Яагаад nftables OpenVPN-ийн клиентүүдийн хоорондын урсгалыг харж чадахгүй вэ
Тэнцүү хосуудын хоорондын урсгал VPN процессын дотор хүргэгддэг тул дамжуулалтын тоолуурууд хэзээ ч хөдөлдөггүй. Үүнийг тоолохын тулд цөмийн зам ба процессын замын хооронд сонголт хийх шаардлагатай.
Нэг сервер дээрх хоёр клиент файл солилцож, дамжуулалт амжилттай болдог бөгөөд туннель рүү чиглүүлсэн дамжуулалтын дүрэм бүр тэг пакет гэж мэдээлдэг. Дүрмүүд эвдээгүй бөгөөд гинжин хэлхээ буруу газарт байхгүй. Тэнцүү хосуудын хоорондын дамжуулалт идэвхтэй үед пакет серверийн процессын дотор хүргэгдэж, хост стек хэзээ ч маршрутлагч болохгүй тул цөмийн галт ханан дээр тоолох зүйл үлдэхгүй. Энэ хуваагдлыг ойлгох нь товч замыг хадгалах эсвэл замыг цөмөөр дахин барих эсэхийг шийднэ.
Серверээр нэг пакетыг дагаарай
Маршрутлагдсан туннельд демон клиент бүрийн тайлагдсан пакетыг туннелийн төхөөрөмжид өгдөг. Тэндээс хост түүнийг маршрутлаж, дамжуулалтын дэгээ ажиллаж, туннелийн төхөөрөмжтэй тохирох дүрэм урсгалыг тоолж эсвэл хаяж чадна. Энэ бол ихэнх галт ханын жишээнүүдийн таамагладаг зам.
| Forwarding path | Who decides | What the host firewall sees |
|---|---|---|
| Kernel routing between clients | Host routing table and forward rules | Every inner packet, with interface names |
| Peer forwarding inside the server process | The VPN daemon's own peer table | Only the outer encrypted transport |
Товч зам хост-ыг дундаас нь гаргадаг. Нэг сессийн тайлагдсан пакетыг демоны дотор өөр сессэд өгдөг бөгөөд дотоод пакет хэзээ ч туннелийн төхөөрөмж дээр гарахгүй, хост түүнийг маршрутлахгүй. Инкапсуллагдсан урсгал физик интерфейсийг дамжуулснаар гадаад бичлэг завгүй харагдах боловч дотоод дүрмүүд чимээгүй хэвээр байна. Туннелийн төхөөрөмж дээр авсан бичлэг огт юу ч харуулахгүй нь тэнд дамжуулалтыг харахыг хүлээж буй хүн бүрийг гайхшруулдаг. Энэ тэгш бус байдал нь демоноос гадна товч замыг таних хамгийн хурдан арга юм.
Аль зам явсныг шийдэх тоолуурын сорилго
Хэрэглэгдэх ёстой дүрэмд тоолуур хавсаргаж, тухайн дүрэм хаах ёстой хоёр клиентийн хооронд дамжуулалт явуулж, дараа нь тоолуурыг уншина уу.
sudo nft list ruleset
sudo nft add rule inet filter forward iifname "tun0" oifname "tun0" counter accept
sudo nft list chain inet filter forwardХэрэв дамжуулалт амжилттай болж, тоолуур тэг дээр үлдвэл цөм тэдгээр пакетыг хэзээ ч боловсруулаагүй бөгөөд дүрмийг хэчнээн зассан ч өөрчлөгдөхгүй. Мөн сорилгыг сервер дээрх үйлчилгээний эсрэг давтана уу, учир нь тэр урсгал хост стекийг үнэхээр дамждаг бөгөөд тоолуур нь хөдөлдөг. Хоёр үр дүнг харьцуулах нь л хариултыг өгнө.
Хоёр дэлгэрэнгүй зүйл буруу уншихаас сэргийлнэ. Гинжин шошгонд бичсэн интерфейсийн нэр өөрөө юу ч шүүхгүй, учир нь тохирол нь дүрмүүдийн доторх интерфейсийн талбарууд дээр болдог. Харин гүүрээр хийсэн 2-р түвшний бүтэц өөрөөр ажилладаг: тэнд клиентүүд нэг нэвтрүүлгийн домэйн хуваалцдаг тул тэнцүү хосуудыг олдох нь хүлээгдэж байгаа зүйл, маршрутлалтын алдаа биш.
