VPN വീഴുമ്പോൾ ഒന്നും ചോരാതിരിക്കാൻ Linux-ന്റെ എഗ്രെസ് എങ്ങനെ ലോക്ക് ചെയ്യാം

വീട്ടിലെ കണക്ഷനിലുള്ള ഒരു മീഡിയ ബോക്സ് സങ്കൽപ്പിക്കുക, അത് ഇന്റർനെറ്റിൽ എത്തേണ്ടത് ഒരു ടണലിലൂടെ മാത്രമാണ്. ടണൽ വീഴുമ്പോൾ ആപ്പ് ഫിസിക്കൽ ഇന്റർഫേസിലൂടെ നിശബ്ദമായി തുടരുന്നതിനു പകരം നിൽക്കണം. ഈ പെരുമാറ്റം നേടുന്നത് റൂട്ടിംഗിന്റെയല്ല, ഫയർവാളിന്റെ പ്രശ്നമാണ്, ആ വ്യത്യാസം പ്രധാനമാണ്, കാരണം റൂട്ട് ഡീമൺ റീസ്റ്റാർട്ട് കൊണ്ട് മാറ്റാം, എന്നാൽ ഫിൽട്ടർ നിങ്ങൾ വച്ച ഇടത്തു തന്നെ നിൽക്കും. ഇനി പാക്കറ്റ് പാത യഥാർത്ഥത്തിൽ എങ്ങനെ തീരുമാനിക്കുന്നു, തുടർന്ന് ടണലിനെ വീണ്ടും ബന്ധിപ്പിക്കുന്ന ഒഴിവുകൾ എങ്ങനെ പരിമിതപ്പെടുത്താം എന്ന് നോക്കാം.

ലോക്കൽ ഔട്ട്പുട്ട് ഫോർവേഡിംഗിൽ നിന്ന് വ്യത്യസ്തമായ ഹുക്കാണ്

മെഷീനിലെ ആപ്പിൽ നിന്ന് പുറത്തുപോകുന്ന പാക്കറ്റ് ഔട്ട്പുട്ട് ഹുക്കിലൂടെ കടക്കുന്നു; മെഷീൻ മറ്റൊരു ഹോസ്റ്റിനുവേണ്ടി റൂട്ട് ചെയ്യുന്ന പാക്കറ്റ് ഫോർവേഡിലൂടെ കടക്കുന്നു. forward മാത്രം പറയുന്ന നയം രണ്ടാമത്തേതിനെ പരിമിതപ്പെടുത്തി ആദ്യത്തേത് തുറന്നിടുന്നു, അതുകൊണ്ടാണ് ഒരുപാട് എഗ്രെസ് ലോക്കുകൾ ശരിയായി തോന്നുകയും ഒന്നും ചെയ്യാതിരിക്കുകയും ചെയ്യുന്നത്. ഇന്റർഫേസ് പൊരുത്തവും അതേ നിയമത്തിൽ വരും: oifname "tun0" accept ഇതിനകം ടണലിലൂടെ റൂട്ട് ചെയ്ത ട്രാഫിക് കടത്തിവിടുന്നു. റൂട്ടിംഗും ഫിൽട്ടറിംഗും വെവ്വേറെ തീരുമാനങ്ങളായി തുടരുന്നു, അതിനാൽ ഫിൽട്ടർ പാക്കറ്റ് നിരസിക്കുമ്പോഴും അപ്ലിങ്ക് റൂട്ട് നിലനിൽക്കാം. ഈ വേർതിരിവിലാണ് നിങ്ങൾ ആശ്രയിക്കുന്നത്.

മറ്റ് ഉപകരണങ്ങൾക്കുവേണ്ടി ഫോർവേഡ് ചെയ്യുന്ന ഗേറ്റ്വേയ്ക്ക് രണ്ട് ഹുക്കുകളും വേണം. ഔട്ട്പുട്ട് മാത്രം ലോക്ക് ചെയ്താൽ മെഷീൻ തന്നെ സംരക്ഷിക്കപ്പെടും, താഴെയുള്ള ഓരോ ക്ലയന്റിനും ചോരാൻ സ്വാതന്ത്ര്യം ലഭിക്കും.

