UID ನಿಯಮದೊಂದಿಗೆ ಒಂದು Linux ಖಾತೆಯನ್ನು OpenVPN ಮೂಲಕ ರೂಟ್ ಮಾಡಿ

ಖಾತೆ ಆಧಾರಿತ ರೂಟಿಂಗ್ ಒಬ್ಬ Linux ಬಳಕೆದಾರರ ಒಡೆತನದ ಪ್ರತಿಯೊಂದು IPv4 ಸಾಕೆಟ್ ಇರುವ ಸುರಂಗದ ಮೂಲಕ ಹೊರಹೋಗಬೇಕಾದಾಗ ಸೂಕ್ತವಾಗಿದೆ, ಮತ್ತು ಪ್ರೋಗ್ರಾಂ ಮಟ್ಟದ ಪ್ರತ್ಯೇಕತೆ ಬೇಕಾದಾಗ ಸೂಕ್ತವಲ್ಲ. ಇದು UID ಪ್ರಕಾರ ಆಯ್ಕೆ ಮಾಡುತ್ತದೆ, ಆದ್ದರಿಂದ ಆ ಖಾತೆಯಲ್ಲಿ ಚಲಿಸುವ ಎಲ್ಲವೂ ವ್ಯಾಪ್ತಿಯಲ್ಲಿದೆ, ನೀವು ಮರೆತ ಬ್ಯಾಚ್ ಕೆಲಸವೂ ಸೇರಿ. ಒಂದೇ ip rule ಮುಟ್ಟುವ ಮೊದಲು ಆ ಪ್ರಶ್ನೆಯನ್ನು ಬಗೆಹರಿಸಿ.

ಕೆಳಗಿನ ಉದಾಹರಣೆ UID 1500 ನಲ್ಲಿ ಮೀಸಲಾದ ಬ್ರೌಸರ್ ಖಾತೆ, 10.80.0.11 ಸ್ಥಳೀಯ ವಿಳಾಸವನ್ನು ಹೊಂದಿರುವ ಸುರಂಗ ಸಾಧನ tun-office, ಮತ್ತು ಪ್ರಶ್ನೆಯಲ್ಲಿರುವ ಗಮ್ಯಸ್ಥಾನಗಳನ್ನು ಅನುಮತಿಸುವ VPN ಅನ್ನು ಊಹಿಸುತ್ತದೆ. ಡೀಮನ್ ಸ್ವತಃ ಆ UID ನ ಹೊರಗೆ ಚಲಿಸುತ್ತದೆ.

ಯಾಂತ್ರಿಕೆಯನ್ನು ಆಯ್ಕೆ ಮಾಡುವ ಮೂರು ಷರತ್ತುಗಳು

ಕೆಲಸ ಮಾಡುವ ಗುರುತು ಖಾತೆಯಾಗಿದ್ದಾಗ, ಅದರ ಎಲ್ಲಾ ಸಂಚಾರವನ್ನು ಸ್ಥಳಾಂತರಿಸುವುದು ಸ್ವೀಕಾರಾರ್ಹವಾದಾಗ, ಮತ್ತು namespace ಕೆಲಸಕ್ಕೆ ಅರ್ಹವಾದುದಕ್ಕಿಂತ ಭಾರವಾಗಿದ್ದಾಗ UID ನಿಯಮವನ್ನು ಆಯ್ಕೆ ಮಾಡಿ. ಕೆಲಸದ ಹೊರೆಗೆ ತನ್ನದೇ ಇಂಟರ್ಫೇಸ್ಗಳು, ರಿಸಾಲ್ವರ್ ಮತ್ತು ರೂಟಿಂಗ್ ಕೋಷ್ಟಕ ಬೇಕಾದಾಗ ನೆಟ್ವರ್ಕ್ namespace ಆಯ್ಕೆ ಮಾಡಿ. ಪ್ರಾಕ್ಸಿ ಅಥವಾ ಪ್ರತಿ ಪ್ರಕ್ರಿಯೆ ಬೈಂಡ್ ಅನ್ನು ನಿಖರವಾಗಿ ಒಂದು ಅಪ್ಲಿಕೇಶನ್ ಸ್ಥಳಾಂತರಗೊಳ್ಳಬೇಕಾದಾಗ ಆಯ್ಕೆ ಮಾಡಿ, ಸೆಶನ್ನ ಉಳಿದ ಭಾಗ ಸ್ಥಳೀಯ ಮಾರ್ಗದಲ್ಲಿ ಉಳಿದಾಗ. ಈ ಮೂರನ್ನು ಬರೆದಿಟ್ಟರೆ ಉದ್ದೇಶಕ್ಕಿಂತ ಹೆಚ್ಚು ಸದ್ದಿಲ್ಲದೆ ಆವರಿಸುವ ನಿಯಮ ತಪ್ಪುತ್ತದೆ.

