ਘਰੇਲੂ NAT ਤੁਹਾਡੇ VPN ਇੰਟਰਫ਼ੇਸ ਦੀ ਰੱਖਿਆ ਕਿਉਂ ਨਹੀਂ ਕਰਦਾ
ਘਰੇਲੂ ਰਾਊਟਰ ਸੁਰੰਗ ਅੱਗੇ ਭੇਜਦਾ ਹੈ, ਪਰ ਮੇਜ਼ਬਾਨ ਡਿਕ੍ਰਿਪਟ ਕੀਤੇ ਪੈਕਟ ਦਾ ਫ਼ੈਸਲਾ ਕਰਦਾ ਹੈ। ਸਰੋਤਾ, ਅੰਦਰਲਾ ਰਾਹ ਅਤੇ ਦਾਖਲਾ ਨੀਤੀ ਵੱਖਰੇ ਪੜ੍ਹੋ।
ਘਰੇਲੂ ਰਾਊਟਰ ਪਿੱਛੇ ਪੋਰਟ ਫਾਰਵਰਡਿੰਗ ਤੋਂ ਬਿਨਾਂ ਲੈਪਟਾਪ ਅਜੇ ਵੀ VPN ਰਾਹੀਂ ਆਉਣ ਵਾਲੇ SSH ਕਨੈਕਸ਼ਨ ਸਵੀਕਾਰ ਕਰਦੇ ਹਨ। ਇਹ ਵਿਰੋਧਾਭਾਸ ਨਹੀਂ, ਕਿਉਂਕਿ ਦੋ ਵੱਖਰੇ ਡਿਵਾਈਸ ਦੋ ਵੱਖਰੇ ਪੈਕਟਾਂ ਦਾ ਫ਼ੈਸਲਾ ਕਰਦੇ ਹਨ। ਰਾਊਟਰ ਇਨਕ੍ਰਿਪਟਡ ਟ੍ਰਾਂਸਪੋਰਟ ਅੱਗੇ ਭੇਜਦਾ ਹੈ, ਅਤੇ ਮੇਜ਼ਬਾਨ ਤੈਅ ਕਰਦਾ ਹੈ ਕਿ ਉਸ ਦੇ ਸੁਰੰਗ ਇੰਟਰਫ਼ੇਸ ਤੱਕ ਪਹੁੰਚਣ ਵਾਲੇ ਡਿਕ੍ਰਿਪਟ ਪੈਕਟ ਦਾ ਕੀ ਕਰਨਾ ਹੈ। ਇਹਨਾਂ ਦੋ ਫ਼ੈਸਲਿਆਂ ਨੂੰ ਵੱਖਰਾ ਰੱਖਣਾ ਹੀ ਪੂਰਾ ਅਭਿਆਸ ਹੈ।
ਰਾਊਟਰ ਸੁਰੰਗ ਅੱਗੇ ਭੇਜਦਾ ਹੈ, ਮੇਜ਼ਬਾਨ ਪੈਕਟ ਦਾ ਫ਼ੈਸਲਾ ਕਰਦਾ ਹੈ
ਕੋਈ ਵੀ ਨਿਯਮ ਵੇਖਣ ਤੋਂ ਪਹਿਲਾਂ ਦੂਰ ਦੇ ਸਰੋਤ ਤੋਂ ਸੇਵਾ ਤੱਕ ਦਾ ਰਾਹ ਖਿੱਚੋ। ਬਾਹਰਲਾ ਹਿੱਸਾ VPN ਟ੍ਰਾਂਸਪੋਰਟ ਹੈ, ਜਿਸ ਨੂੰ ਰਾਊਟਰ ਅਤੇ ਗੇਟਵੇ ਸੰਭਾਲਦੇ ਹਨ। ਅੰਦਰਲਾ ਹਿੱਸਾ ਤਦ ਸ਼ੁਰੂ ਹੁੰਦਾ ਹੈ ਜਦੋਂ ਐਂਡਪੁਆਇੰਟ ਸੁਰੰਗ ਦੀ ਪਰਤ ਹਟਾਉਂਦਾ ਹੈ ਅਤੇ ਮੇਜ਼ਬਾਨ ਨੂੰ ਆਪਣੇ VPN ਪਤੇ 'ਤੇ ਭੇਜਿਆ ਪੈਕਟ ਮਿਲਦਾ ਹੈ।