എൻഡ്പോയിന്റിൽ നിന്ന് പുറത്തേക്ക് ഒഴിവുകളുടെ പട്ടിക എഴുതുക

ടണലിന്റെ എൻഡ്പോയിന്റിൽ നിന്ന് തുടങ്ങുക: ഒരു ലക്ഷ്യ വിലാസം അല്ലെങ്കിൽ ചെറിയ അംഗീകൃത കൂട്ടം, ട്രാൻസ്പോർട്ട് പ്രോട്ടോക്കോൾ, ലക്ഷ്യ പോർട്ട്, ഉദാഹരണത്തിന് udp dport 1194 ip daddr 203.0.113.7 accept. ക്ലയന്റ് ഹോസ്റ്റ്നെയിം റിസോൾവ് ചെയ്യുന്നുവെങ്കിൽ, പ്രാരംഭ DNS കൈമാറ്റത്തിന് റിസോൾവറിലും പോർട്ട് 53-ലും ഒതുങ്ങുന്ന സ്വന്തം നിയമം വേണം, ആ റിസോൾവറിന്റെ വിലാസത്തിന് പൊതുവായ അനുമതിയല്ല. ഓരോ ഒഴിവും അത് നിലനിൽക്കുന്ന കാരണം പറയണം. VPN പോർട്ടിലേക്കുള്ള എല്ലാ UDP ട്രാഫിക്കിനും അനുമതി നൽകുന്നത് നിങ്ങൾ ഉദ്ദേശിച്ച ഒരു പ്രാമാണീകരിച്ച സേവനത്തെക്കാൾ വളരെ കൂടുതൽ ഉൾക്കൊള്ളുന്നു.

പ്രാരംഭ റിസോൾവിംഗ് ആണ് ലോക്കുകൾ സാധാരണ ചീയുന്ന ഇടം. ടൈമറിൽ പുതുക്കുന്ന വിലാസ കൂട്ടത്തിന് പുതുക്കൽ പരാജയപ്പെടുമ്പോൾ നിർവചിച്ച പെരുമാറ്റം വേണം, ആ പെരുമാറ്റം വിജയിക്കുന്നതുവരെ ലിങ്ക് തുറക്കുന്നതാകരുത്. ടണൽ ഉള്ളപ്പോൾ ടണലിലൂടെ പുതുക്കുക, അല്ലെങ്കിൽ അവസാനം അറിയാവുന്ന ആരോഗ്യകരമായ എൻഡ്പോയിന്റിലേക്ക് മടങ്ങുക.

പ്രാദേശിക അഡ്മിനിസ്ട്രേഷനും അതേ സമീപനം വേണം. മാനേജ്മെന്റ് സബ്നെറ്റ് അതിന്റെ വിലാസങ്ങൾ സ്വകാര്യമായതുകൊണ്ട് മാത്രം വിശ്വസനീയമല്ല, അതിൽ വിശ്വസിക്കുന്ന നിയമം ലോക്കിനു ചുറ്റും രണ്ടാം വഴി ക്ഷണിക്കുന്നു.

ഇന്റർഫേസ് പൊരുത്തം ആരോഗ്യകരമായ ടണലിന്റെ തെളിവല്ല

tun0-ൽ നിന്ന് പുറത്തുപോകുന്ന എല്ലാം സ്വീകരിക്കുന്ന നിയമങ്ങൾ ആ ഇന്റർഫേസിലെ പാക്കറ്റ് ടണലിൽ നിന്ന് വന്നതാണെന്ന് കരുതുന്നു. ഇന്റർഫേസ് പേരുകൾ വീണ്ടും സൃഷ്ടിക്കപ്പെടുന്നു, പേര് ക്രിപ്റ്റോഗ്രാഫിക് ഐഡന്റിറ്റിയല്ല. ഇന്റർഫേസ് ഉയർന്നിരിക്കുമ്പോൾ തന്നെ പിയർ പോയിരിക്കാം, അത് നിയമത്തെ വളരെ വിശ്വസനീയമായ നിഷ്ക്രിയതയാക്കി മാറ്റുന്നു.

കണക്ഷൻ ട്രാക്കിംഗ് ബന്ധപ്പെട്ട ഒരു കെണി ചേർക്കുന്നു. സ്ഥാപിത കണക്ഷനുകൾക്കുള്ള വിശാല നിയമം ഒരു ഫ്ലോ നേരത്തെ നേടിയ അനുമതി വീണ്ടും പ്രവർത്തിപ്പിക്കുന്നു, അതിനാൽ ടണൽ വീഴുന്നതിന് മുമ്പ് തുടങ്ങിയ സെഷൻ പിന്നീടും തുടരുന്നു. സ്റ്റേറ്റ് അടിസ്ഥാനമാക്കിയ സ്വീകരണം നിങ്ങൾ യഥാർത്ഥത്തിൽ ഉദ്ദേശിക്കുന്ന ഇന്റർഫേസുകളിലും വിലാസങ്ങളിലും മാത്രം പരിമിതപ്പെടുത്തുക, അല്ലെങ്കിൽ സ്വയം തുറക്കുന്ന ഒരു ലോക്കാണ് നിർമ്മിച്ചത്. ഇൻപുട്ട്, ഔട്ട്പുട്ട് നിയമങ്ങളും വ്യത്യസ്ത ചോദ്യങ്ങൾക്ക് ഉത്തരം നൽകുന്നു, ഒന്ന് കടുപ്പമാക്കി മറ്റൊന്ന് അവഗണിച്ചാൽ നിങ്ങൾ പരിഗണിക്കാത്ത ദിശയിൽ മെഷീൻ എത്താവുന്നതായി തുടരും.

