Эмне үчүн үй NAT'ы VPN интерфейсиңизди коргобойт
Үй роутери туннелди өткөрөт, бирок хост шифры чечилген пакетти баалайт. Угуучуну, ички жолду жана кирүү саясатын өзүнчө окуңуз.
Үй роутеринин артында портторду багыттоосуз турган ноутбуктар VPN аркылуу келген SSH байланыштарын дагы эле кабыл алышат. Бул карама-каршылык эмес, анткени эки башка түзмөк эки башка пакетти баалайт. Роутер шифрленген транспортту өткөрөт, ал эми хост өзүнүн туннель интерфейсине жеткен шифры чечилген пакет менен эмне кылууну чечет. Ушул эки чечимди өзүнчө кармоо — бүткүл көнүгүү.
Роутер туннелди өткөрөт, хост пакетти баалайт
Бир дагы эрежени караардан мурун алыскы булактан кызматка чейинки жолду тартыңыз. Сырткы бөлүк — роутер жана шлюз башкарган VPN транспорту. Ички бөлүк четки чекит туннель катмарын алып салганда жана хост өз VPN дарегине багытталган пакетти алганда башталат.
Ушул эки бөлүктү бириктирсеңиз, роутер хост кабыл алган чечим үчүн кредит алат. Портторду багыттоо баракчасы же роутер журналы тышкы сүйлөшүүлөрдү гана сүрөттөйт жана экөө тең хост кайсы шифры чечилген трафикти кабыл аларын айтпайт. Хост ички пакетке өзүнүн кирүү саясатын колдонот, интерфейске келген ар кандай пакетке колдонгон сыяктуу. Таасир маселеси дал ушул саясатта чечилет.
Орун басуучу угуучу — коомдук кызмат эмес
Linux'то INADDR_ANY дарегине байлануу ар бир жергиликтүү даректи билдирет, ошондуктан кызмат эч качан атабаган туннель интерфейсинде жооп бере алат. IP сокетинин шилтемеси ушул байланууну сүрөттөйт жана угуучулар тизмесинен корутунду чыгарардан мурун аны окуган жөн. Орун басуучу жазуу — сокет жөнүндө факт, жеткиликтүүлүк жөнүндө билдирүү эмес.
Төмөнкү эки сап — бир кызматтын эки башка байлануусу, ал эми айырма интерфейс маанилүүбү деген суроонун толук жообу. Эң оболу сокеттин кайсы даректе турганын окуңуз.
ss -lntp "sport = :22"
LISTEN 0 4096 0.0.0.0:22 0.0.0.0:* users:(("sshd",pid=812,fd=3))
LISTEN 0 4096 10.8.0.6:22 0.0.0.0:* users:(("sshd",pid=812,fd=4))Портко жетиши мүмкүн болгон жайгаштырууну атаңыз
Үч жайгаштыруу пакетти ошол интерфейске коёт жана алардын ээлери ар башка. Туурасын атоо ким саясатты өзгөртүшү керектигин чечет.
| Arrangement | What reaches the port | Where the decision lives |
|---|---|---|
| Another permitted VPN peer | A packet from the same tunnel subnet | Gateway forwarding policy and host input rules |
| A deliberate public forward | Traffic the gateway publishes on purpose | Gateway service definition |
| A subnet routed behind the gateway | Client traffic from the far side | Gateway route and host input rules |
Коомдук чыгуу дарегин көрсөткөн браузер натыйжасы үчөөнүн эч бири жөнүндө эч нерсе айтпайт, анткени ал чыгуучу трафиктин кантип чыгарын сүрөттөйт, кирүүчү трафикке эмне уруксат берилгенин эмес. Анын ордуна угуучудан жана кызмат журналындагы булак дарегинен артка карай иштеңиз. Эгер булак башка туннель өнөктөшү болсо, шлюз саясаты — кызыктуу документ. Эгер ал которулган дарек болсо, эрежени өзгөртүүдөн мурун котормону табыңыз.
Кызматты ойлогон жолуңуз менен чектеңиз
Эгер SSH башкаруу жолунан гана керек болсо, ошол жолду булак диапазону жана интерфейс катары жазыңыз. Андан кийин хосттун кирүү эрежелерин тармак аты боюнча эмес, интерфейс, багыт жана булак боюнча чектеңиз, анткени жеке көрүнгөн ат каалаган даректи билдириши мүмкүн. Кийинки маселени чече турган адамга маршрут калтырыңыз.
nft add rule inet filter input iifname "tun0" ip saddr 10.8.0.0/24 tcp dport 22 accept
nft list chain inet filter inputТуннель интерфейсин жана башкаруу диапазонун атаган эреже ниетти бир жерде билдирет. Аны Wi-Fi тармагы үчүн жазылган эреже менен салыштырыңыз, ал шифры чечилген туннель трафиги жөнүндө эч нерсе айтпайт. Эки катмар макул болбосо, пакет жолуккан саясат — хосттун саясаты.
Кирүүлөрдү жана патчтарды дал ордунда калтырыңыз; портко жетүү аны колдонууга уруксат алуу менен эч качан бирдей болгон эмес. Каалаган белгисиз булак үчүн дарек тобун жана убакытты жазып алыңыз жана кандайдыр бир өзгөчөлүктү же алсыздыкты күнөөлөөдөн мурун иликтеңиз. Ар бир туннель өнөктөшүн кабыл алган эреже башкаруу ички тармагын кабыл алгандан башка дизайн, жана эч бир журнал сабы кайсынысы ойлонулганын айтпайт.
Оңдоону бир ийгилик жана бир баш тартуу менен кабыл алыңыз
Эки жарымын тең далилдеңиз: бир уруксат берилген байланыш ийгиликтүү болот, ал эми бир чыгарылган жол баш тартылат. Баш тартуу — адамдар өткөрүп жиберген жарым, жана эреженин уруксат берүүчү демейки маанинин жанында турбай, иштеп жатканын көрсөткөн да ошол. Бул тууралуу ой жүгүртүүнүн ордуна чыгарылган тараптан сынап көрүңүз.
Жупту кайра туташкандан кийин кайталаңыз, анткени башка интерфейс аты менен кайткан туннель эскиге чектелген эрежени байкатпай айланып өтүшү мүмкүн. Маанилүү чек — хост чындап алган пакеттерге колдонгон чек.