ਇਹ ਦੋਵੇਂ ਹਿੱਸੇ ਮਿਲਾ ਦਿਓ ਅਤੇ ਰਾਊਟਰ ਮੇਜ਼ਬਾਨ ਵੱਲੋਂ ਲਏ ਫ਼ੈਸਲੇ ਦਾ ਸਿਹਰਾ ਲੈ ਲੈਂਦਾ ਹੈ। ਪੋਰਟ ਫਾਰਵਰਡਿੰਗ ਸਫ਼ਾ ਜਾਂ ਰਾਊਟਰ ਲਾਗ ਸਿਰਫ਼ ਬਾਹਰਲੀ ਗੱਲਬਾਤ ਦੱਸਦੇ ਹਨ, ਅਤੇ ਇਹਨਾਂ ਵਿੱਚੋਂ ਕੋਈ ਨਹੀਂ ਦੱਸਦਾ ਕਿ ਮੇਜ਼ਬਾਨ ਕਿਹੜਾ ਡਿਕ੍ਰਿਪਟ ਟ੍ਰੈਫ਼ਿਕ ਸਵੀਕਾਰ ਕਰੇਗਾ। ਮੇਜ਼ਬਾਨ ਅੰਦਰਲੇ ਪੈਕਟ 'ਤੇ ਆਪਣੀ ਦਾਖਲਾ ਨੀਤੀ ਲਾਗੂ ਕਰਦਾ ਹੈ, ਜਿਵੇਂ ਇੰਟਰਫ਼ੇਸ 'ਤੇ ਆਉਣ ਵਾਲੇ ਕਿਸੇ ਵੀ ਪੈਕਟ 'ਤੇ ਕਰਦਾ ਹੈ। ਇਸੇ ਨੀਤੀ ਵਿੱਚ ਐਕਸਪੋਜ਼ਰ ਦਾ ਸਵਾਲ ਅਸਲ ਵਿੱਚ ਤੈਅ ਹੁੰਦਾ ਹੈ।
ਵਾਈਲਡਕਾਰਡ ਸਰੋਤਾ ਜਨਤਕ ਸੇਵਾ ਨਹੀਂ
Linux ਵਿੱਚ INADDR_ANY ਨਾਲ ਬੰਨ੍ਹਣ ਦਾ ਅਰਥ ਹੈ ਹਰ ਸਥਾਨਕ ਪਤਾ, ਇਸ ਲਈ ਸੇਵਾ ਅਜਿਹੇ ਸੁਰੰਗ ਇੰਟਰਫ਼ੇਸ 'ਤੇ ਜਵਾਬ ਦੇ ਸਕਦੀ ਹੈ ਜਿਸ ਦਾ ਉਸ ਨੇ ਕਦੇ ਨਾਮ ਨਹੀਂ ਰੱਖਿਆ। IP ਸਾਕਟ ਸੰਦਰਭ ਉਸ ਬੰਨ੍ਹਣ ਦਾ ਵਰਣਨ ਕਰਦਾ ਹੈ, ਅਤੇ ਸਰੋਤਿਆਂ ਦੀ ਸੂਚੀ ਤੋਂ ਸਿੱਟੇ ਕੱਢਣ ਤੋਂ ਪਹਿਲਾਂ ਇਸ ਨੂੰ ਪੜ੍ਹਨਾ ਚਾਹੀਦਾ ਹੈ। ਵਾਈਲਡਕਾਰਡ ਐਂਟਰੀ ਸਾਕਟ ਬਾਰੇ ਤੱਥ ਹੈ, ਪਹੁੰਚ ਬਾਰੇ ਦਾਅਵਾ ਨਹੀਂ।
ਹੇਠਾਂ ਦੋ ਲਾਈਨਾਂ ਇੱਕੋ ਸੇਵਾ ਦੀਆਂ ਦੋ ਵੱਖਰੀਆਂ ਬੰਨ੍ਹਣਾਂ ਹਨ, ਅਤੇ ਫ਼ਰਕ ਹੀ ਇਸ ਸਵਾਲ ਦਾ ਪੂਰਾ ਜਵਾਬ ਹੈ ਕਿ ਕੀ ਇੰਟਰਫ਼ੇਸ ਮਾਇਨੇ ਰੱਖਦਾ ਹੈ। ਸਭ ਤੋਂ ਪਹਿਲਾਂ ਪੜ੍ਹੋ ਕਿ ਸਾਕਟ ਕਿਹੜੇ ਪਤੇ 'ਤੇ ਬੈਠਾ ਹੈ।
ss -lntp "sport = :22"
