പുതിയ VPN എക്സിറ്റിൽ പുതിയ കണക്ഷനുകൾ, പഴയ ഫ്ലോകൾ അതേപടി തുടരുന്നു

ആസൂത്രിതമായ ഡ്രെയിൻ വർഗ്ഗീകരിക്കാത്ത ഫ്ലോകൾ മാത്രം നീക്കുന്നു. ഇതിനെ ഒരു റൂട്ട് മാറ്റവുമായി താരതമ്യം ചെയ്ത്, അതിനെ നിലനിർത്തുന്ന മാർക്കുകളും പട്ടികകളും conntrack അവസ്ഥയും കാണുക.

രണ്ട് ആരോഗ്യകരമായ VPN എക്സിറ്റുകൾ, ഇതിനകം പ്രവർത്തിക്കുന്ന ഒരു നീണ്ട അപ്‌ലോഡ്, അടുത്ത കണക്ഷൻ മറ്റേ ടണൽ ഉപയോഗിക്കണം എന്ന ആവശ്യകത. ഇത് നിറവേറ്റാൻ രണ്ട് വഴികളുണ്ട്, അവയിൽ ഒന്ന് മാത്രമാണ് ജീവനുള്ള ഗേറ്റ്‌വേയിൽ സുരക്ഷിതം. ഡിഫോൾട്ട് റൂട്ട് മാറ്റുന്നത് എല്ലാ പാക്കറ്റുകളും നീക്കുന്നു, അപ്‌ലോഡിന് ഉള്ളവയും ഉൾപ്പെടെ. ആസൂത്രിതമായ ഡ്രെയിൻ പുതിയ കണക്ഷനുകൾക്കുള്ള തിരഞ്ഞെടുപ്പ് മാറ്റുകയും ട്രാക്ക് ചെയ്ത ഫ്ലോകളെ അവ ആരംഭിച്ച വഴിയിൽ തന്നെ വിടുകയും ചെയ്യുന്നു.

ഒരു എക്സിറ്റ് മാറ്റാൻ രണ്ട് വഴികൾ

റൂട്ട് മാറ്റം ഒരു കമാൻഡ് മാത്രമാണ്, നിമിഷങ്ങൾക്കുള്ളിൽ തിരികെ മാറ്റാനാകും, അതിനാലാണ് സംഭവങ്ങൾക്കിടയിൽ ഇത് ഉപയോഗിക്കുന്നത്. ഇത് വിവേചനരഹിതവുമാണ്: നിലവിലുള്ള അപ്‌ലോഡിന്റെ പാക്കറ്റുകൾ പെട്ടെന്ന് മറ്റൊരു ടണലിലൂടെ പുറത്തുപോകുന്നു, വ്യത്യസ്ത പൊതു സ്രോതസ്സ് വിലാസവും വേർതിരിച്ച പരിഭാഷാ അവസ്ഥയും സഹിതം.

വിദൂര അറ്റം ഫ്ലോകളെ സ്രോതസ്സ് വിലാസം അനുസരിച്ച് ട്രാക്ക് ചെയ്യുന്നുവെങ്കിൽ, അപ്‌ലോഡ് തിരിച്ചറിയപ്പെടാതെ പോകാം. ഡ്രെയിൻ ഇത് ഒഴിവാക്കുന്നത് ഓരോ കണക്ഷനും ഒരിക്കൽ തീരുമാനമെടുത്ത് അത് സൂക്ഷിച്ചുവെച്ചാണ്, അതിനാൽ പഴയ അപ്‌ലോഡ് പൂർത്തിയാകുന്നതുവരെ അതിന്റെ എക്സിറ്റ് നിലനിർത്തുന്നു. ഇതാണ് ഈ അഭ്യാസത്തിന്റെ മുഴുവൻ മൂല്യം: വിദൂര അറ്റം വ്യാഖ്യാനിക്കേണ്ട യാതൊരു മാറ്റവും കാണുന്നില്ല. ഇതിനകം അറിയാവുന്ന കണക്ഷനുമായി പൊരുത്തപ്പെടുന്ന പാക്കറ്റുകൾ തുടർന്നും സ്വീകരിക്കുന്നു.

