nftables OpenVPN ಕ್ಲೈಂಟ್‌ಗಳ ನಡುವಿನ ಸಂಚಾರವನ್ನು ಏಕೆ ನೋಡಲಾರದು

ಒಂದೇ ಸರ್ವರ್‌ನಲ್ಲಿ ಇಬ್ಬರು ಕ್ಲೈಂಟ್‌ಗಳು ಫೈಲ್‌ಗಳನ್ನು ವಿನಿಮಯ ಮಾಡಿಕೊಳ್ಳುತ್ತಾರೆ, ವರ್ಗಾವಣೆ ಯಶಸ್ವಿಯಾಗುತ್ತದೆ, ಮತ್ತು ಟನೆಲ್‌ನತ್ತ ತೋರಿಸಿದ ಪ್ರತಿ ಫಾರ್ವರ್ಡ್ ನಿಯಮವೂ ಶೂನ್ಯ ಪ್ಯಾಕೆಟ್ ವರದಿ ಮಾಡುತ್ತದೆ. ನಿಯಮಗಳು ಮುರಿದಿಲ್ಲ ಮತ್ತು ಸರಪಳಿ ತಪ್ಪು ಸ್ಥಳದಲ್ಲಿಲ್ಲ. ಪೀರ್-ಟು-ಪೀರ್ ಫಾರ್ವರ್ಡಿಂಗ್ ಸಕ್ರಿಯವಾಗಿದ್ದಾಗ ಪ್ಯಾಕೆಟ್ ಸರ್ವರ್ ಪ್ರಕ್ರಿಯೆಯ ಒಳಗೆಯೇ ತಲುಪಿಸಲ್ಪಡುತ್ತದೆ ಮತ್ತು ಹೋಸ್ಟ್ ಸ್ಟಾಕ್ ಎಂದಿಗೂ ರೌಟರ್ ಆಗುವುದಿಲ್ಲ, ಆದ್ದರಿಂದ ಕರ್ನಲ್ ಫೈರ್‌ವಾಲ್‌ಗೆ ಎಣಿಸಲು ಏನೂ ಉಳಿಯುವುದಿಲ್ಲ. ಈ ವಿಭಜನೆಯನ್ನು ಅರ್ಥಮಾಡಿಕೊಳ್ಳುವುದು ನೀವು ಶಾರ್ಟ್‌ಕಟ್ ಇಟ್ಟುಕೊಳ್ಳುತ್ತೀರಾ ಅಥವಾ ಕರ್ನಲ್ ಮೂಲಕ ಮಾರ್ಗವನ್ನು ಮತ್ತೆ ಕಟ್ಟುತ್ತೀರಾ ಎಂಬುದನ್ನು ನಿರ್ಧರಿಸುತ್ತದೆ.

ಸರ್ವರ್ ಮೂಲಕ ಒಂದು ಪ್ಯಾಕೆಟ್ ಅನ್ನು ಅನುಸರಿಸಿ

ರೌಟ್ ಮಾಡಿದ ಟನೆಲ್‌ನಲ್ಲಿ ಡೀಮನ್ ಪ್ರತಿ ಕ್ಲೈಂಟ್‌ನ ಡೀಕ್ರಿಪ್ಟ್ ಆದ ಪ್ಯಾಕೆಟ್ ಅನ್ನು ಟನೆಲ್ ಸಾಧನಕ್ಕೆ ನೀಡುತ್ತದೆ. ಅಲ್ಲಿಂದ ಹೋಸ್ಟ್ ಅದನ್ನು ರೌಟ್ ಮಾಡುತ್ತದೆ, ಫಾರ್ವರ್ಡ್ ಹುಕ್ ಚಲಿಸುತ್ತದೆ, ಮತ್ತು ಟನೆಲ್ ಸಾಧನಕ್ಕೆ ಹೊಂದುವ ನಿಯಮವು ಸಂಚಾರವನ್ನು ಎಣಿಸಬಹುದು ಅಥವಾ ಬಿಡಬಹುದು. ಇದೇ ಹೆಚ್ಚಿನ ಫೈರ್‌ವಾಲ್ ಉದಾಹರಣೆಗಳು ಊಹಿಸುವ ಮಾರ್ಗ.

