FORWARD, OUTPUT ಮತ್ತು IPv6 ಅನ್ನು ಒಳಗೊಳ್ಳುವ ರೌಟರ್ ಕಿಲ್ ಸ್ವಿಚ್
FORWARD ನಲ್ಲಿ ಮಾತ್ರ ಇರುವ ಕಿಲ್ ಸ್ವಿಚ್ ರೌಟರ್ ತಾನೇ ಸೋರಿಕೆ ಮಾಡಲು ಬಿಡುತ್ತದೆ, ಮತ್ತು IPv4 ಗೆ ಮಾತ್ರ ಸೀಮಿತವಾದ ನಿಯಮಗಳು IPv6 ಅನ್ನು ತೆರೆದೇ ಬಿಡುತ್ತವೆ. ಸರಣಿಗಳನ್ನು ಕ್ರಮಗೊಳಿಸಿ ಮತ್ತು ಸುರಂಗ ಕೆಳಗಿರುವಾಗ ಪರೀಕ್ಷಿಸಿ.
ನೀವು ರೌಟರ್ಗೆ ಲಾಗಿನ್ ಆಗಿ, ಫೋರಂ ಪೋಸ್ಟ್ನಿಂದ ಕಿಲ್ ಸ್ವಿಚ್ ನಿಯಮಗಳ ಗುಂಪನ್ನು ಅಂಟಿಸುತ್ತೀರಿ, ಮತ್ತು ಸುರಂಗ ಬೀಳುವ ಕ್ಷಣ LAN ಬ್ರೌಸಿಂಗ್ ನಿಲ್ಲುತ್ತದೆ. ಎರಡು ದಿನಗಳ ನಂತರವೂ ರೌಟರ್ ಸಾಮಾನ್ಯ WAN ಮೂಲಕ ತನ್ನ ಡೈನಾಮಿಕ್ DNS ದಾಖಲೆಯನ್ನು ನವೀಕರಿಸುತ್ತಿದೆ, ಮತ್ತು ಅತಿಥಿ ಲ್ಯಾಪ್ಟಾಪ್ ಇನ್ನೂ IPv6 ಸೈಟ್ಗಳನ್ನು ತಲುಪುತ್ತಿದೆ. ಎರಡೂ ನಡವಳಿಕೆಗಳು ಸಾಮಾನ್ಯ, ಏಕೆಂದರೆ ಅಂಟಿಸಿದ ನಿಯಮಗಳು ಒಂದು ಸರಣಿ ಮತ್ತು ಒಂದು ವಿಳಾಸ ಕುಟುಂಬವನ್ನು ಮಾತ್ರ ಆವರಿಸಿದ್ದವು, ಮತ್ತು ಅವುಗಳಲ್ಲಿ ಯಾವುದೂ ಇಡೀ ರೌಟರ್ ಅಲ್ಲ. ಪ್ಯಾಕೆಟ್ ಮಾರ್ಗಗಳನ್ನು ಕ್ರಮವಾಗಿ ನಡೆದಾಗ ಏನು ಬಿಟ್ಟುಹೋಗಿದೆ ಎಂಬುದು ನಿಖರವಾಗಿ ತಿಳಿಯುತ್ತದೆ.