LISTEN 0 4096 0.0.0.0:22 0.0.0.0:* users:(("sshd",pid=812,fd=3))
LISTEN 0 4096 10.8.0.6:22 0.0.0.0:* users:(("sshd",pid=812,fd=4))ਉਸ ਬਣਤਰ ਦਾ ਨਾਮ ਦਿਓ ਜੋ ਪੋਰਟ ਤੱਕ ਪਹੁੰਚ ਸਕਦੀ ਹੋਵੇ
ਤਿੰਨ ਬਣਤਰਾਂ ਉਸ ਇੰਟਰਫ਼ੇਸ 'ਤੇ ਪੈਕਟ ਰੱਖਦੀਆਂ ਹਨ, ਅਤੇ ਉਹਨਾਂ ਦੇ ਮਾਲਕ ਵੱਖਰੇ ਹਨ। ਸਹੀ ਦਾ ਨਾਮ ਦੇਣਾ ਤੈਅ ਕਰਦਾ ਹੈ ਕਿ ਕਿਸ ਨੂੰ ਨੀਤੀ ਬਦਲਣੀ ਹੈ।
| Arrangement | What reaches the port | Where the decision lives |
|---|---|---|
| Another permitted VPN peer | A packet from the same tunnel subnet | Gateway forwarding policy and host input rules |
| A deliberate public forward | Traffic the gateway publishes on purpose | Gateway service definition |
| A subnet routed behind the gateway | Client traffic from the far side | Gateway route and host input rules |
ਜਨਤਕ ਨਿਕਾਸ ਪਤਾ ਦਿਖਾਉਣ ਵਾਲਾ ਬਰਾਊਜ਼ਰ ਨਤੀਜਾ ਤਿੰਨਾਂ ਵਿੱਚੋਂ ਕਿਸੇ ਬਾਰੇ ਵੀ ਕੁਝ ਨਹੀਂ ਕਹਿੰਦਾ, ਕਿਉਂਕਿ ਇਹ ਦੱਸਦਾ ਹੈ ਕਿ ਬਾਹਰ ਜਾਣ ਵਾਲਾ ਟ੍ਰੈਫ਼ਿਕ ਕਿਵੇਂ ਨਿਕਲਦਾ ਹੈ, ਅੰਦਰ ਆਉਣ ਵਾਲੇ ਟ੍ਰੈਫ਼ਿਕ ਨੂੰ ਕੀ ਇਜਾਜ਼ਤ ਹੈ ਨਹੀਂ। ਇਸ ਦੀ ਥਾਂ ਸਰੋਤਾ ਅਤੇ ਸੇਵਾ ਲਾਗ ਵਿੱਚਲੇ ਸਰੋਤ ਪਤੇ ਤੋਂ ਪਿੱਛੇ ਵੱਲ ਕੰਮ ਕਰੋ। ਜੇ ਸਰੋਤ ਦੂਜਾ ਸੁਰੰਗ ਸਾਥੀ ਹੈ, ਤਾਂ ਗੇਟਵੇ ਨੀਤੀ ਦਿਲਚਸਪ ਦਸਤਾਵੇਜ਼ ਹੈ। ਜੇ ਇਹ ਅਨੁਵਾਦਿਤ ਪਤਾ ਹੈ, ਤਾਂ ਨਿਯਮ ਬਦਲਣ ਤੋਂ ਪਹਿਲਾਂ ਅਨੁਵਾਦ ਲੱਭੋ।
ਸੇਵਾ ਨੂੰ ਉਸੇ ਰਾਹ ਤੱਕ ਸੀਮਤ ਕਰੋ ਜੋ ਤੁਹਾਡਾ ਇਰਾਦਾ ਸੀ
ਜੇ SSH ਸਿਰਫ਼ ਪ੍ਰਬੰਧਨ ਰਾਹ ਤੋਂ ਚਾਹੀਦਾ ਹੈ, ਤਾਂ ਉਹ ਰਾਹ ਸਰੋਤ ਸੀਮਾ ਅਤੇ ਇੱਕ ਇੰਟਰਫ਼ੇਸ ਵਜੋਂ ਲਿਖੋ। ਫਿਰ ਮੇਜ਼ਬਾਨ ਦੇ ਦਾਖਲਾ ਨਿਯਮ ਨੈੱਟਵਰਕ ਨਾਮ ਦੀ ਥਾਂ ਇੰਟਰਫ਼ੇਸ, ਮੰਜ਼ਿਲ ਅਤੇ ਸਰੋਤ ਅਨੁਸਾਰ ਸੀਮਤ ਕਰੋ, ਕਿਉਂਕਿ ਨਿੱਜੀ ਦਿਸਦਾ ਨਾਮ ਕਿਸੇ ਵੀ ਪਤੇ ਦੀ ਨੁਮਾਇੰਦਗੀ ਕਰ ਸਕਦਾ ਹੈ। ਅਗਲੀ ਸਮੱਸਿਆ ਹੱਲ ਕਰਨ ਵਾਲੇ ਲਈ ਰਾਹ ਛੱਡੋ।
nft add rule inet filter input iifname "tun0" ip saddr 10.8.0.0/24 tcp dport 22 accept
nft list chain inet filter inputਜੋ ਨਿਯਮ ਸੁਰੰਗ ਇੰਟਰਫ਼ੇਸ ਅਤੇ ਪ੍ਰਬੰਧਨ ਸੀਮਾ ਦਾ ਨਾਮ ਲੈਂਦਾ ਹੈ, ਉਹ ਇਰਾਦਾ ਇੱਕ ਥਾਂ ਦੱਸਦਾ ਹੈ। ਇਸ ਦੀ ਤੁਲਨਾ Wi-Fi ਨੈੱਟਵਰਕ ਲਈ ਲਿਖੇ ਨਿਯਮ ਨਾਲ ਕਰੋ, ਜੋ ਡਿਕ੍ਰਿਪਟ ਸੁਰੰਗ ਟ੍ਰੈਫ਼ਿਕ ਬਾਰੇ ਕੁਝ ਨਹੀਂ ਕਹਿੰਦਾ। ਜਦੋਂ ਦੋਵੇਂ ਪਰਤਾਂ ਸਹਿਮਤ ਨਾ ਹੋਣ, ਮੇਜ਼ਬਾਨ ਦੀ ਨੀਤੀ ਹੀ ਉਹ ਹੈ ਜਿਸ ਨਾਲ ਪੈਕਟ ਮਿਲਦਾ ਹੈ।