ಶಾರ್ಟ್‌ಕಟ್ ಹೋಸ್ಟ್ ಅನ್ನು ನಡುವಿನಿಂದ ತೆಗೆದುಹಾಕುತ್ತದೆ. ಒಂದು ಸೆಷನ್‌ನ ಡೀಕ್ರಿಪ್ಟ್ ಆದ ಪ್ಯಾಕೆಟ್ ಡೀಮನ್‌ನ ಒಳಗೆ ಇನ್ನೊಂದು ಸೆಷನ್‌ಗೆ ನೀಡಲ್ಪಡುತ್ತದೆ, ಮತ್ತು ಒಳಗಿನ ಪ್ಯಾಕೆಟ್ ಎಂದಿಗೂ ಟನೆಲ್ ಸಾಧನದಲ್ಲಿ ಹೊರಬರುವುದಿಲ್ಲ ಅಥವಾ ಹೋಸ್ಟ್‌ನಿಂದ ರೌಟ್ ಆಗುವುದಿಲ್ಲ. ಎನ್‌ಕ್ಯಾಪ್ಸುಲೇಟೆಡ್ ಸಂಚಾರವು ಇನ್ನೂ ಭೌತಿಕ ಇಂಟರ್‌ಫೇಸ್ ದಾಟುತ್ತದೆ, ಆದ್ದರಿಂದ ಹೊರಗಿನ ಕ್ಯಾಪ್ಚರ್ ಕಾರ್ಯನಿರತವಾಗಿ ಕಾಣುತ್ತದೆ ಆದರೆ ಒಳಗಿನ ನಿಯಮಗಳು ಮೌನವಾಗಿರುತ್ತವೆ. ಟನೆಲ್ ಸಾಧನದಲ್ಲಿ ತೆಗೆದ ಕ್ಯಾಪ್ಚರ್ ಏನನ್ನೂ ತೋರಿಸುವುದಿಲ್ಲ, ಇದು ಅಲ್ಲಿ ವರ್ಗಾವಣೆಯನ್ನು ನೋಡಲು ನಿರೀಕ್ಷಿಸುವವರನ್ನು ಬೆಚ್ಚಿಬೀಳಿಸುತ್ತದೆ. ಈ ಅಸಮಾನತೆಯೇ ಡೀಮನ್‌ನ ಹೊರಗಿನಿಂದ ಶಾರ್ಟ್‌ಕಟ್ ಅನ್ನು ಗುರುತಿಸುವ ಅತ್ಯಂತ ವೇಗದ ದಾರಿ.

ಯಾವ ಮಾರ್ಗ ನಡೆಯಿತು ಎಂಬುದನ್ನು ನಿರ್ಧರಿಸುವ ಕೌಂಟರ್ ಪರೀಕ್ಷೆ

ಅನ್ವಯವಾಗಬೇಕಾದ ನಿಯಮಕ್ಕೆ ಕೌಂಟರ್ ಜೋಡಿಸಿ, ಆ ನಿಯಮ ತಡೆಯಬೇಕಾದ ಇಬ್ಬರು ಕ್ಲೈಂಟ್‌ಗಳ ನಡುವೆ ವರ್ಗಾವಣೆ ನಡೆಸಿ, ನಂತರ ಕೌಂಟರ್ ಓದಿ.

sudo nft list ruleset
sudo nft add rule inet filter forward iifname "tun0" oifname "tun0" counter accept
sudo nft list chain inet filter forward

ವರ್ಗಾವಣೆ ಯಶಸ್ವಿಯಾಗಿ ಕೌಂಟರ್ ಶೂನ್ಯದಲ್ಲೇ ಉಳಿದರೆ, ಕರ್ನಲ್ ಆ ಪ್ಯಾಕೆಟ್‌ಗಳನ್ನು ಎಂದಿಗೂ ನಿರ್ವಹಿಸಿಲ್ಲ, ಮತ್ತು ಎಷ್ಟೇ ನಿಯಮ ಸಂಪಾದನೆ ಮಾಡಿದರೂ ಅದು ಬದಲಾಗುವುದಿಲ್ಲ. ಅದೇ ಪರೀಕ್ಷೆಯನ್ನು ಸರ್ವರ್‌ನಲ್ಲಿಯೇ ಇರುವ ಸೇವೆಯ ವಿರುದ್ಧ ಪುನರಾವರ್ತಿಸಿ, ಏಕೆಂದರೆ ಆ ಹರಿವು ಹೋಸ್ಟ್ ಸ್ಟಾಕ್ ದಾಟುತ್ತದೆ ಮತ್ತು ಅದರ ಕೌಂಟರ್ ಚಲಿಸುತ್ತದೆ. ಎರಡು ಫಲಿತಾಂಶಗಳನ್ನು ಹೋಲಿಸುವುದೇ ಉತ್ತರವನ್ನು ನೀಡುತ್ತದೆ.