വില സങ്കീർണ്ണതയാണ്: രണ്ട് റൗട്ടിംഗ് പട്ടികകൾ, ശരിയായ ഹൂക്കിൽ പ്രവർത്തിക്കുന്ന ഒരു വർഗ്ഗീകരണക്കാരൻ, കൂടാതെ മെഷീനിൽ അവ ഉപയോഗിക്കുന്ന മറ്റെല്ലാമായും ഏകോപിപ്പിക്കേണ്ട മാർക്കുകൾ.

ഓരോ എക്സിറ്റിനും അതിന്റേതായ പട്ടിക നൽകുക

ഓരോ എക്സിറ്റിനും ഒരു റൗട്ടിംഗ് പട്ടികയും രണ്ട് തിരഞ്ഞെടുപ്പുകൾക്ക് വേറിട്ട മാർക്ക് മൂല്യങ്ങളോ ബിറ്റുകളോ നീക്കിവയ്ക്കുക. ഓരോ പട്ടികയ്ക്കും വെറും പേരല്ല, അതിന്റെ പങ്കിന് യോജിച്ച റൂട്ടുകൾ ആവശ്യമാണ്, കൂടാതെ കാണാത്ത സന്ദർഭത്തിന് ബോധപൂർവമായ പരാജയ ഫലവും വേണം. പ്രധാന പട്ടികയിലേക്ക് നിശബ്ദമായി വീഴുന്ന ശൂന്യമായ പട്ടിക — ആരും തിരഞ്ഞെടുക്കാത്ത ഒരു എക്സിറ്റിലൂടെ ട്രാഫിക് പുറത്തുപോകുന്നത് ഇങ്ങനെയാണ്.

ip rule add fwmark 0x10/0x10 table 101
ip rule add fwmark 0x20/0x20 table 102
ip route add default via 192.0.2.1 dev wg-a table 101
ip route add default via 198.51.100.1 dev wg-b table 102

ഓരോ പട്ടികയുടെയും അവസാനത്തിൽ ഒരു blackhole റൂട്ട് ചേർക്കുക, പൊരുത്തം കിട്ടാത്ത തിരയൽ നിങ്ങൾ തിരഞ്ഞെടുക്കാത്ത ഡിഫോൾട്ടിലേക്ക് രക്ഷപ്പെടുന്നതിനുപകരം ഉച്ചത്തിൽ പരാജയപ്പെടാൻ.

ഒരിക്കൽ തിരഞ്ഞെടുക്കുക, ആദ്യ പാക്കറ്റിൽ

കണക്ഷൻ ട്രാക്കിംഗ് ഉണ്ടായതിന് ശേഷവും പ്രധാനപ്പെട്ട റൂട്ട് തിരയലിന് മുമ്പും വർഗ്ഗീകരിക്കുക. പുതിയ, വർഗ്ഗീകരിക്കാത്ത LAN കണക്ഷനുകൾക്ക് എക്സിറ്റ് തിരഞ്ഞെടുത്ത് അത് കണക്ഷൻ അവസ്ഥയിൽ സൂക്ഷിക്കുക. പിന്നീടുള്ള പാക്കറ്റുകളിൽ, നയ റൗട്ടിംഗ് വായിക്കുന്ന പാക്കറ്റ് മാർക്കിലേക്ക് സൂക്ഷിച്ച മൂല്യം പുനഃസ്ഥാപിക്കുക.