ಲ್ಯಾಪ್ಟಾಪ್ನಿಂದ ಅಲ್ಲ, ರೌಟರ್ನಿಂದ ಪ್ರಾರಂಭಿಸಿ
ರೌಟರ್ ಮಟ್ಟದ ನೀತಿ ಸಣ್ಣ ಕಚೇರಿಗೆ ಆಕರ್ಷಕವಾಗಿದೆ, ಏಕೆಂದರೆ ಅದರ ಹಿಂದಿನ ಪ್ರತಿಯೊಂದು ಸಾಧನವೂ ಅದೇ ನಡವಳಿಕೆಯನ್ನು ಪಡೆಯುತ್ತದೆ ಮತ್ತು ಕ್ಲೈಂಟ್ ಸ್ವಿಚ್ ಸಕ್ರಿಯಗೊಳಿಸಲು ಯಾರೂ ಮರೆಯಲಾಗದು. ಪ್ರತಿ ಫರ್ಮ್ವೇರ್ ನವೀಕರಣದ ನಂತರ ಪರೀಕ್ಷಿಸಲು ಒಂದೇ ಸ್ಥಳವನ್ನೂ ನೀಡುತ್ತದೆ. ಅದು ನೀಡದಿರುವುದು ರೌಟರ್ನ ಸ್ವಂತ ಸಂಚಾರ ಮತ್ತು ಎರಡನೇ ವಿಳಾಸ ಕುಟುಂಬದ ಸ್ವಯಂಚಾಲಿತ ಕವರೇಜ್, ಮತ್ತು ಹೆಚ್ಚಿನ ವಿಫಲ ನಿಯೋಜನೆಗಳ ಹಿಂದೆ ಇರುವ ಎರಡು ಕೊರತೆಗಳು ಅವೇ.
ಏನನ್ನಾದರೂ ಸಂಪಾದಿಸುವ ಮೊದಲು ಕಾಗದದಲ್ಲಿ ಮೂರು ಅಂಶಗಳನ್ನು ಬರೆದಿಡಿ: WAN ಇಂಟರ್ಫೇಸ್ ಹೆಸರು, LAN ಬ್ರಿಡ್ಜ್ ಹೆಸರು, ಮತ್ತು VPN ಎಂಡ್ಪಾಯಿಂಟ್ ವಿಳಾಸ ಮತ್ತು ಪೋರ್ಟ್. ನಿಯಮಗಳಲ್ಲಿ ಈ ಮೂರೂ ಬೇಕು, ಮತ್ತು ಇಂಟರ್ಫೇಸ್ ಹೆಸರುಗಳನ್ನು ಊಹಿಸುವುದು ಸರಿಯಾಗಿ ಕಾಣುವ ನಿಯಮಗಳ ಗುಂಪು ಏನೂ ಮಾಡದಿರಲು ಅತಿ ಸಾಮಾನ್ಯ ಕಾರಣ.
ಪ್ಯಾಕೆಟ್ ತೆಗೆದುಕೊಳ್ಳಬಹುದಾದ ಮೂರು ಮಾರ್ಗಗಳನ್ನು ನಡೆಯಿರಿ
ಲ್ಯಾಪ್ಟಾಪ್ನಿಂದ ಇಂಟರ್ನೆಟ್ಗೆ ಹೋಗುವ ಸಂಚಾರ ಫಾರ್ವರ್ಡ್ ಆಗುತ್ತದೆ, ಆದ್ದರಿಂದ ಅದು FORWARD ಸರಣಿಯ ಮೂಲಕ ಹಾದುಹೋಗುತ್ತದೆ. ರೌಟರ್ ಸ್ವತಃ ಉತ್ಪಾದಿಸುವ ಸಂಚಾರ, ಉದಾಹರಣೆಗೆ DNS ಫಾರ್ವರ್ಡಿಂಗ್, NTP ಪ್ರಶ್ನೆಗಳು, DDNS ನವೀಕರಣಗಳು ಮತ್ತು VPN ನಿಯಂತ್ರಣ ಚಾನಲ್, OUTPUT ಮೂಲಕ ಹಾದುಹೋಗುತ್ತದೆ. ರೌಟರ್ಗೆ ಉದ್ದೇಶಿಸಿದ ನಿರ್ವಹಣಾ ಸಂಚಾರ INPUT ಮೂಲಕ ಬರುತ್ತದೆ.