ಎರಡು ವಿವರಗಳು ತಪ್ಪು ಓದನ್ನು ತಡೆಯುತ್ತವೆ. ಸರಪಳಿ ಲೇಬಲ್‌ನಲ್ಲಿ ಬರೆದ ಇಂಟರ್‌ಫೇಸ್ ಹೆಸರು ತಾನಾಗಿಯೇ ಏನನ್ನೂ ಫಿಲ್ಟರ್ ಮಾಡುವುದಿಲ್ಲ, ಏಕೆಂದರೆ ಹೊಂದಾಣಿಕೆ ನಿಯಮಗಳ ಒಳಗಿನ ಇಂಟರ್‌ಫೇಸ್ ಕ್ಷೇತ್ರಗಳಲ್ಲಿ ನಡೆಯುತ್ತದೆ. ಮತ್ತು ಬ್ರಿಡ್ಜ್ ಮಾಡಿದ ಪದರ-2 ವಿನ್ಯಾಸವು ಮತ್ತೆ ಬೇರೆ ರೀತಿ ವರ್ತಿಸುತ್ತದೆ: ಅಲ್ಲಿ ಕ್ಲೈಂಟ್‌ಗಳು ಒಂದೇ ಪ್ರಸಾರ ಕ್ಷೇತ್ರವನ್ನು ಹಂಚಿಕೊಳ್ಳುತ್ತಾರೆ, ಆದ್ದರಿಂದ ಪೀರ್ ಪತ್ತೆ ನಿರೀಕ್ಷಿತವಾದುದು, ರೌಟಿಂಗ್ ದೋಷವಲ್ಲ.

ಸ್ವಿಚ್ ಪ್ರವೇಶ ಪಟ್ಟಿ ಅಲ್ಲ

ಇದೇ ಒಂದು ಮಧ್ಯಾಹ್ನವನ್ನು ತಿನ್ನುವ ಭಾಗ. ಪೀರ್ ಫಾರ್ವರ್ಡಿಂಗ್ ಒಂದೇ ಆನ್-ಆಫ್ ಸೆಟ್ಟಿಂಗ್, ಮತ್ತು ಅದು ಆನ್ ಇರುವವರೆಗೆ ಡೀಮನ್ ಏಕೈಕ ಫಾರ್ವರ್ಡಿಂಗ್ ಬಿಂದು. ಹೋಸ್ಟ್ ಫೈರ್‌ವಾಲ್ ಯಾರು ಯಾರನ್ನು ತಲುಪಬಹುದು ಎಂದು ಹೇಳಲಾರದು, ಮತ್ತು ಪ್ರತಿ-ಕ್ಲೈಂಟ್ ಫೈಲ್‌ಗಳು ಸ್ವಿಚ್ ಅನ್ನು ನೀತಿ ಮ್ಯಾಟ್ರಿಕ್ಸ್ ಆಗಿ ಬದಲಿಸುವುದಿಲ್ಲ.

ನಿಮಗೆ ಪ್ರತಿ-ಪೀರ್ ನಿಯಮಗಳು ಬೇಕಾದರೆ, ಆಯ್ಕೆ ಶಾರ್ಟ್‌ಕಟ್ ಬಿಟ್ಟುಕೊಡುವುದು ಮತ್ತು ನಿಯಂತ್ರಣವಾಗಿ ಹೋಸ್ಟ್ ಫೈರ್‌ವಾಲ್ ಬಿಟ್ಟುಕೊಡುವುದು ನಡುವೆ. ಅದನ್ನು ಆಫ್ ಮಾಡಿದರೆ ಕರ್ನಲ್ ಫಾರ್ವರ್ಡಿಂಗ್ ಮರಳುತ್ತದೆ, ಅದಕ್ಕೆ ಸರ್ವರ್‌ನಲ್ಲಿ IP ಫಾರ್ವರ್ಡಿಂಗ್ ಸಕ್ರಿಯವಾಗಿರಬೇಕು ಮತ್ತು ನಿಮಗೆ ಬೇಕಾದ ಹರಿವುಗಳಿಗೆ ಸ್ಪಷ್ಟ ನಿಯಮಗಳು ಬೇಕು. ಆನ್ ಇಟ್ಟುಕೊಂಡರೆ ನೀತಿ ಡೀಮನ್‌ನ ಸಂರಚನೆಯಲ್ಲಿ ವಾಸಿಸುತ್ತದೆ, ಅದು ಪ್ರಾಯೋಗಿಕವಾಗಿ ಎಲ್ಲಾ ಪೀರ್‌ಗಳು ಅಥವಾ ಯಾವುದೇ ಪೀರ್ ಅಲ್ಲ.

