Għaliex nftables ma jarax it-traffiku ta' OpenVPN bejn il-klijenti

Żewġ klijenti fuq server wieħed jibdlu l-fajls, it-trasferiment jirnexxi, u kull regola tal-ġbir li ddawwar lejn it-tunnel tirrapporta żero pakketti. Ir-regoli mhumiex imkissra u l-katina mhijiex f'post ħażin. Meta l-ġbir bejn il-pari jkun attivat, il-pakkett jitwassal ġewwa l-proċess tas-server u l-munzell tal-ospitu qatt ma jsir ir-router, għalhekk il-ħajt tan-nar tal-qalba m'għandu xejn x'jgħodd. Li tifhem din il-qasma tiddetermina jekk iżżommx is-shortcut jew tibnix mill-ġdid it-triq permezz tal-qalba.

Segwi pakkett wieħed minn ġos-server

F'tunnel irrotat, id-demon jagħti l-pakkett deċifrat ta' kull klijent lill-apparat tat-tunnel. Minn hemm l-ospitu jirrotah, il-ganċ tal-ġbir jaħdem, u regola li taqbel mal-apparat tat-tunnel tista' tgħodd jew tarmi t-traffiku. Din hija t-triq li jassumu ħafna mill-eżempji tal-ħajt tan-nar.

Is-shortcut ineħħi l-ospitu min-nofs. Il-pakkett deċifrat ta' sessjoni waħda jingħata lil sessjoni oħra ġewwa d-demon, u l-pakkett ta' ġewwa qatt ma jinħareġ fuq l-apparat tat-tunnel u lanqas ma jiġi rrotat mill-ospitu. It-traffiku inkapsulat xorta jaqsam l-interfaċċa fiżika, għalhekk qabda ta' barra tidher okkupata waqt li r-regoli ta' ġewwa jibqgħu siekta. Qabda meħuda fuq l-apparat tat-tunnel ma turi xejn, li tħawwad lil kull min jistenna li jara t-trasferiment hemmhekk. Dik l-asimetrija hija l-aktar mod mgħaġġel biex tagħraf is-shortcut minn barra d-demon.

It-test tal-kontatur li jiddeċiedi liema triq għaddiet

Qabbad kontatur mar-regola li għandha tapplika, ħaddem trasferiment bejn żewġ klijenti li din ir-regola għandha timblokka, u mbagħad aqra l-kontatur.

sudo nft list ruleset
sudo nft add rule inet filter forward iifname "tun0" oifname "tun0" counter accept
sudo nft list chain inet filter forward

Jekk it-trasferiment jirnexxi u l-kontatur jibqa' fuq iż-żero, il-qalba qatt ma trattat dawk il-pakketti, u l-ebda editjar ta' regoli ma jbiddel dan. Errepeti l-istess test kontra servizz fuq is-server stess, għax dak il-fluss tassew jaqsam il-munzell tal-ospitu u l-kontatur tiegħu jiċċaqlaq. It-tqabbil taż-żewġ riżultati huwa dak li jagħti t-tweġiba.

Żewġ dettalji jipprevjenu qari falz. Isem tal-interfaċċa miktub f'tikketta tal-katina ma jiffiltra xejn waħdu, għax it-tqabbil isir fuq l-oqsma tal-interfaċċa ġewwa r-regoli. U disinn b'pont ta' saff 2 iġib ruħu mod ieħor: hemmhekk il-klijenti jaqsmu dominju tax-xandir wieħed, għalhekk l-iskoperta tal-pari hija mistennija u mhix difett fl-irrotar.

Swiċċ mhuwiex lista ta' aċċess

Dan huwa l-parti li tieħu nofs jum. Il-ġbir bejn il-pari huwa setting wieħed mixgħul jew mitfi, u sakemm ikun mixgħul id-demon huwa l-uniku punt tal-ġbir. Il-ħajt tan-nar tal-ospitu ma jistax jesprimi min jista' jasal għand min, u l-fajls għal kull klijent ma jbiddlux is-swiċċ f'matriċi tal-politika.

Jekk għandek bżonn regoli għal kull pari, l-għażla hija bejn li tħalli s-shortcut u li tħalli l-ħajt tan-nar tal-ospitu bħala l-kontroll. Li titfih jerġa' jġib il-ġbir tal-qalba, li jeħtieġ ġbir tal-IP fuq is-server u regoli espliċiti għall-flussi li trid. Li żżommu mixgħul ifisser li l-politika tgħix fil-konfigurazzjoni tad-demon, li fil-prattika hija l-pari kollha jew ebda pari.

Proċessi tas-server separati bil-baċini tal-indirizzi u l-portijiet tagħhom huma l-mezz triq li jaħdem. Kull proċess iġorr deċiżjoni waħda ta' aċċess biss, għalhekk żewġ gruppi jistgħu jkollhom regoli differenti mingħajr matriċi tal-politika. L-ospitu jista' jirrota bejn il-baċini meta dan ikun maħsub, u mbagħad il-ħajt tan-nar jara dawk il-flussi għax jaqsmu l-ospitu. L-ispiża hija portijiet żejda, ċertifikati żejda u profil għal kull grupp.

L-għażla tal-punt tal-ġbir

Agħżel il-ġbir tal-qalba meta l-ħajt tan-nar huwa l-magna tal-politika, meta għandek bżonn reġistrazzjoni għal kull fluss, jew meta l-kontabilità hija importanti. L-ispiża hija l-fluss mill-munzell tal-ospitu u aktar regoli x'tmantni. Il-benefiċċju huwa li kull għodda eżistenti, mill-kontaturi sal-esportaturi tal-flussi, terġa' tiddeskrivi t-traffiku. Fuq server żgħir din l-ispiża ma tidhirx; fuq relay okkupat ma tidhirx hekk.

Agħżel il-ġbir fil-proċess meta t-traffiku bejn il-pari huwa kollu permess jew kollu miċħud u s-server huwa mkejjel għal dan. L-ispiża hija li l-kontaturi, id-dixxiplini tal-kju u t-traċċar tal-konnessjonijiet ma jibqgħux jiddeskrivu l-flussi ta' ġewwa; dan huwa aċċettabbli biss jekk aktar tard ħadd ma jiddependi fuqhom.

X'għażilt, iktebha ħdejn ir-regoli tal-ħajt tan-nar. Sett ta' regoli li jidher li jippermetti traffiku bejn il-pari waqt li d-demon xorta jiddeċiedi jqarraq bil-persuna li jmiss li tissewwi trasferiment fallut. Kull min jaqra biss ir-regoli jassumi li l-qalba hija l-bieb.

X'għandek tivverifika qabel tbiddel ir-regoli

Aqra l-konfigurazzjoni li s-server tassew għabba, mhux il-fajl li tiftakar li editjajt, u kkonferma jekk l-għażla tal-pari hijiex preżenti. Jekk biddiltha, kun żgur li s-servizz reġa' għabba u mhux biss kiteb mill-ġdid fajl fuq id-diska.

Imbagħad errepeti t-test bi fluss mill-klijent għas-server biex tipprova li r-regola taqbel xorta, u iċċekkja r-rotot imbuttati, għax rotta nieqsa tidher eżattament bħal blokk tal-ħajt tan-nar mill-ġenb tal-klijent. Ibdel l-ordni tar-regoli biss wara li tkun taf liema punt tal-ġbir għandu d-deċiżjoni.