ಆದ್ದರಿಂದ FORWARD ನಲ್ಲಿ ಮಾತ್ರ ನಿರ್ಮಿಸಿದ ಕಿಲ್ ಸ್ವಿಚ್ ಕ್ಲೈಂಟ್ಗಳನ್ನು ಮಾತ್ರ ರಕ್ಷಿಸುತ್ತದೆ, ಬೇರೆ ಏನನ್ನೂ ಅಲ್ಲ. ಆರಂಭದ ದೃಶ್ಯದಲ್ಲಿನ ಸೋರಿಕೆ ನಿಗೂಢವಲ್ಲ, ಊಹಿಸಬಹುದಾದದ್ದು ಏಕೆ ಎಂಬುದನ್ನು ಕೋಷ್ಟಕ ತೋರಿಸುತ್ತದೆ.
| Packet path | Example | Chain that sees it |
|---|---|---|
| LAN client to WAN or tunnel | Browser request | FORWARD |
| Router-originated | DDNS update, NTP | OUTPUT |
| Addressed to the router | SSH from the LAN | INPUT |
ಹೆಚ್ಚಿನ ವಿನ್ಯಾಸಗಳಲ್ಲಿ INPUT ನಲ್ಲಿ ಕಿಲ್ ಸ್ವಿಚ್ ಅಗತ್ಯವಿಲ್ಲ, ಆದರೆ ಸುರಂಗ ಕೆಳಗಿರುವಾಗ ನಿರ್ವಹಣಾ ಪ್ರವೇಶವನ್ನು ಕಾರ್ಯನಿರ್ವಹಿಸುವಂತೆ ಇಡಬೇಕು. ಇಲ್ಲದಿದ್ದರೆ VPN ಮೊದಲ ಬಾರಿ ವಿಫಲವಾದಾಗ, ಕನ್ಸೋಲ್ ಕೇಬಲ್ ಹಿಡಿದು ಕಚೇರಿಗೆ ಹೋಗಬೇಕಾಗುತ್ತದೆ.
ಸುರಂಗ ಇನ್ನೂ ಏಳಲು ಸಾಧ್ಯವಾಗುವಂತೆ ನಿಯಮಗಳನ್ನು ಕ್ರಮಗೊಳಿಸಿ
ಕೆಲಸ ಮಾಡುವ ಕಿಲ್ ಸ್ವಿಚ್ ಎಂದರೆ ತಿರಸ್ಕಾರದಲ್ಲಿ ಕೊನೆಗೊಳ್ಳುವ ಅನುಮತಿ ಪಟ್ಟಿ, ಮತ್ತು ಅದನ್ನು ಇಟ್ಟಿಗೆಯಲ್ಲದೆ ಕಿಲ್ ಸ್ವಿಚ್ ಮಾಡುವುದು ಕ್ರಮವೇ. ಮೊದಲು ಲೂಪ್ಬ್ಯಾಕ್, VPN ಎಂಡ್ಪಾಯಿಂಟ್, ಸ್ಥಾಪಿತ ಹರಿವುಗಳ ಪ್ರತಿಕ್ರಿಯೆಗಳು ಮತ್ತು ಸುರಂಗ ಇಂಟರ್ಫೇಸ್ಗೆ ಅನುಮತಿ ನೀಡಿ; ಉಳಿದವನ್ನು ಕೊನೆಯಲ್ಲಿ ತಿರಸ್ಕರಿಸಿ.
iptables -A OUTPUT -o lo -j ACCEPT
iptables -A OUTPUT -d 198.51.100.7 -p udp --dport 51820 -j ACCEPT
iptables -A OUTPUT -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -o wg0 -j ACCEPT
iptables -A OUTPUT -o eth0 -j REJECTಈ ಹಂತದಲ್ಲಿ ಎಂಡ್ಪಾಯಿಂಟ್ ಹೋಸ್ಟ್ಹೆಸರಲ್ಲ, ವಿಳಾಸವಾಗಿರಬೇಕು. ಅಂತಿಮ ತಿರಸ್ಕಾರ DNS ಅನ್ನು ತಡೆದ ನಂತರ, ಪೂರೈಕೆದಾರರ ಹೋಸ್ಟ್ಹೆಸರನ್ನು ಹೆಸರಿಸುವ ನಿಯಮವನ್ನು ಇನ್ನು ಪರಿಹರಿಸಲಾಗದು, ಮತ್ತು ಮರುಬೂಟ್ ನಂತರ ಸುರಂಗ ಎಂದಿಗೂ ಮತ್ತೆ ಪ್ರಾರಂಭವಾಗುವುದಿಲ್ಲ. ಪೂರೈಕೆದಾರರು ಎಂಡ್ಪಾಯಿಂಟ್ಗಳನ್ನು ಬದಲಾಯಿಸಿದರೆ, ನೀತಿ ಅನ್ವಯಿಸುವ ಮೊದಲು ಹೆಸರನ್ನು ಪರಿಹರಿಸಿ ಮತ್ತು ಅದೇ ಸ್ಕ್ರಿಪ್ಟ್ನಿಂದ ಆ ನಿಯಮವನ್ನು ನವೀಕರಿಸಿ.
ಕ್ಲೈಂಟ್ ಸಂಚಾರಕ್ಕೂ FORWARD ನಲ್ಲಿ ಅದೇ ಆಕಾರವನ್ನು ಪ್ರತಿಬಿಂಬಿಸಿ, ಮತ್ತು ತಿರಸ್ಕಾರದ ಮೇಲೆ ಸ್ಪಷ್ಟ ನಿರ್ವಹಣಾ ನಿಯಮವನ್ನು ಇಡಿ. ಆ ನಿರ್ವಹಣಾ ನಿಯಮವನ್ನು ಸಣ್ಣದಾಗಿ ಆದರೆ ತಲುಪುವಂತೆ ಇರಿಸಿ, ಮತ್ತು ಮೊದಲ SSH ಸೆಷನ್ ಮುಚ್ಚುವ ಮೊದಲು ಎರಡನೇ ಸೆಷನ್ ತೆರೆದು ಅದನ್ನು ದೃಢೀಕರಿಸಿ. ಕಿಲ್ ಸ್ವಿಚ್ ಬದಲಾವಣೆಯ ವೇಳೆ ತಮ್ಮನ್ನೇ ಲಾಕ್ ಮಾಡಿಕೊಳ್ಳುವುದು ಯೋಜಿಸಲು ಸಾಕಷ್ಟು ಸಾಮಾನ್ಯ. WireGuard ಚಾಲನೆಯಲ್ಲಿರುವ ರೌಟರ್ನಲ್ಲಿ, ಪೀರ್ನ allowed-ips ಸುರಂಗಕ್ಕೆ ಏನು ಪ್ರವೇಶಿಸುತ್ತದೆ ಎಂಬುದನ್ನು ನಿರ್ಧರಿಸುತ್ತದೆ, ಆದರೆ ಈ ನಿಯಮಗಳು ಅದಿಲ್ಲದೆ ಏನು ಹೊರಡಬಹುದು ಎಂಬುದನ್ನು ನಿರ್ಧರಿಸುತ್ತವೆ.