ತಪ್ಪಿಸಬೇಕಾದ ತಪ್ಪು ಎಂದರೆ ಲಾಂಚರ್ ಮಾಲೀಕರನ್ನು ನಿರ್ಧರಿಸುತ್ತದೆ ಎಂದು ಭಾವಿಸುವುದು. ಇನ್ನೊಬ್ಬ ಬಳಕೆದಾರರ ಸೆಶನ್ URL ನೀಡಿದ ಬ್ರೌಸರ್ UID 1500 ಅಡಿಯಲ್ಲಿ ಸಾಕೆಟ್ಗಳನ್ನು ರಚಿಸಿಲ್ಲ, ಮತ್ತು ಯಾವುದೇ ನಿಯಮ ಅದು ಉತ್ಪಾದಿಸುವ ಸಂಚಾರವನ್ನು ಸ್ಥಳಾಂತರಿಸುವುದಿಲ್ಲ.

ಕೋಷ್ಟಕ, ನಿಯಮ ಮತ್ತು ಕಾವಲುಗಾರ

ಇರುವ ನಿಯಮಗಳನ್ನು ಪರಿಶೀಲಿಸಿ ಬಳಸದ ಕೋಷ್ಟಕ ಮತ್ತು ಆದ್ಯತೆ ಸಂಖ್ಯೆಗಳನ್ನು ಆಯ್ಕೆ ಮಾಡಿದ ನಂತರ ಜೋಡಣೆ ಚಿಕ್ಕದು: ಸುರಂಗದ ಮೂಲ ವಿಳಾಸವನ್ನು ಹೊತ್ತಿರುವ ಮೀಸಲಾದ ಕೋಷ್ಟಕದಲ್ಲಿ ಡೀಫಾಲ್ಟ್ ಮಾರ್ಗ, ಖಾತೆಯ ಹುಡುಕಾಟಗಳನ್ನು ಆ ಕೋಷ್ಟಕಕ್ಕೆ ಕಳುಹಿಸುವ ನಿಯಮ, ಮತ್ತು ಫಾಲ್ಬ್ಯಾಕ್ ಅನ್ನು ತಡೆಯುವ ಅಂತಿಮ ನಿಯಮ. ಬರೆದಾಗ ಅದು ಐಡೆಂಪೊಟೆಂಟ್ ಮಾರ್ಗ ಬದಲಾವಣೆ, ip -4 route replace default dev tun-office src 10.80.0.11 table 51820, ನಂತರ ip -4 rule add priority 12100 uidrange 1500-1500 lookup 51820.

ಕಾವಲುಗಾರ ip -4 rule add priority 12101 uidrange 1500-1500 unreachable, ಮತ್ತು ಅದರ ಉದ್ದ ಸೂಚಿಸುವುದಕ್ಕಿಂತ ಹೆಚ್ಚು ಮುಖ್ಯ. ಅದಿಲ್ಲದೆ 51820 ಕೋಷ್ಟಕದಲ್ಲಿ ಕಾಣೆಯಾದ ಮಾರ್ಗ ಸಾಮಾನ್ಯ ಅಪ್ಲಿಂಕ್ಗೆ ಬೀಳುತ್ತದೆ ಮತ್ತು ಖಾತೆ ನೀತಿ ಹಿಡಿಯಬೇಕಿದ್ದ ಸಂಚಾರವನ್ನು ಸದ್ದಿಲ್ಲದೆ ಸೋರಿಸುತ್ತದೆ. ಅದರೊಂದಿಗೆ ಅದೇ ವೈಫಲ್ಯ ಟೈಮೌಟ್ ಆಗುತ್ತದೆ, ಅಂದರೆ ಫಾಲ್ಬ್ಯಾಕ್ ಅಲ್ಲ ಬದಲಿಗೆ ತಡೆ.

