Linux түгээлтийн галт хана таны VPN урсгалыг хааж болно

Туннель босч, лог холбогдсон гэж хэлэх боловч нэг програмын юунд ч хүрч чадахгүй хэвээр. Linux клиент дээр энэ нь ихэвчлэн түгээлтийн галт хана VPN клиентийн хэзээ ч удирдаж байгаагүй замыг шүүж байгааг илтгэнэ. Хоёр менежер нэгэн зэрэг идэвхтэй байж болох бөгөөд тус бүр интерфейс, бүс, урсгалын чиглэлийн талаар өөрийн ойлголттой. Ямар нэгэн зүйлийг засахын өмнө эзэмшигчийг тодорхойлох нь ямар нэгэн зүйл ажиллах хүртэл дүрэм туршихаас хурдан.

Менежер болон backend-ийг ол

Суулгасан зүйлээс биш, бодитоор ачаалагдсан зүйлээс эхэл. Түгээлт firewalld, ufw болон энгийн nftables үйлчилгээг нийлүүлж болох бөгөөд тэдгээрийн зөвхөн нэг нь ажиллаж буй дүрмийн багцыг эзэмшинэ. Багцууд тайван зэрэгцэн оршиж, буруу фронтендоор оруулсан дүрэм цөмд хэзээ ч хүрэхгүй. Идэвхтэй үйлчилгээг уншиж, дараа нь түүний үүсгэсэн дүрмийн багцыг унш.

Backend нь фронтендтэй адил чухал. firewalld суулгалт хувилбар, тохиргооноос хамааран nftables эсвэл хуучин iptables backend-ийг жолоодож чадах бөгөөд хоёулаа өөр шалгалтын гаралт өгдөг. Системээ аль ч гарын авлагатай харьцуулахын өмнө түгээлт, хувилбар, backend-ийг тасалбарт бич.

Чиглэл ба интерфейсийг тааруул

Гарах клиентийн хүсэлт, орох сонсогч, дамжуулагдсан пакет өөр өөр дэгээгээр дамждаг бөгөөд нэгэнд зориулсан дүрэм бусдыг хамардаггүй. Орон нутгийн LAN-д зөвшөөрөл өгдөг бүс нь ихэвчлэн туннелийн интерфейс эсвэл VPN хаягийн санг агуулдаггүй. Туннелийн интерфейс ихэвчлэн анхдагч бүсэд буудаг бөгөөд энэ нь ихэвчлэн физик адаптерын бүсээс илүү хатуу байдаг. Энэ зөрүү нь LAN дээр хөтлөх нь яагаад ажиллаж, туннель босох тэр мөчид зогсдог болохыг тайлбарлана.

Дүрэм сонгохын өмнө аль чиглэл бүтэлгүйтсэнийг асуу. Гадагш холбогдож чадахгүй програмын гарцын зам хэрэгтэй, харин орох үйлчилгээнд туннелийн интерфейс дээрх орцын зам хэрэгтэй. Буруу гинжид дүрэм нэмэх нь хэрэгжсэн мэт харагдах боловч юу ч хийдэггүй өөрчлөлт үүсгэдэг.

Дүрмийн эзэд санал нэгтэй байлга

VPN клиентийн дэгээ, контейнер ажиллуулах орчин, түгээлтийн үйлчилгээ бүгд сүлжээг өөрчилж чадна, мөн тэд хоорондоо зохицуулалт хийдэггүй. Гараар оруулсан дүрмүүд дараагийн ачаалалтад алга болдог бөгөөд менежерийн гинжид оруулсан дүрмүүд таны хүсээгүй дарааллаар үнэлэгдэж болно. Менежерийн байнгын тохиргоог ашиглаж, бичсэн файлынхаа оронд үүссэн дүрмийн багцыг шалга. Бүх галт ханыг нэг үйлчилгээ хүрэхгүйн улмаас унтраах нь жижиг асуудлыг том асуудлаар солино.

Нарийн тоолуурууд татгалзсан урсгалыг олох хямд арга. Нэг очих газар, нэг портод хязгаарлагдсан логийн дүрэм нь хасалт орон нутагт болж байгаа эсэхийг өөр хэн нэгний урсгалыг барихгүйгээр харуулна. Мөрдөн байцаалт дуусахад логийн дүрмийг хас, учир нь энэ нь бодлого биш, оношлогоо бөгөөд firewalld-ийн бүсийн баримт бичиг интерфейс, үйлчилгээнүүд хэрхэн нэгддэгийг тайлбарлана.

Түгжээг алдалгүйгээр засварыг шалга

Хэрэгжсэн төлөвийг түүнийг эзэмшиж буй менежертэй шалгаж, тэмдэглэсэн backend-т тохирох командуудыг ашигла. Доорх жагсаалт firewalld хариуцлагатай гэж үзнэ; бүгдийг ажиллуулахын оронд nftables эсвэл ufw-ийн дүйцэх хувилбарыг тавь. Нэг сесс дотор хэрэгслүүдийг холих нь машин хоёр зөрчилтэй дүрмийн багцтай болох зам юм.

sudo firewall-cmd --get-active-zones
sudo firewall-cmd --zone=trusted --list-all
sudo nft list ruleset | head -40

Эхний команд бүсүүд болон тэдэнд олгосон интерфейсүүдийг нэрлэдэг бөгөөд энэ нь туннель үнэхээр хаана буусныг харуулна. Хоёр дахь нь бүсийн дүрэм, үйлчилгээг хэвлэдэг тул VPN интерфейс огт хамрагдсан эсэхийг харж болно. nftables жагсаалт нь ашиглагдаж буй backend-ийн үндсэн үнэн бөгөөд зөвхөн тохиргооны файлд байдаг дүрэм тэнд харагдахгүй. Гурван гаралтыг нэмсэн дүрэмтэйгээ харьцуул, зөрүү нь ихэвчлэн өөрөө нэрээ хэлдэг.

Дараа нь анхны хүсэлт болон шаардлагатай бүтэлгүйтлийн зан төлөвийг давт. Ижил өөрчлөлт клиентийн түгжээг авсан бол шинээр ажиллаж эхэлсэн сайт хангалтгүй тул хамгаалалтгүй замыг ч туршиж үз. Менежер, backend, интерфейс болон дүрмийн зорилгыг тэмдэглэ, учир нь хоёр дахь менежерийг сэрээх багцын шинэчлэл эс бөгөөс бүх замбараагүй байдлыг дахин бүтээнэ.