ഡീമൺ ക്രാഷിനെ അതിജീവിക്കുന്നത്

ടണൽ ഉയർന്നതിന് ശേഷം പ്രവർത്തിക്കുന്ന സ്ക്രിപ്റ്റ് ഇൻസ്റ്റാൾ ചെയ്യുന്ന ഫിൽട്ടർ ടണലിനൊപ്പം അപ്രത്യക്ഷമാകുന്നു, അത് ആവശ്യമായിരുന്ന കൃത്യമായ നിമിഷത്തിൽ തന്നെ. ലോക്ക് ബൂട്ടിൽ ലോഡ് ചെയ്യുക, ഡീമണിനെ അതിന്റെ ഒഴിവുകൾ മാത്രം കൈകാര്യം ചെയ്യാൻ അനുവദിക്കുക.

ഡിഫോൾട്ട് റൂട്ട് ഇല്ലാതാക്കുന്നതും പകരമല്ല. റൂട്ട് ഡീമൺ സ്വന്തമാക്കി മാറ്റിയെഴുതുന്ന അവസ്ഥയാണ്, അത് നീക്കുന്നത് വീണ്ടും കണക്ട് ചെയ്യാൻ വേണ്ട വഴി എടുത്തുകളയാം. IPv6-ന് സ്വന്തം പ്ലാൻ വേണം, കാരണം അയൽവാസി കണ്ടെത്തലും റൂട്ടർ പ്രഖ്യാപനങ്ങളും സാധാരണ ട്രാഫിക് തടയുമ്പോഴും പ്രവർത്തിക്കേണ്ട ലിങ്ക് സേവനങ്ങളാണ്. DHCP ഉം അതേ വിഭാഗത്തിൽ വരും. ഇവ പിന്നീട് തടസ്സങ്ങളായി കണ്ടെത്തുന്നതിനു പകരം ഉദ്ദേശ്യമുള്ള ഒഴിവുകളായി എഴുതിവയ്ക്കുക.

വിന്യാസത്തിന് മുമ്പുള്ള വീണ്ടെടുപ്പ് പാത

ലോക്ക് പരാജയപ്പെടുന്ന രീതിയിൽ തന്നെ പരീക്ഷിക്കുക: ടണലില്ലാതെ ബൂട്ട്, ഡീമൺ കൊല്ലുക, എൻഡ്പോയിന്റ് മാറ്റുക, വീണ്ടും കണക്ട് ചെയ്യുക. ഓരോ സാഹചര്യത്തിലും ആപ്പുകൾ നിൽക്കണം, വീണ്ടെടുപ്പ് ചാനൽ പ്രവർത്തിക്കണം. ഇത് കൺസോളിൽ നിന്ന് ചെയ്യുക, കാരണം റിമോട്ട് ഷെൽ ആണ് നിങ്ങളുടെ സ്വന്തം നിയമം കൊണ്ട് ഏറ്റവും സാധ്യതയുള്ള ലോക്കൗട്ട്.

തുടർന്ന് ഒരു സാധാരണ ആപ്പിന് ഇപ്പോഴും എത്താൻ കഴിയുന്നത് പരിശോധിക്കുക, നിരുപദ്രവകരമായ ലക്ഷ്യവും പരിശോധിക്കാവുന്ന അഭ്യർത്ഥനയും ഉപയോഗിച്ച്. നിങ്ങൾ ആഗ്രഹിക്കുന്ന ഫലം അപ്ലിങ്കിൽ നിരസിക്കലും ടണലിലൂടെ വിജയവുമാണ്, രണ്ടിനെയും അർത്ഥമാക്കാവുന്ന അവ്യക്തമായ ടൈംഔട്ടല്ല. നിയമക്കൂട്ടം ഷെൽ സ്ക്രിപ്റ്റിൽ നിന്ന് മുഴുവൻ ടേബിളും മാറ്റുന്നതിനു പകരം ഫയർവാളിന്റെ ബാക്കി ഭാഗത്തിന്റെ അതേ ഉടമസ്ഥതയിൽ നിർത്തുക. ഓരോ അനുമതിക്കും സ്വയം ന്യായീകരിക്കാനാകുന്ന നയം, ആർക്കും വിശദീകരിക്കാനാകാത്ത നീണ്ട നിയമക്കൂട്ടത്തെക്കാൾ മൂല്യമുള്ളതാണ്.