ಸಾಮಾನ್ಯ ಸ್ಥಳೀಯ ವಿಳಾಸ ನಿಯಮವನ್ನು ಇವುಗಳ ಮುಂದೆ ಇರಿಸಿ, ಮತ್ತು LAN ಅಥವಾ ನಿರ್ವಹಣಾ ವಿನಾಯಿತಿಗಳು ಆಯ್ಕೆ ಮಾಡಿದ ಕೋಷ್ಟಕದ ಮುಂದೆ ಬರುತ್ತವೆಯೇ ಎಂದು ಪ್ರಜ್ಞಾಪೂರ್ವಕವಾಗಿ ನಿರ್ಧರಿಸಿ. ಅಲ್ಲಿ ಸಿಕ್ಕ ಡೀಫಾಲ್ಟ್ ನಂತರ ಹೆಚ್ಚು ನಿರ್ದಿಷ್ಟ LAN ಮಾರ್ಗಕ್ಕಾಗಿ main ಅನ್ನು ಕೇಳುವುದಿಲ್ಲ, ಇದು ಕೋಷ್ಟಕಗಳ ನಡುವೆ ದೀರ್ಘತಮ ಪ್ರಿಫಿಕ್ಸ್ ಹೊಂದಾಣಿಕೆ ಅನ್ವಯಿಸುತ್ತದೆ ಎಂದು ನಿರೀಕ್ಷಿಸುವವರನ್ನು ಬೆಚ್ಚಿಬೀಳಿಸುತ್ತದೆ. ಉದ್ದೇಶಿತ ವಿನಾಯಿತಿ ಪಟ್ಟಿಯನ್ನು ಬದಲಾವಣೆ ಟಿಪ್ಪಣಿಯಲ್ಲಿ ಬರೆಯಿರಿ, ತಾರ್ಕಿಕತೆ ಇನ್ನೂ ತಾಜಾವಾಗಿರುವಾಗ.

UID ರೂಟಿಂಗ್ ಬಿಟ್ಟುಬಿಡುವುದು: DNS

ರಿಸಾಲ್ವರ್ ಡೀಮನ್ ತನ್ನ ಅಪ್ಸ್ಟ್ರೀಮ್ ಸಾಕೆಟ್ಗಳನ್ನು ತನ್ನದೇ UID ಅಡಿಯಲ್ಲಿ ತೆರೆಯುತ್ತದೆ, ಆದ್ದರಿಂದ 1500 ಆಯ್ಕೆ ಮಾಡಿದರೆ ಆ ಪ್ರಶ್ನೆಗಳು 51820 ಕೋಷ್ಟಕಕ್ಕೆ ಹೋಗುವುದಿಲ್ಲ. DNS ಸಂಯೋಜನೆ ಪ್ರತ್ಯೇಕ ನಿರ್ಧಾರ: ಖಾತೆಯನ್ನು ಸುರಂಗದ ಮೂಲಕ ತಲುಪಬಹುದಾದ ರಿಸಾಲ್ವರ್ಗೆ ತೋರಿಸಿ, ಅಥವಾ ಹೆಸರು ವಿಭಜನೆ ಹೋಸ್ಟ್ನ ಮಾರ್ಗವನ್ನು ಅನುಸರಿಸುತ್ತದೆ, ಸಂಚಾರ ಅಲ್ಲ ಎಂದು ಒಪ್ಪಿ.

ಸ್ಥಳೀಯ stub ಗೆ loopback ಪ್ರಶ್ನೆ ಅಪ್ಸ್ಟ್ರೀಮ್ ಪ್ರಶ್ನೆ ಬ್ರೌಸರ್ ಮಾರ್ಗವನ್ನು ಬಳಸಿದೆ ಎಂಬುದಕ್ಕೆ ಸಾಕ್ಷಿಯಲ್ಲ, ಕ್ಯಾಶ್ನಿಂದ ಯಶಸ್ವಿ ಪುಟ ಲೋಡ್ ಕೂಡ ಅಲ್ಲ.

IPv6 ಗೆ ವಿನ್ಯಾಸದಲ್ಲಿ ತನ್ನದೇ ವಾಕ್ಯ ಬೇಕು

ಮೇಲಿನ ನಿಯಮಗಳು IPv4 ಅನ್ನು ಮಾತ್ರ ಆವರಿಸುತ್ತವೆ. ಅಗತ್ಯವು ಈ ಖಾತೆಯಿಂದ ನೇರ IPv6 ಇಲ್ಲದ IPv4 ಸುರಂಗವಾದರೆ, ಪರಿಶೀಲಿಸಿದ ಅಂತಿಮ ನಿಯಮವನ್ನು ಸೇರಿಸಿ ಉದಾಹರಣೆಗೆ ip -6 rule add priority 12101 uidrange 1500-1500 unreachable, ನಂತರ ಹಿಂದಿನ IPv6 ನಿಯಮಗಳು ಮತ್ತು ನೀವು ಉಳಿಸಿಕೊಳ್ಳಲು ಬಯಸುವ loopback ವಿನಾಯಿತಿಗಳನ್ನು ಪರಿಶೀಲಿಸಿ.