സൂക്ഷ്മമായ ഭാഗം പുതിയത് എന്നതിന്റെ അർത്ഥമാണ്. മറുപടി കാണുന്നതിന് മുമ്പ് ആദ്യകാല പാക്കറ്റുകൾക്കും വീണ്ടുമയക്കലുകൾക്കും conntrack ഇപ്പോഴും NEW റിപ്പോർട്ട് ചെയ്തേക്കാം, അതിനാൽ ആ അവസ്ഥയെ മാത്രം ആശ്രയിക്കുന്ന വർഗ്ഗീകരണക്കാരന് ഇതിനകം എടുത്ത തിരഞ്ഞെടുപ്പ് അതിലേക്ക് എഴുതിമായ്ക്കാം. ഒന്ന് അനുവദിക്കുന്നതിന് മുമ്പ് കണക്ഷന് എക്സിറ്റ് ഒന്നും സൂക്ഷിച്ചിട്ടില്ലെന്ന് പരിശോധിക്കുക.

nftables പാക്കറ്റ്, കണക്ഷൻ മാർക്കുകൾ വെവ്വേറെ സൂക്ഷിക്കുന്നു, കൂടാതെ മെറ്റാവിവരണ ഗൈഡ് അവയ്ക്കിടയിലുള്ള വ്യക്തമായ പകർപ്പ് രേഖപ്പെടുത്തുന്നു. കണക്ഷൻ മാർക്ക് നിങ്ങളുടെ നിയമം പൊരുത്തപ്പെടുന്ന പാക്കറ്റ് മാർക്ക് സ്വയമേവ ആകുന്നില്ല, ശ്രദ്ധയോടെ എഴുതിയ വർഗ്ഗീകരണക്കാരന് ഫലമില്ലാതിരിക്കുന്നതിന്റെ ഏറ്റവും സാധാരണ കാരണം ഇതാണ്.

പുനഃസ്ഥാപനം നിങ്ങൾ ഉദ്ദേശിക്കുന്ന ദിശയിലേക്കും ട്രാഫിക്കിലേക്കും പരിമിതപ്പെടുത്തുക. തിരികെ വരുന്ന പാക്കറ്റുകൾക്ക് ഇന്റർനെറ്റ്-എക്സിറ്റ് മാർക്ക് പ്രയോഗിക്കുന്നത് മറുപടികളെ LAN-ലേക്കല്ല, എക്സിറ്റിലേക്ക് അയക്കാം, ലക്ഷണം ഫയർവാൾ പ്രശ്നം പോലെ തോന്നുന്ന ഏകദിശാ കണക്ഷനാണ്. ഫയർവാൾ നിയമം സ്പർശിക്കുന്നതിന് മുമ്പ് മറുപടിയുടെ വഴി വായിക്കുക, കാരണം പാക്കറ്റ് റൗട്ട് ചെയ്യപ്പെടുന്നു, അയച്ചയാളിലേക്ക് തിരികെ പോകുന്നില്ലെന്ന് മാത്രം.

ഡ്രെയിനിന്റെ നാല് ഘട്ടങ്ങൾ

  1. A സ്പർശിക്കാതെ B തയ്യാറാക്കുക: റൗട്ടിംഗ്, ഫോർവേഡിംഗ്, അംഗീകാരം, NAT, മടക്കവഴി. ഗേറ്റ്‌വേയുടെ നിലവിലുള്ള കോൺഫിഗറേഷൻ ഉടമയിലൂടെ അതിന്റെ പട്ടികയും തിരഞ്ഞെടുപ്പ് നയവും ഇൻസ്റ്റാൾ ചെയ്യുക.

  2. വർഗ്ഗീകരണക്കാരൻ മാറ്റുക, പുതിയ, വർഗ്ഗീകരിക്കാത്ത കണക്ഷനുകൾ B തിരഞ്ഞെടുക്കാൻ, സൂക്ഷിച്ച തിരഞ്ഞെടുപ്പുകൾ നിലനിർത്തിക്കൊണ്ട്. അണു nftables ഇടപാട് പഴയ അവസ്ഥ മായ്ക്കേണ്ട ഒരു ജാലകം ഒഴിവാക്കുന്നു.

