OpenVPN ಸಂಪರ್ಕಗೊಳ್ಳುತ್ತದೆ ಆದರೆ ಏನೂ ಹರಿಯುವುದಿಲ್ಲ: ಪ್ಯಾಕೆಟ್ ಎಲ್ಲಿ ಬೀಳುತ್ತದೆ ಎಂಬ ಪದರವನ್ನು ಹುಡುಕಿ

OpenVPN ಸಂಪರ್ಕಗೊಂಡಿದೆ ಎಂದು ಹೇಳುತ್ತದೆ ಮತ್ತು ಯಾವುದೇ ಸಂಚಾರ ಚಲಿಸುವುದಿಲ್ಲ, ಈ ವಾಕ್ಯವು ಕನಿಷ್ಠ ಐದು ಸಂಬಂಧವಿಲ್ಲದ ದೋಷಗಳನ್ನು ಮುಚ್ಚುತ್ತದೆ. ಯಾವ ಪದರ ವಿಫಲವಾಗುತ್ತದೆ ಎಂದು ತಿಳಿಯುವ ಮೊದಲು ಫೈರ್‌ವಾಲ್ ನಿಯಮಗಳನ್ನು ಸಂಪಾದಿಸುವುದು ಅಜ್ಞಾತವನ್ನು ಹೆಚ್ಚಿಸುತ್ತದೆ ಮತ್ತು ಮುಂದಿನ ಇಂಜಿನಿಯರ್ಗೆ ಗೊಂದಲವನ್ನು ಬಿಡುತ್ತದೆ. ಬದಲಾಗಿ ಪ್ರಕ್ರಿಯೆಯಿಂದ ಹೊರಮುಖವಾಗಿ ಕೆಲಸ ಮಾಡಿ, ಏಕೆಂದರೆ ಕೆಳಗಿನ ಪ್ರತಿ ಹಂತವು ಒಂದು ಹಂತವನ್ನು ಸ್ವಚ್ಛಗೊಳಿಸುತ್ತದೆ ಅಥವಾ ಪ್ಯಾಕೆಟ್ ಎಲ್ಲಿ ಸಾಯುತ್ತದೆ ಎಂಬುದನ್ನು ಸಂಕುಚಿತಗೊಳಿಸುತ್ತದೆ. ಇಲ್ಲಿ ಕ್ರಮ ಮುಖ್ಯ: ಯಾವ ವಿಳಾಸ ಬದ್ಧವಾಗಿದೆ ಎಂದು ತಿಳಿಯುವ ಮೊದಲು ತೆಗೆದುಕೊಂಡ ಸೆರೆ ಏನನ್ನೋ ಸಾಬೀತುಪಡಿಸುತ್ತದೆ, ಆದರೆ ನಿಮಗೆ ಬೇಕಾದದ್ದನ್ನು ಅಲ್ಲ.

ಸಾಕೆಟ್ ಬದ್ಧವಾಗಿದೆ ಅಥವಾ ಇಲ್ಲ

ಸಕ್ರಿಯ ಎಂದು ವರದಿ ಮಾಡುವ ಸೇವೆ ನೀವು ಎಂದೂ ಉದ್ದೇಶಿಸದ ವಿಳಾಸ ಅಥವಾ ಸಾರಿಗೆಗೆ ಇನ್ನೂ ಬದ್ಧವಾಗಿರಬಹುದು. ಸಾಕೆಟ್ ಅನ್ನೇ ಕೇಳಿ: ss -lunp UDP ಆಲಿಸುವವರನ್ನು ಪಟ್ಟಿ ಮಾಡುತ್ತದೆ ಮತ್ತು ss -ltnp TCP ಅನ್ನು ಪಟ್ಟಿ ಮಾಡುತ್ತದೆ, ಮತ್ತು ಓದಲು ಯೋಗ್ಯವಾದ ಕಾಲಮ್ ಸ್ಥಳೀಯ ವಿಳಾಸ, ಸ್ಥಿತಿ ಅಲ್ಲ.

ಖಾಲಿ ಉತ್ತರ ಸಾಮಾನ್ಯವಾಗಿ ಮೂರರಲ್ಲಿ ಒಂದನ್ನು ಅರ್ಥೈಸುತ್ತದೆ: ಪ್ರಕ್ರಿಯೆ ಪ್ರಾರಂಭದ ನಂತರ ನಿರ್ಗಮಿಸಿತು, ಅದು ಇನ್ನೊಂದು ಸಂರಚನಾ ಫೈಲ್ ಅನ್ನು ಲೋಡ್ ಮಾಡಿತು, ಅಥವಾ ಡಯಲ್ ಮಾಡುವ ವಿಳಾಸಕ್ಕಿಂತ ಬೇರೆ ವಿಳಾಸದಲ್ಲಿ ಕೇಳುತ್ತಿದೆ.