ನೇರ IPv6 ಅನ್ನು ತಡೆಯುವುದು ದ್ವಿ-ಸ್ಟಾಕ್ ಸುರಂಗೀಕರಣವಲ್ಲ; ಅದು ಒಂದು ಗಡಿ. ಅದನ್ನು ಸುರಂಗೀಕರಣ ಎಂದು ಕರೆದರೆ ನೀತಿ ಓದುವ ಮುಂದಿನ ವ್ಯಕ್ತಿ ಗೊಂದಲಕ್ಕೀಡಾಗುತ್ತಾರೆ, ಮತ್ತು ಆ ಗೊಂದಲ ಮುರಿದ IPv6 ಸೈಟ್ ಬಗ್ಗೆ ಸಹಾಯವಾಣಿ ಟಿಕೆಟ್ ಆಗಿ ಹೊರಬರುತ್ತದೆ.

ನಿಜವಾದ ಖಾತೆಯೊಂದಿಗೆ ಪರಿಶೀಲಿಸಿ, ನಂತರ ಜೀವನಚಕ್ರದ ಜವಾಬ್ದಾರಿ ತೆಗೆದುಕೊಳ್ಳಿ

ಹುಡುಕಾಟಗಳನ್ನು ಹೋಲಿಸಿ: ಸಾಮಾನ್ಯ UID ಯೊಂದಿಗೆ ಅದೇ ಗಮ್ಯಸ್ಥಾನಕ್ಕೆ ip -4 route get 198.51.100.25 uid 1500. ನಂತರ ಮೀಸಲಾದ ಖಾತೆಯ ಅಡಿಯಲ್ಲಿ ಅನುಮತಿಸಿದ ವಿನಂತಿ ಮಾಡಿ ಮತ್ತು ದೂರದ ತುದಿ ನೋಡುವ ಮೂಲ ವಿಳಾಸವನ್ನು ಪರಿಶೀಲಿಸಿ. ಆದ್ಯತೆಯ ಮೂಲ ವಿಳಾಸ source NAT ಅಲ್ಲ, ಮತ್ತು ಅದು ಬೇರೆ ಯಾವುದನ್ನೋ ಬೈಂಡ್ ಮಾಡುವ ಅಪ್ಲಿಕೇಶನ್ ಅನ್ನು ಮೀರಿಸುವುದಿಲ್ಲ. ಎರಡೂ ಹುಡುಕಾಟಗಳು ಒಂದೇ ಮಾರ್ಗವನ್ನು ಹಿಂತಿರುಗಿಸಿದರೆ, ನಿಯಮ ನೀವು ಭಾವಿಸುವುದನ್ನು ಮಾಡುತ್ತಿಲ್ಲ.

ಕೋಷ್ಟಕ, ನಿಯಮಗಳು ಮತ್ತು ಸುರಂಗ ಮಾರ್ಗದ ಆಯುಷ್ಯವನ್ನು ಒಬ್ಬ ಮಾಲೀಕರ ಅಡಿಯಲ್ಲಿ ಇರಿಸಿ, ಮರುಸಂಪರ್ಕ ಮತ್ತು ಸುರಂಗ ನಷ್ಟವನ್ನು ಪರೀಕ್ಷಿಸಿ, ಮತ್ತು ನೀತಿಯನ್ನು ನಿಲ್ಲಿಸುವಾಗ ಅದರ ನಿಖರ ನಮೂದುಗಳನ್ನು ಮಾತ್ರ ತೆಗೆದುಹಾಕಿ. ಪ್ರತ್ಯೇಕ ಇಂಟರ್ಫೇಸ್ಗಳು ಮತ್ತು ಪ್ರತ್ಯೇಕ ಸ್ಥಿತಿ ನಿಜವಾಗಿಯೂ ಬೇಕಾದರೆ namespace ಇನ್ನೂ ಲಭ್ಯವಿದೆ.