  3. A-യുടെ ഫ്ലോകൾ തീരുന്നതുവരെ A പ്രവർത്തിപ്പിക്കുക. അതിന്റെ ഇന്റർഫേസ്, പട്ടിക, വിദൂര എക്സിറ്റ്, NAT മാപ്പിംഗുകൾ എന്നിവ ഇപ്പോഴും ആ ഫ്ലോകളുടെ ഭാഗമാണ്, NAT നിയമം തിരുത്തുന്നത് ഇതിനകം നിലവിലുള്ള ബൈൻഡിംഗുകൾ വീണ്ടും നിർമ്മിക്കുന്നില്ല.

  4. ഡ്രെയിൻ വ്യവസ്ഥ പാലിക്കുമ്പോൾ A വിരമിക്കുക, ഒരു ശാന്തമായ ഇടവേളയല്ല, കണക്ഷൻ അവസ്ഥയും അപ്ലിക്കേഷൻ പെരുമാറ്റവും കൊണ്ട് വിലയിരുത്തപ്പെടുന്നു.

ഡ്രെയിൻ വാഗ്ദാനം ചെയ്യാനാകാത്തത്

ബ്രൗസർ അഭ്യർത്ഥന പുതിയ ട്രാൻസ്പോർട്ട് കണക്ഷനല്ല; പൂളിംഗ് പഴയതിലൂടെ അഭ്യർത്ഥനകൾ അയച്ചുകൊണ്ടിരിക്കുന്നു. നേരെമറിച്ച്, ഒരു UDP ഫ്ലോ conntrack-ൽ നിന്ന് പ്രായമാകാം, പിന്നീടുള്ള പാക്കറ്റ് പുതുതായി വർഗ്ഗീകരിക്കപ്പെടുന്നു. ഡ്രെയിൻ ട്രാക്ക് ചെയ്ത ഫ്ലോകളെ പിന്തുടരുന്നു, അപ്ലിക്കേഷന്റെ സെഷൻ ആശയത്തെയല്ല.

A-യുടെ ഫ്ലോകൾ തീരുന്നതിന് മുമ്പ് A പരാജയപ്പെട്ടാൽ, സൂക്ഷിച്ച മാർക്ക് അവയെ രക്ഷിക്കുന്നില്ല. അവ B വഴി വീണ്ടും ബന്ധിപ്പിക്കുന്നു, അല്ലെങ്കിൽ ഒട്ടും ബന്ധിപ്പിക്കുന്നില്ല. ആസൂത്രിതമായ ഡ്രെയിൻ യഥാർത്ഥ വഴി ആരോഗ്യകരമായിരിക്കുമ്പോൾ തുടർച്ച വാങ്ങുന്നു; ഇത് സ്വതന്ത്ര എക്സിറ്റുകൾക്കിടയിലുള്ള അവസ്ഥാ പകർപ്പല്ല.

രണ്ട് പകുതികളും പരിശോധിക്കുക

മാറ്റത്തിന് മുമ്പ് ദീർഘകാല അനുവദിത കണക്ഷനും അതിന് ശേഷം യഥാർത്ഥത്തിൽ പുതിയതും ആരംഭിക്കുക. ഓരോന്നും ഏത് ടണൽ ഉപയോഗിക്കുന്നു, വിദൂര അറ്റം ഏത് പൊതു സ്രോതസ്സ് വിലാസം കാണുന്നു എന്ന് സ്ഥിരീകരിച്ച്, മടങ്ങിവരുന്ന ട്രാഫിക് തിരികെ വരുന്നുണ്ടെന്ന് പരിശോധിക്കുക.

പുതിയ തിരഞ്ഞെടുപ്പ് കാണിക്കാൻ conntrack പട്ടിക ശൂന്യമാക്കരുത്. അത് ഡ്രെയിൻ സംരക്ഷിക്കേണ്ട അവസ്ഥ തന്നെ നശിപ്പിക്കുന്നു, നിയന്ത്രിത കുടിയേറ്റത്തെ വൃത്തിയായി തോന്നുന്ന ഒരു പരീക്ഷയോടെ തടസ്സമാക്കി മാറ്റുന്നു.

അനുബന്ധ ലേഖനങ്ങൾ