ss -lunp | grep 1194
ss -ltnp | grep 1194

local ಸೂಚನೆ ಆಲಿಸುವವರನ್ನು ಒಂದೇ ವಿಳಾಸಕ್ಕೆ ಪಿನ್ ಮಾಡುತ್ತದೆ, ಆದ್ದರಿಂದ ಅದೇ ಹೋಸ್ಟ್‌ನಲ್ಲಿ ಬೇರೆಡೆಗೆ ಗುರಿಯಿಟ್ಟ ಕ್ಲೈಂಟ್ ನಿರಾಕರಿಸಲ್ಪಡುತ್ತದೆ, ಆದರೆ ಸೇವೆ ಹೊರಗಿನಿಂದ ಇನ್ನೂ ಆರೋಗ್ಯಕರವಾಗಿ ಕಾಣುತ್ತದೆ. ಇನ್‌ಸ್ಟಾನ್ಸ್ ಹೆಸರು ಸಹ ನೀವು ಎಂದೂ ಸಂಪಾದಿಸದ ಫೈಲ್‌ಗೆ ತೋರಿಸಬಹುದು, ಇದು ಎರಡು ಪ್ರೊಫೈಲ್‌ಗಳನ್ನು ಅಕ್ಕಪಕ್ಕದಲ್ಲಿ ಚಲಾಯಿಸುವ ಹೋಸ್ಟ್‌ಗಳಲ್ಲಿ ಸಂಭವಿಸುತ್ತದೆ.

ಹೊರಗಿನ ಪ್ಯಾಕೆಟ್ ಸೆರೆಹಿಡಿಯಿರಿ, ಸುರಂಗವಲ್ಲ

ಭೌತಿಕ ಇಂಟರ್ಫೇಸ್ ಮತ್ತು ನಿಜವಾದ ಪೋರ್ಟ್‌ನಲ್ಲಿ ಫಿಲ್ಟರ್ ಮಾಡಿ, ನಿಮ್ಮ ಇಂಟರ್ಫೇಸ್ ಬದಲಿಸಿ: tcpdump -ni eth0 udp port 1194. ಹಿಂತಿರುಗಿ ಏನೂ ಬಾರದ ಹೊರಹೋಗುವ ಪ್ಯಾಕೆಟ್‌ಗಳು ಮೇಲಿನದನ್ನು ಸೂಚಿಸುತ್ತವೆ: ಪ್ರದಾತ ಫಿಲ್ಟರಿಂಗ್, NAT ಸಾಧನ, ಅಥವಾ ನೀವು ಯೋಚಿಸುವುದಕ್ಕಿಂತ ಬೇರೆಯದಾದ ದೂರದ ವಿಳಾಸ. ಎರಡೂ ದಿಕ್ಕುಗಳಲ್ಲಿನ ಮೌನ ಕ್ಲೈಂಟ್ ರೂಟಿಂಗ್ ಅಥವಾ ಸ್ಥಳೀಯ ಫೈರ್‌ವಾಲ್ ಅನ್ನು ಸೂಚಿಸುತ್ತದೆ. ಸುರಂಗದ ಪ್ರಗತಿ ಇಲ್ಲದೆ ಬರುವ ಉತ್ತರಗಳು ನಿಯಂತ್ರಣ ಚಾನಲ್ ಅನ್ನು ಸೂಚಿಸುತ್ತವೆ, ಅಂದರೆ ಕೀ ಅಥವಾ ಸೈಫರ್ ಹೊಂದಿಕೆಯಾಗದಿರುವುದು, ಫಿಲ್ಟರಿಂಗ್ ಅಲ್ಲ.

ಎರಡೂ ದಿಕ್ಕುಗಳನ್ನು ಸೆರೆಹಿಡಿಯಿರಿ ಮತ್ತು ಫೈಲ್ ಚಿಕ್ಕದಾಗಿ ಇರಿಸಿ. ಉದ್ದವಾದ ಸೆರೆ ಆಸಕ್ತಿದಾಯಕ ಮೂರು ಸೆಕೆಂಡುಗಳನ್ನು ಹೂತುಹಾಕುತ್ತದೆ, ಮತ್ತು ಉತ್ತರ ಬಹುತೇಕ ಯಾವಾಗಲೂ ಮೊದಲ ವಿನಿಮಯದಲ್ಲಿರುತ್ತದೆ.