Коммутатор бол хандалтын жагсаалт биш
Энэ бол хагас өдөр зарцуулдаг хэсэг. Тэнцүү хосуудын хоорондын дамжуулалт нь асаах эсвэл унтраах ганц тохиргоо бөгөөд асаалттай үед демон цорын ганц дамжуулалтын цэг болно. Хост-ын галт хана хэн хэнд хүрч болохыг илэрхийлж чадахгүй, клиент тус бүрийн файлууд коммутаторыг бодлогын матриц болгохгүй.
Хэрэв танд тэнцүү хос бүрт дүрэм хэрэгтэй бол сонголт нь товч замаас татгалзах ба хяналтын хэрэгсэл болох хост-ын галт ханаас татгалзах хоёрын хооронд. Үүнийг унтраахад цөмийн дамжуулалт сэргэх бөгөөд сервер дээр IP дамжуулалтыг асаах, хүссэн урсгалуудад тодорхой дүрэм шаардагдана. Асаалттай үлдээх нь бодлого демоны тохиргоонд амьдарна гэсэн үг бөгөөд энэ нь практик дээр бүх хосууд эсвэл нэг ч хос биш гэсэн үг.
Өөрийн хаягийн сан, порттой тусдаа серверийн процессууд нь ажиллах боломжтой дунд зам юм. Процесс бүр яг нэг хандалтын шийдвэр агуулдаг тул хоёр бүлэг бодлогын матрицгүйгээр өөр дүрэмтэй байж чадна. Хост сангуудын хооронд маршрутлаж болох бөгөөд тэгвэл галт хана тэдгээр урсгалыг харна, учир нь тэд хост-ыг дамждаг. Үнэ нь нэмэлт порт, нэмэлт гэрчилгээ, бүлэг бүрт нэг профайл.
Дамжуулалтын цэгийг сонгох
Галт хана бодлогын хөдөлгүүр болсон үед, урсгал бүрээр бүртгэл хэрэгтэй үед, эсвэл нягтлан бодох бүртгэл чухал үед цөмийн дамжуулалтыг сонгоно уу. Үнэ нь хост стекийг дамжуулах хүчин чадал ба засвар үйлчилгээний илүү олон дүрэм. Ашиг нь тоолуураас урсгал экспортлогч хүртэлх бүх одоо байгаа хэрэгсэл урсгалыг дахин дүрсэлдэг. Жижиг сервер дээр энэ үнэ үл үзэгдэх боловч ачаалалтай релей дээр тийм биш.
Тэнцүү хосуудын хоорондын урсгал бүхэлдээ зөвшөөрөгдсөн эсвэл бүхэлдээ хориглосон, сервер нь түүнд хэмжигдсэн бол процессын доторх дамжуулалтыг сонгоно уу. Үнэ нь тоолуур, дарааллын сахилга бат, холболтын хяналт дотоод урсгалыг дүрслэхээ болих бөгөөд дараа нь хэн ч тэдгээрт найдахгүй тохиолдолд л хүлээн зөвшөөрөхүйц.
Аль нэгийг сонгосон ч галт ханын дүрмийн хажууд бичиж үлдээгээрэй. Тэнцүү хосуудын хоорондын урсгалыг зөвшөөрч байгаа мэт харагдах боловч демон бүгдийг л шийддэг дүрмийн багц нь бүтэлгүйтсэн дамжуулалтыг засч буй дараагийн хүнийг төөрөгдүүлдэг. Зөвхөн дүрмийг уншсан хэн ч цөмийг хаалга гэж бодно.
Дүрмийг өөрчлөхийн өмнө юу шалгах вэ
Серверийн үнэхээр ачаалсан тохиргоог уншина уу, таны зассан гэж санаж байгаа файлыг биш, тэнцүү хосуудын сонголт байгаа эсэхийг баталгаажуулна уу. Хэрэв та үүнийг өөрчилсөн бол үйлчилгээ диск дээрх файлыг дахин бичсэн төдийгүй дахин ачаалсан эсэхийг шалгаарай.
Дараа нь дүрэм ер нь тохирч байгааг батлахын тулд клиентээс сервер рүү урсгалтай сорилгыг давтаж, илгээсэн маршрутуудыг шалгаарай, учир нь дутуу маршрут нь клиентийн талаас яг галт ханын хаалт мэт харагддаг. Дүрмийн дарааллыг аль дамжуулалтын цэг шийдвэрийг эзэмшиж байгааг мэдсэний дараа л өөрчил.