ತಮ್ಮದೇ ವಿಳಾಸ ಪೂಲ್ ಮತ್ತು ಪೋರ್ಟ್‌ಗಳಿರುವ ಪ್ರತ್ಯೇಕ ಸರ್ವರ್ ಪ್ರಕ್ರಿಯೆಗಳು ಕೆಲಸ ಮಾಡುವ ಮಧ್ಯಮ ಮಾರ್ಗ. ಪ್ರತಿ ಪ್ರಕ್ರಿಯೆಯು ನಿಖರವಾಗಿ ಒಂದು ಪ್ರವೇಶ ನಿರ್ಧಾರವನ್ನು ಹೊತ್ತಿರುತ್ತದೆ, ಆದ್ದರಿಂದ ಎರಡು ಗುಂಪುಗಳು ನೀತಿ ಮ್ಯಾಟ್ರಿಕ್ಸ್ ಇಲ್ಲದೆ ವಿಭಿನ್ನ ನಿಯಮಗಳನ್ನು ಹೊಂದಬಹುದು. ಹೋಸ್ಟ್ ಉದ್ದೇಶಿಸಿದಾಗ ಪೂಲ್‌ಗಳ ನಡುವೆ ರೌಟ್ ಮಾಡಬಹುದು, ಮತ್ತು ಆಗ ಫೈರ್‌ವಾಲ್ ಆ ಹರಿವುಗಳನ್ನು ನೋಡುತ್ತದೆ ಏಕೆಂದರೆ ಅವು ಹೋಸ್ಟ್ ದಾಟುತ್ತವೆ. ಬೆಲೆ ಹೆಚ್ಚುವರಿ ಪೋರ್ಟ್‌ಗಳು, ಹೆಚ್ಚುವರಿ ಪ್ರಮಾಣಪತ್ರಗಳು ಮತ್ತು ಪ್ರತಿ ಗುಂಪಿಗೆ ಒಂದು ಪ್ರೊಫೈಲ್.

ಫಾರ್ವರ್ಡಿಂಗ್ ಬಿಂದುವನ್ನು ಆಯ್ಕೆ ಮಾಡುವುದು

ಫೈರ್‌ವಾಲ್ ನೀತಿ ಎಂಜಿನ್ ಆಗಿದ್ದಾಗ, ಪ್ರತಿ ಹರಿವಿಗೆ ಲಾಗಿಂಗ್ ಬೇಕಾದಾಗ, ಅಥವಾ ಲೆಕ್ಕಪತ್ರ ಮುಖ್ಯವಾದಾಗ ಕರ್ನಲ್ ಫಾರ್ವರ್ಡಿಂಗ್ ಆಯ್ಕೆ ಮಾಡಿ. ಬೆಲೆ ಹೋಸ್ಟ್ ಸ್ಟಾಕ್ ಮೂಲಕ ಥ್ರೂಪುಟ್ ಮತ್ತು ನಿರ್ವಹಿಸಲು ಹೆಚ್ಚು ನಿಯಮಗಳು. ಲಾಭ ಏನೆಂದರೆ ಕೌಂಟರ್‌ಗಳಿಂದ ಹರಿವು ರಫ್ತುದಾರರವರೆಗೆ ಪ್ರತಿ ಅಸ್ತಿತ್ವದಲ್ಲಿರುವ ಸಾಧನವೂ ಸಂಚಾರವನ್ನು ಮತ್ತೆ ವಿವರಿಸುತ್ತದೆ. ಸಣ್ಣ ಸರ್ವರ್‌ನಲ್ಲಿ ಈ ಬೆಲೆ ಅಗೋಚರ; ಕಾರ್ಯನಿರತ ರಿಲೇಯಲ್ಲಿ ಹಾಗಲ್ಲ.

ಪೀರ್ ಸಂಚಾರವು ಸಂಪೂರ್ಣ ಅನುಮತಿಸಲ್ಪಟ್ಟಿರಲಿ ಅಥವಾ ಸಂಪೂರ್ಣ ನಿಷೇಧಿಸಲ್ಪಟ್ಟಿರಲಿ ಮತ್ತು ಸರ್ವರ್ ಅದಕ್ಕೆ ಅಳೆಯಲ್ಪಟ್ಟಿದ್ದರೆ ಪ್ರಕ್ರಿಯೆಯ ಒಳಗಿನ ಫಾರ್ವರ್ಡಿಂಗ್ ಆಯ್ಕೆ ಮಾಡಿ. ಬೆಲೆ ಏನೆಂದರೆ ಕೌಂಟರ್‌ಗಳು, ಸರದಿ ಶಿಸ್ತುಗಳು ಮತ್ತು ಸಂಪರ್ಕ ಟ್ರ್ಯಾಕಿಂಗ್ ಇನ್ನು ಒಳಗಿನ ಹರಿವುಗಳನ್ನು ವಿವರಿಸುವುದಿಲ್ಲ; ನಂತರ ಯಾರೂ ಅವುಗಳನ್ನು ಅವಲಂಬಿಸದಿದ್ದರೆ ಮಾತ್ರ ಇದು ಸ್ವೀಕಾರಾರ್ಹ.