ಮೊದಲು ಕೌಂಟರ್‌ಗಳು, ಜಾಡು ಅವು ಸುಳ್ಳು ಹೇಳಿದಾಗ ಮಾತ್ರ

ಕೌಂಟರ್‌ಗಳಿಂದ ಪ್ರಾರಂಭಿಸಿ, ಏಕೆಂದರೆ ಅವು ಏನೂ ವೆಚ್ಚ ಮಾಡುವುದಿಲ್ಲ. nft list ruleset ಅಥವಾ iptables -L -n -v ಇಲ್ಲಿ ಮುಖ್ಯವಾದ ಏಕೈಕ ಪ್ರಶ್ನೆಗೆ ಉತ್ತರಿಸುತ್ತದೆ: ನಿಯಮ ಹೊಂದಿಕೆಯಾಯಿತೇ? ಕ್ರಮ ಫಲಿತಾಂಶವನ್ನು ನಿರ್ಧರಿಸುತ್ತದೆ, ಏಕೆಂದರೆ ಮೊದಲ ಹೊಂದಾಣಿಕೆ ಗೆಲ್ಲುತ್ತದೆ, ಆದ್ದರಿಂದ ನಂತರದ ACCEPT ಮೊದಲು ಅಗಲವಾದ DROP ಆ ACCEPT ಅನ್ನು ಸತ್ತಂತೆ ಬಿಡುತ್ತದೆ ಮತ್ತು ಆದ್ದರಿಂದ ನಿಯಮ ಸೇರಿಸುವುದು ಅಷ್ಟು ಅಪರೂಪವಾಗಿ ಏನನ್ನಾದರೂ ಸರಿಪಡಿಸುತ್ತದೆ.

ಮಾಲೀಕತ್ವವೂ ಜನರನ್ನು ಎಡವಿಸುತ್ತದೆ. ಕರ್ನಲ್ ಸ್ಥಳೀಯವಾಗಿ ರಚಿಸಿದ ಪ್ಯಾಕೆಟ್‌ಗಳನ್ನು ಸಾಕೆಟ್ ತೆರೆದ ಪ್ರಕ್ರಿಯೆಗೆ ಆರೋಪಿಸುತ್ತದೆ, ಮತ್ತು OpenVPN ಸಾಮಾನ್ಯವಾಗಿ root ಆಗಿ ಚಲಿಸುತ್ತದೆ, ಆದ್ದರಿಂದ ಸಾಮಾನ್ಯ ಬಳಕೆದಾರ ID ಗೆ ಬದ್ಧವಾದ ನಿಯಮ ಸುರಂಗದ ಸ್ವಂತ ಸಂಚಾರವನ್ನು ಎಂದೂ ನೋಡುವುದಿಲ್ಲ. ನಿಯಮ ತಪ್ಪು ಎಂದು ನಿರ್ಧರಿಸುವ ಮೊದಲು ಮಾಲೀಕ UID ಪರಿಶೀಲಿಸಿ.

ಕೌಂಟರ್‌ಗಳು ಅಸ್ಪಷ್ಟವಾಗಿ ಉಳಿದಾಗ ಮಾತ್ರ ಲಾಗ್ ಗದ್ದಲಕ್ಕೆ ಯೋಗ್ಯವಾಗಿರುತ್ತದೆ, ಮತ್ತು ಆಗಲೂ ಸಣ್ಣ ಭಾಗಕ್ಕೆ ಮಾತ್ರ: ದರವನ್ನು ಮಿತಿಗೊಳಿಸಿ ತನ್ನ ಲಾಗ್ ಸಾಲುಗಳಿಗೆ ಪೂರ್ವಪ್ರತ್ಯಯ ಸೇರಿಸುವ iptables ನಿಯಮ, ಅಥವಾ meta nftrace set 1 ಹೊತ್ತಿರುವ nftables ನಿಯಮ nft monitor trace ಚಾಲನೆಯಲ್ಲಿರುವಾಗ. ಜಾಡು ಪ್ಯಾಕೆಟ್ ಸ್ವೀಕರಿಸಿದ ಅಥವಾ ಬಿಟ್ಟ ಸರಪಳಿ ಮತ್ತು ನಿಯಮವನ್ನು ಹೆಸರಿಸುತ್ತದೆ. ನಂತರ ಎರಡನ್ನೂ ತೆಗೆದುಹಾಕಿ ಮತ್ತು ಪೇಲೋಡ್ ಲಾಗಿಂಗ್ ಅನ್ನು ಹೊರಗಿಡಿ.

ಸಾರಿಗೆಯನ್ನೂ ಪರಿಶೀಲಿಸಿ. TCP ಗೆ ಸೀಮಿತವಾದ ಫೈರ್‌ವಾಲ್ ಸೇವೆ ಆ ಸಂಖ್ಯೆಯ UDP ಆಲಿಸುವವರ ಬಗ್ಗೆ ಏನನ್ನೂ ಹೇಳುವುದಿಲ್ಲ, ಆದ್ದರಿಂದ ಸರಿಯಾಗಿ ಓದುವ ನಿಯಮವೂ ಪ್ರತಿ ಪ್ಯಾಕೆಟ್ ಅನ್ನು ಬಿಡಬಹುದು.

