_forward=1
iptables -t nat -A POSTROUTING -s "$POOL" -o eth0 -j MASQUERADE

ಮಸ್ಕರೇಡ್ ಎಲ್ಲಿ ಇರಬೇಕು ಎಂಬುದು ಕ್ಲೈಂಟ್ಗಳು ಎಲ್ಲಿಂದ ಹೊರಡುತ್ತವೆ ಎಂಬುದರ ಮೇಲೆ ಅವಲಂಬಿತ. ಅವರು ಸುರಂಗದ ಮೂಲಕ ದೂರದ ಜಾಲಕ್ಕೆ ಹೋದರೆ, NAT ನಿಯಮ WAN ಇಂಟರ್ಫೇಸ್ನಲ್ಲಿ ಅಲ್ಲ, ಆ ಇಂಟರ್ಫೇಸ್ನಲ್ಲಿ ಇರುತ್ತದೆ. ನಂತರ ಕೌಂಟರ್ಗಳನ್ನು ನೋಡಿ: FORWARD ಅನುಮತಿಗಳ ಸಂಖ್ಯೆ ಏರುತ್ತಿರುವಾಗ POSTROUTING ಕೌಂಟರ್ ಎಂದೂ ಚಲಿಸದಿದ್ದರೆ, ಹಿಂತಿರುಗುವ ಮಾರ್ಗ ಮುರಿದಿದೆ ಮತ್ತು ಫಿಲ್ಟರ್ ಸರಿಯಾಗಿದೆ. ಈ ಓದು ಎಂದೂ ಸಮಸ್ಯೆಯಾಗದ ನಿಯಮಗಳನ್ನು ಮತ್ತೆ ಬರೆಯುವ ಅರ್ಧ ದಿನವನ್ನು ಉಳಿಸುತ್ತದೆ.

ಮೇಲ್ ಬ್ಲಾಕ್ ಒಂದು ಸರಪಳಿ ಆಚೆಗೆ

INPUT ನಲ್ಲಿ ಪೋರ್ಟ್ 25 ಅನ್ನು ಬ್ಲಾಕ್ ಮಾಡುವುದು VPN ಸರ್ವರ್ಗೆ ಕಳುಹಿಸಿದ ಮೇಲ್ ಅನ್ನು ಮಾತ್ರ ನಿಲ್ಲಿಸುತ್ತದೆ. ಸುರಂಗದ ಮೂಲಕ ಮೇಲ್ ಕಳುಹಿಸುವ ಒಡೆದ ಕ್ಲೈಂಟ್ ರವಾನೆಯಾಗುತ್ತದೆ, ಆದ್ದರಿಂದ ಬ್ಲಾಕ್ 465 ಮತ್ತು 587 ರ ಪಕ್ಕದಲ್ಲಿ FORWARD ನಲ್ಲಿ ಇರಬೇಕು. ಒಂದು ಅಪ್ಲಿಕೇಶನ್ ಕಾನೂನುಬದ್ಧವಾಗಿ ಮೇಲ್ ರಿಲೇ ಮಾಡಿದರೆ, ಅದರ ಗಮ್ಯಸ್ಥಾನ ಮತ್ತು ಪೋರ್ಟ್ ಅನ್ನು ಆ ನಿಯಮದ ಮೇಲೆ ಇರಿಸಿ.

iptables -I FORWARD 2 -s "$POOL" -p tcp -m multiport --dports 25,465,587 -j REJECT

ಬೇರೆ ಯಾವುದನ್ನೂ ಬಿಗಿಗೊಳಿಸುವ ಮೊದಲು ತಿರಸ್ಕಾರ ಕೌಂಟರ್ ಒಂದು ವಾರ ಓಡಲಿ. ಏರುವುದನ್ನು ನಿಲ್ಲಿಸುವ ಸಂಖ್ಯೆಯೇ ನೀವು ಈಗಷ್ಟೇ ಮುರಿದ ಕಾನೂನುಬದ್ಧ ಹರಿವು.

ಅದನ್ನು ಮತ್ತೆ ಓದಿ, ನಂತರ ಕ್ಲೈಂಟ್ನಿಂದ ಸಾಬೀತುಪಡಿಸಿ

ನಿಯಮ ಸಮೂಹವನ್ನು ಕರ್ನಲ್ ವರದಿ ಮಾಡುವಂತೆ ಓದಿ, ನಿಮ್ಮ ಸ್ಕ್ರಿಪ್ಟ್ ಬರೆದಂತೆ ಅಲ್ಲ. iptables -S FORWARD ನಿಂದ ಪ್ರಾರಂಭಿಸಿ, ನಂತರ iptables -t nat -L POSTROUTING -n -v ನೊಂದಿಗೆ NAT ಕೋಷ್ಟಕ, ನಂತರ ನೀವು ಪರೀಕ್ಷಿಸುತ್ತಿರುವ ಹರಿವಿನ conntrack ನಮೂದು. ಕೆಲಸ ನಡೆಯುವವರೆಗೆ ರೋಲ್ಬ್ಯಾಕ್ ಆದೇಶ ಅಥವಾ ನಿಗದಿತ ಫ್ಲಶ್ ಇಟ್ಟುಕೊಳ್ಳಿ. ಪ್ರತಿ ಕರೆಗೆ -w ಬೇಕು, ಇಲ್ಲದಿದ್ದರೆ ಇಬ್ಬರು ನಿರ್ವಾಹಕರು xtables ಲಾಕ್ನಲ್ಲಿ ಡಿಕ್ಕಿ ಹೊಡೆಯುತ್ತಾರೆ. ಬದಲಾವಣೆ ವಿಂಡೋದಲ್ಲಿ ಇವುಗಳಲ್ಲಿ ಯಾವುದೂ ಐಚ್ಛಿಕವಲ್ಲ.

ಪೂಲ್ ಒಳಗಿನ ಕ್ಲೈಂಟ್ ಮತ್ತು ಅದರ ಹೊರಗಿನ ಕ್ಲೈಂಟ್ನಿಂದ ಪರೀಕ್ಷಿಸಿ ಮುಗಿಸಿ. ನೀವು ಟೈಪ್ ಮಾಡಿದ ಯಂತ್ರದಿಂದ ಮಾತ್ರ ಕೆಲಸ ಮಾಡುವ ನಿಯಮ ನೀತಿಯಲ್ಲ.