IPv6 ಗೆ ತನ್ನದೇ ಮುಂಭಾಗದ ಬಾಗಿಲು ಬೇಕು
ಮೇಲಿನ ಎಲ್ಲವೂ IPv4. ನಿಮ್ಮ LAN ನಲ್ಲಿ ಕೆಲಸ ಮಾಡುವ IPv6 ಇದ್ದರೆ ಮತ್ತು ಸುರಂಗ ಕೇವಲ IPv4 ಸಾಗಿಸಿದರೆ, ಆವರಿಸಿದ ಪ್ರತಿಯೊಂದು ಸಾಧನಕ್ಕೂ ಇಂಟರ್ನೆಟ್ಗೆ ನೇರ ಮಾರ್ಗ ಇನ್ನೂ ಇರುತ್ತದೆ, ಅದನ್ನು ನಿಮ್ಮ ಹೊಸ ನಿಯಮಗಳು ಎಂದಿಗೂ ನೋಡುವುದಿಲ್ಲ. ಡ್ಯುಯಲ್-ಸ್ಟಾಕ್ ಲ್ಯಾಪ್ಟಾಪ್ ಅದನ್ನೇ ಸಂತೋಷದಿಂದ ಆರಿಸುತ್ತದೆ, ಮತ್ತು IPv4 ನಿಂದ ಪರೀಕ್ಷಿಸುವವರಿಗೆ ಮಾತ್ರ ಕಿಲ್ ಸ್ವಿಚ್ ಮುರಿದಂತೆ ಕಾಣುತ್ತದೆ.
ip6tables -A FORWARD -i br-lan -j REJECT
ip6tables -A OUTPUT -o eth0 -j REJECT
ip6tables -A OUTPUT -o lo -j ACCEPTಇಲ್ಲಿಯೂ ಕ್ರಮ ಮುಖ್ಯ: ಲೂಪ್ಬ್ಯಾಕ್ ಅನುಮತಿ WAN ತಿರಸ್ಕಾರಕ್ಕಿಂತ ಮೊದಲು ಬರಬೇಕು, ಇಲ್ಲದಿದ್ದರೆ ರೌಟರ್ನ ಸ್ಥಳೀಯ ಸೇವೆಗಳು ವಿಚಿತ್ರ ರೀತಿಯಲ್ಲಿ ವಿಫಲವಾಗಲು ಪ್ರಾರಂಭಿಸುತ್ತವೆ. ನೆಟ್ವರ್ಕ್ IPv6 ಅನ್ನು ಸಂಪೂರ್ಣವಾಗಿ ಬಳಸದಿದ್ದರೆ, WAN ಮತ್ತು LAN ನಲ್ಲಿ ಅದನ್ನು ನಿಷ್ಕ್ರಿಯಗೊಳಿಸುವುದು ಸರಳ ಮತ್ತು ಮರೆಯಲು ಏನೂ ಉಳಿಯುವುದಿಲ್ಲ.
ಕೆಲವು VPN ಕ್ಲೈಂಟ್ಗಳು IPv4 ಗೆ ಮಾತ್ರ ಡೀಫಾಲ್ಟ್ ಮಾರ್ಗವನ್ನು ಸ್ಥಾಪಿಸುತ್ತವೆ ಮತ್ತು ಇರುವ IPv6 ಡೀಫಾಲ್ಟ್ ಅನ್ನು ಅಸ್ಪೃಶ್ಯವಾಗಿ ಬಿಡುತ್ತವೆ. ಕ್ಲೈಂಟ್ ಅದನ್ನು ನಿಭಾಯಿಸಿದೆ ಎಂದು ಊಹಿಸುವ ಬದಲು ಸುರಂಗ ಸಂಪರ್ಕಗೊಂಡ ನಂತರ ರೂಟಿಂಗ್ ಕೋಷ್ಟಕವನ್ನು ಪರಿಶೀಲಿಸಿ.