ರೂಟಿಂಗ್ ಮತ್ತು ಹಿಂತಿರುಗುವ ದಾರಿ

ಸ್ವೀಕರಿಸಿದರೂ ಇನ್ನೂ ಮಾಯವಾಗುವ ಪ್ಯಾಕೆಟ್‌ನ ಗಮ್ಯಮಾರ್ಗವನ್ನು ಪರಿಶೀಲಿಸಬೇಕು. ip route get ಒಂದು ವಿಳಾಸಕ್ಕೆ ಆಯ್ಕೆಯಾದ ಮಾರ್ಗವನ್ನು ವರದಿ ಮಾಡುತ್ತದೆ, ಮತ್ತು ಹಿಮ್ಮುಖ ಮಾರ್ಗದ ಫಿಲ್ಟರಿಂಗ್ ಮುಖ್ಯ ಕೋಷ್ಟಕ ಎಂದೂ ಆಯ್ಕೆ ಮಾಡದ ಇಂಟರ್ಫೇಸ್ ಮೂಲಕ ಬರುವ ಉತ್ತರವನ್ನು ಬಿಡಬಹುದು. ಲಕ್ಷಣ ನಿಖರವಾಗಿ ಫೈರ್‌ವಾಲ್ ಬಿಟ್ಟಂತೆಯೇ ಕಾಣುತ್ತದೆ, ಆದ್ದರಿಂದ ಈ ಪರಿಶೀಲನೆ ಇನ್ನೊಂದು NAT ನಿಯಮಕ್ಕಿಂತ ಮೊದಲು ಬರುತ್ತದೆ.

ಗೇಟ್‌ವೇನಲ್ಲಿ input ಸರಪಳಿಯ ಬದಲು ಫಾರ್ವರ್ಡಿಂಗ್ ಮತ್ತು forward ಸರಪಳಿಯನ್ನು ಪರಿಶೀಲಿಸಿ. ನಂತರ ದೂರದ ಬದಿಗೆ ಮೂಲ ವಿಳಾಸವನ್ನು ತಲುಪುವ ದಾರಿ ತಿಳಿದಿದೆ ಎಂದು ಖಚಿತಪಡಿಸಿ, ಏಕೆಂದರೆ ಕೆಲಸ ಮಾಡುವ ಹೊರಹೋಗುವ ದಾರಿಯಿಂದ ಏನೂ ಹಿಂತಿರುಗದಿದ್ದರೆ ಎರಡೂ ಸಂದರ್ಭಗಳಲ್ಲಿ ಮೌನ.

ದಾಖಲೆ ಏನು ಹೇಳಬೇಕು

ಪ್ರತಿ ಬದಲಾವಣೆಗೆ, ಪರೀಕ್ಷಿಸಿದ ಹಂತ, ಓದಿದ ಸಾಕ್ಷ್ಯ ಮತ್ತು ಅದರ ಎರಡೂ ಬದಿಗಳಲ್ಲಿನ ಕೌಂಟರ್ ಮೌಲ್ಯವನ್ನು ಬರೆಯಿರಿ. ಆ ಟಿಪ್ಪಣಿಯೇ "ಈಗ ಅದು ಕೆಲಸ ಮಾಡುತ್ತದೆ" ಎಂಬುದನ್ನು ಮುಂದಿನ ಪರಿಶೀಲನೆಯಲ್ಲಿ ಉಳಿಸುತ್ತದೆ.

ಎರಡು ಚುಟುಕುಗಳು ಟಿಪ್ಪಣಿಯನ್ನು ಪ್ರಾಮಾಣಿಕವಾಗಿ ಇರಿಸುತ್ತವೆ. ಹೋಸ್ಟ್ ಎಂದೂ ಬಿಟ್ಟಿಲ್ಲದ ಪ್ಯಾಕೆಟ್ ಅನ್ನು ಬೇರೆಡೆಯ ನಿಯಮ ಬಿಟ್ಟಿರಲು ಸಾಧ್ಯವಿಲ್ಲ, ದೂರದ ಬದಿಯ ಸಂರಚನೆ ಎಷ್ಟೇ ನಂಬಲರ್ಹವಾಗಿ ಕಂಡರೂ. ನಿರ್ಗಮಿಸಿ ಹಿಂತಿರುಗಿದ ಪ್ಯಾಕೆಟ್ ಪ್ರಶ್ನೆಯನ್ನು ನೆಟ್‌ವರ್ಕ್ ಪದರದ ಮೇಲಕ್ಕೆ ಸರಿಸುತ್ತದೆ, ಅಲ್ಲಿ ಫೈರ್‌ವಾಲ್ ಕೌಂಟರ್‌ಗಳಿಗೆ ಇನ್ನು ಹೇಳಲು ಏನೂ ಉಳಿದಿಲ್ಲ.