VPN-ээс гадуур зөвхөн нэг локал вэб үйлчилгээг портоор нь чиглүүлэх

Нэг хост үйлчилгээ интернэтэд физик дээш чиглэлийн холбоогоор хариулах ёстой, машины бусад бүх зүйл хонгилыг үргэлжлүүлэн ашиглана. Бодлогод суурилсан чиглүүлэлт энэ ачааг даах эсэхийг гурван нөхцөл шийддэг бөгөөд дүрэм бичихээс өмнө тус бүрийг шалгах нь хямд. Үйлчилгээ нь DNAT эсвэл дамжуулсан портын ард биш, энэ хост дээр дуусах ёстой, VPN-ийн өөрийн дүрмүүд үл хамаарах зүйлийг зөвшөөрөх ёстой, мөн та хүсэлт биш хариуг тааруулах ёстой. Гурвын аль нэг нь бүтэлгүйтвэл доорх командууд алдаагүй ачаалагдах боловч ямар ч ашигтай зүйл хийхгүй.

Дүрэм бичихээс өмнө гурван нөхцөлийг шалгаарай

Портыг DNAT-аар нийтэлж буй контейнер эсвэл порт дамжуулалтын ард сууж буй сервер энэ хост дээр үүсдэггүй пакет үүсгэдэг. Тэдгээр пакет дамжуулагддаг тул хост-локал оролтод тулгуурласан дүрэм тэдгээрийг хэзээ ч хардаггүй бөгөөд урсгал анхдагч маршрутыг үргэлжлүүлэн авдаг. Үргэлжлүүлэхийн өмнө үйлчилгээ үнэхээр хаана ажиллаж байгааг баталгаажуулаарай, учир нь хүмүүс хамгийн их алдаа гаргадаг нөхцөл энэ юм.

Хоёр дахь нөхцөл бол механик биш, бодлого юм. Хонгилыг тойрсон аливаа маршрут нь хонгилын зорилгын үл хамаарах зүйл бөгөөд удирддаг хост дээр энэ шийдвэр бодлогын эзэнд хамаарна, хугацаа дуусалтыг засварлаж буй хүнд биш.

Хариуг тааруулаарай, клиентийн очих портыг биш

TCP 443 дээр сонсож буй серверийн хариу хостноос эх порт 443-тай гардаг. Мөн хост дээрх хөтөч алсын HTTPS сайтад холбогдохдоо түр зуурын эх порт болон очих порт 443 илгээдэг. Хоёулаа 443 портын урсгал бөгөөд зөвхөн нэг нь WAN хүснэгтийг авах ёстой, тиймээс очих портыг тааруулах нь буруу талыг барих байсан.

Хариуны чиглэл бол таны ялгаж чадах зүйл. Эх портыг тааруулж, дүрмийг локалаар үүсгэсэн пакетаар хязгаарла, тэгвэл дүрэм хөтчийн хүсэлтэд хүрэхгүйгээр үйлчилгээний өөрийн хариуг хамарна.

Дүрэм түүн рүү заахаас өмнө бүрэн буцах хүснэгт байгуул

Хоосон хүснэгт гэдэг нь маршрут байхгүй гэсэн үг бөгөөд энэ нь эвдэрсэн бодлогоос илүү эвдэрсэн үйлчилгээ мэт харагддаг. Эхлээд бөглөөрэй, хост дээр өөр юу ч шаарддаггүй хүснэгтийн дугаар, тэргүүлэх чиглэлээр:

ip -4 route add table 100 192.0.2.0/24 dev eth0
ip -4 route add table 100 default via 192.0.2.1 dev eth0
ip -4 rule add priority 1000 iif lo ipproto tcp sport 443 lookup 100

Тоонуудыг хуулахын оронд амьд хостоос уншина уу. ip -4 rule show аль тэргүүлэх чиглэлүүд авагдсаныг хэлнэ, харин аль хэдийн байгаа тэргүүлэх чиглэлд дүрэм нэмэх нь тусдаа зөв харагддаг хоёр дүрмийн дарааллыг чимээгүй өөрчилдөг.

Энд жинхэнэ ажлыг хоёр сонгогч хийдэг. iif lo нь хост өөрөө үүсгэсэн пакетыг цөм хэрхэн мэдээлдэг вэ гэсэн үг, тиймээс дүрэм гаднаас ирж буй дамжуулсан урсгалыг санамсаргүй барих боломжгүй. ipproto tcp sport 443 үүнийг нэг тээвэр, нэг порт болгон нарийсгадаг бөгөөд энэ нь шаардлага зөвшөөрөх хэмжээнд чанга юм. Протоколын сонгогчийг хасвал дүрэм UDP 443-ыг ч барина, энэ нь өөр зан төлөвтэй өөр үйлчилгээ юм.

Хувийн хариуг хонгил дотор байлга

Хэрэв нэг сонсогч хувийн талын клиентүүдэд ч хариулдаг бол 100-р хүснэгт дэх бүгдийг барьдаг WAN анхдагч тэдгээр хариуг дээш чиглэлийн холбоогоор буцааж явуулахыг оролдоно. WAN анхдагчийг дагах ёсгүй хувийн угтваруудыг нэмэх эсвэл дараагийн бодлогын дүрэм рүү унагах:

ip -4 route add table 100 throw 10.90.0.0/24

throw маршрут энэ хүснэгт дэх хайлтыг дуусгаж, пакетыг дүрмийн жагсаалт руу буцаана, ингэснээр дараагийн VPN бодлого өөрийн боломжийг авна. Энэ нь өөрөө хонгил руу юу ч чиглүүлэхгүй бөгөөд дараагийн аль ч дүрэм тохирох маршрутгүй бол пакет бүтэлгүйтсээр байна; throw-г засвар гэж үзэхийн оронд дараагийн бодлогыг шалгаарай.

Урвуу замын шүүлт болон хостны галт ханын дүрмүүд ирж буй хүсэлтэд ажилласаар байна. Баталгаажуулалтыг сулруулахаас өмнө тэдний бодит шийдвэрийг хараарай, учир нь чиглүүлэлтийн үл хамаарах зүйл нь rp_filter-д боломжгүй гэж үзсэн буцах замыг хүлээн зөвшөөрөхөд хүргэхгүй.

TCP, дараа нь QUIC, дараа нь дахин ачааллыг туршаарай

Эрх бүхий гадаад клиентээс нэг, хувийн талаас нэг холболт нээж, дараа нь хариуны хайлтыг бодит хаяг, портоор шалгаарай. Гадаад хариу 100-р хүснэгтийг авч, хувийн хариу авахгүй бол бодлого таны хүссэнийг хийж байна.

HTTP/3 нь UDP-ээр үйлчилгээ үзүүлдэг бөгөөд TCP дүрмээр таарахгүй, тиймээс QUIC сонсогчид өөрийн сонгогч хэрэгтэй, эс бөгөөс HTTPS ажиллаж байх үед ч хонгилыг үргэлжлүүлэн ашиглана. Аль дүрмээр зогсохоо шийдсэнээ интерфейсийг эзэмшдэг компонент дээр хадгалж, дахин холбогдсон эсвэл DHCP шинэчлэгдсэний дараа баталгаажуулаарай. Дахин ачаалсны дараа өрсөлдөгч менежер ажиллах үеийн маршрутыг хасвал энэ нь эх сурвалжид засах ёстой өмчлөлийн асуудал бөгөөд дээрээс өргөн NAT дүрэм нэмэх шалтгаан биш юм.