ಸುರಂಗ ಕೆಳಗಿರುವಾಗ ಅದನ್ನು ಸಾಬೀತುಪಡಿಸಿ
ರೌಟರ್ನಿಂದ ಸುರಂಗವನ್ನು ನಿಲ್ಲಿಸಿ ಮತ್ತು ಈ ಕ್ರಮದಲ್ಲಿ ಮೂರು ಸ್ಥಳಗಳಿಂದ ಪರೀಕ್ಷಿಸಿ:
# systemctl stop wg-quick@wg0
# ip route get 203.0.113.1
# curl -m 5 -sS http://example.com || echo blocked
# iptables -vnL OUTPUT | head
# ip6tables -vnL OUTPUT | headಮಾರ್ಗ ಹುಡುಕಾಟವು ಪ್ಯಾಕೆಟ್ ಎಲ್ಲಿಗೆ ಹೋಗುತ್ತದೆ ಎಂದು ಹೇಳುತ್ತದೆ, ಮತ್ತು ಕೌಂಟರ್ಗಳು ನಿಮ್ಮ ನಿಯಮಗಳು ಎಂದಾದರೂ ಹೊಂದಿಕೆಯಾದವೇ ಎಂದು ಹೇಳುತ್ತವೆ. ವಿಫಲ ಪರೀಕ್ಷೆಯ ನಂತರ ಪ್ಯಾಕೆಟ್ಗಳೇ ಇಲ್ಲದ ನಿಯಮ ಏನನ್ನೂ ರಕ್ಷಿಸುತ್ತಿಲ್ಲ, ಮತ್ತು ಸಾಮಾನ್ಯ ಕಾರಣ ನೀವು ಟೈಪ್ ಮಾಡಿದ್ದಕ್ಕಿಂತ ಭಿನ್ನವಾದ ಇಂಟರ್ಫೇಸ್ ಹೆಸರು. LAN ಕಡೆಯ ಪರೀಕ್ಷೆ OUTPUT ಅನ್ನು ಚಲಾಯಿಸಲಾಗದ್ದರಿಂದ, ರೌಟರ್ ಉತ್ಪಾದಿಸುವ ಸಂಚಾರವನ್ನು ಸ್ಪಷ್ಟವಾಗಿ ಪರೀಕ್ಷಿಸಿ.
ಅಗತ್ಯವಾಗುವ ಮೊದಲು ವಿಫಲತೆಯ ಕ್ರಮವನ್ನು ನಿರ್ಧರಿಸಿ. Fail-closed ಕ್ಲೈಂಟ್ಗಳನ್ನು ಸುರಂಗ ಮರಳುವವರೆಗೆ ಆಫ್ಲೈನ್ನಲ್ಲಿಡುತ್ತದೆ; fail-open ಸಾಮಾನ್ಯ WAN ಪ್ರವೇಶವನ್ನು ಮರಳಿಸುತ್ತದೆ ಮತ್ತು ನಿಮಗೆ ಮುಖ್ಯವಾದ ಸಂಚಾರಕ್ಕೆ ಉದ್ದೇಶವನ್ನು ಸೋಲಿಸುತ್ತದೆ. ಹೆಚ್ಚಿನ ಮೆಟ್ರಿಕ್ನೊಂದಿಗೆ VPN ಪೂಲ್ಗೆ ಬ್ಲಾಕ್ಹೋಲ್ ಮಾರ್ಗವು fail-closed ವಿನ್ಯಾಸಗಳಿಗೆ ಉಪಯುಕ್ತ ಎರಡನೇ ಪದರ, ಏಕೆಂದರೆ ಸುರಂಗ ಮಾರ್ಗ ಕಣ್ಮರೆಯಾದಾಗ ಡೀಫಾಲ್ಟ್ಗೆ ಹಿಂತಿರುಗುವ ಬದಲು ಅದು ಉಳಿಯುತ್ತದೆ.
LAN ಕ್ಲೈಂಟ್, ರೌಟರ್ ಉತ್ಪಾದಿಸಿದ ವಿನಂತಿ ಮತ್ತು IPv6 ವಿನಂತಿ ಮೂರೂ ಸುರಂಗ ಕೆಳಗಿರುವಾಗ ವಿಫಲವಾದಾಗ ಮತ್ತು ಸುರಂಗ ಮೇಲೆ ಬಂದಾಗ ಮೂರೂ ಮತ್ತೆ ಕೆಲಸ ಮಾಡಿದಾಗ ಮಾತ್ರ ಸಂರಚನೆಯನ್ನು ಸ್ವೀಕರಿಸಿ.