ನೀವು ಯಾವುದನ್ನು ಆಯ್ಕೆ ಮಾಡಿದರೂ ಅದನ್ನು ಫೈರ್‌ವಾಲ್ ನಿಯಮಗಳ ಪಕ್ಕದಲ್ಲಿ ಬರೆಯಿರಿ. ಪೀರ್ ಸಂಚಾರವನ್ನು ಅನುಮತಿಸುವಂತೆ ಕಾಣುತ್ತಿದ್ದರೂ ಡೀಮನ್ ಹೇಗಿದ್ದರೂ ನಿರ್ಧರಿಸುವ ನಿಯಮ ಸಮೂಹವು ವಿಫಲ ವರ್ಗಾವಣೆಯನ್ನು ಡೀಬಗ್ ಮಾಡುವ ಮುಂದಿನ ವ್ಯಕ್ತಿಯನ್ನು ದಾರಿ ತಪ್ಪಿಸುತ್ತದೆ. ಕೇವಲ ನಿಯಮಗಳನ್ನು ಓದುವವರು ಕರ್ನಲ್ ಬಾಗಿಲು ಎಂದು ಭಾವಿಸುತ್ತಾರೆ.

ನಿಯಮಗಳನ್ನು ಬದಲಿಸುವ ಮೊದಲು ಏನನ್ನು ಪರಿಶೀಲಿಸಬೇಕು

ಸರ್ವರ್ ನಿಜವಾಗಿ ಲೋಡ್ ಮಾಡಿದ ಸಂರಚನೆಯನ್ನು ಓದಿ, ನೀವು ಸಂಪಾದಿಸಿದ್ದನ್ನು ನೆನಪಿಟ್ಟುಕೊಂಡಿರುವ ಫೈಲ್ ಅನ್ನಲ್ಲ, ಮತ್ತು ಪೀರ್ ಆಯ್ಕೆ ಇದೆಯೇ ಎಂದು ಖಚಿತಪಡಿಸಿ. ನೀವು ಅದನ್ನು ಬದಲಿಸಿದ್ದರೆ, ಸೇವೆಯು ಡಿಸ್ಕ್‌ನಲ್ಲಿ ಫೈಲ್ ಅನ್ನು ಮತ್ತೆ ಬರೆದಷ್ಟೇ ಅಲ್ಲ, ಮರುಲೋಡ್ ಆಗಿದೆ ಎಂದು ಖಚಿತಪಡಿಸಿಕೊಳ್ಳಿ.

ನಂತರ ನಿಯಮವು ಸಾಮಾನ್ಯವಾಗಿ ಹೊಂದುತ್ತದೆ ಎಂದು ಸಾಬೀತುಪಡಿಸಲು ಕ್ಲೈಂಟ್‌ನಿಂದ ಸರ್ವರ್‌ಗೆ ಹರಿವಿನೊಂದಿಗೆ ಪರೀಕ್ಷೆಯನ್ನು ಪುನರಾವರ್ತಿಸಿ, ಮತ್ತು ತಳ್ಳಲಾದ ಮಾರ್ಗಗಳನ್ನು ಪರಿಶೀಲಿಸಿ, ಏಕೆಂದರೆ ಕಾಣೆಯಾದ ಮಾರ್ಗವು ಕ್ಲೈಂಟ್‌ನ ಕಡೆಯಿಂದ ನಿಖರವಾಗಿ ಫೈರ್‌ವಾಲ್ ತಡೆ ಹಾಗೆ ಕಾಣುತ್ತದೆ. ಯಾವ ಫಾರ್ವರ್ಡಿಂಗ್ ಬಿಂದು ನಿರ್ಧಾರವನ್ನು ಹೊಂದಿದೆ ಎಂದು ತಿಳಿದ ನಂತರವೇ ನಿಯಮಗಳ ಕ್ರಮವನ್ನು ಬದಲಿಸಿ.