ਲਾਗਇਨ ਅਤੇ ਪੈਚ ਉੱਥੇ ਹੀ ਰਹਿਣ ਦਿਓ ਜਿੱਥੇ ਹਨ; ਕਿਸੇ ਪੋਰਟ ਤੱਕ ਪਹੁੰਚਣਾ ਕਦੇ ਵੀ ਉਸ ਨੂੰ ਵਰਤਣ ਦੀ ਇਜਾਜ਼ਤ ਦੇ ਬਰਾਬਰ ਨਹੀਂ ਸੀ। ਕਿਸੇ ਵੀ ਅਣਜਾਣ ਸਰੋਤ ਲਈ ਪਤਾ ਪਰਿਵਾਰ ਅਤੇ ਸਮਾਂ ਦਰਜ ਕਰੋ, ਅਤੇ ਕਿਸੇ ਵਿਸ਼ੇਸ਼ਤਾ ਜਾਂ ਕਮਜ਼ੋਰੀ ਨੂੰ ਦੋਸ਼ ਦੇਣ ਤੋਂ ਪਹਿਲਾਂ ਜਾਂਚ ਕਰੋ। ਜੋ ਨਿਯਮ ਹਰ ਸੁਰੰਗ ਸਾਥੀ ਨੂੰ ਅੰਦਰ ਆਉਣ ਦਿੰਦਾ ਹੈ, ਉਹ ਪ੍ਰਬੰਧਨ ਸਬਨੈੱਟ ਨੂੰ ਆਉਣ ਦੇਣ ਵਾਲੇ ਤੋਂ ਵੱਖਰਾ ਡਿਜ਼ਾਈਨ ਹੈ, ਅਤੇ ਕੋਈ ਲਾਗ ਲਾਈਨ ਨਹੀਂ ਦੱਸੇਗੀ ਕਿ ਕਿਹੜਾ ਇਰਾਦਾ ਸੀ।
ਸੁਧਾਰ ਨੂੰ ਇੱਕ ਸਫਲਤਾ ਅਤੇ ਇੱਕ ਇਨਕਾਰ ਨਾਲ ਸਵੀਕਾਰ ਕਰੋ
ਦੋਵੇਂ ਅੱਧ ਸਾਬਤ ਕਰੋ: ਇੱਕ ਮਨਜ਼ੂਰਸ਼ੁਦਾ ਕਨੈਕਸ਼ਨ ਸਫਲ ਹੁੰਦਾ ਹੈ ਅਤੇ ਇੱਕ ਬਾਹਰ ਕੀਤਾ ਰਾਹ ਇਨਕਾਰ ਹੁੰਦਾ ਹੈ। ਇਨਕਾਰ ਉਹ ਅੱਧ ਹੈ ਜਿਸ ਨੂੰ ਲੋਕ ਛੱਡ ਦਿੰਦੇ ਹਨ, ਅਤੇ ਇਹੀ ਦਿਖਾਉਂਦਾ ਹੈ ਕਿ ਨਿਯਮ ਕੰਮ ਕਰ ਰਿਹਾ ਹੈ, ਇਜਾਜ਼ਤ ਦੇਣ ਵਾਲੇ ਡਿਫ਼ਾਲਟ ਦੇ ਕੋਲ ਖੜ੍ਹਾ ਨਹੀਂ। ਬਾਹਰ ਕੀਤੇ ਪਾਸਿਓਂ ਪਰਖ ਕਰੋ, ਇਸ ਬਾਰੇ ਸੋਚਣ ਦੀ ਥਾਂ।
ਦੁਬਾਰਾ ਜੁੜਨ ਤੋਂ ਬਾਅਦ ਜੋੜੀ ਦੁਹਰਾਓ, ਕਿਉਂਕਿ ਵੱਖਰੇ ਇੰਟਰਫ਼ੇਸ ਨਾਮ ਨਾਲ ਵਾਪਸ ਆਉਣ ਵਾਲੀ ਸੁਰੰਗ ਪੁਰਾਣੇ ਲਈ ਸੀਮਤ ਨਿਯਮ ਨੂੰ ਚੁੱਪਚਾਪ ਬਾਈਪਾਸ ਕਰ ਸਕਦੀ ਹੈ। ਜੋ ਸੀਮਾ ਮਾਇਨੇ ਰੱਖਦੀ ਹੈ ਉਹ ਹੀ ਹੈ ਜੋ ਮੇਜ਼ਬਾਨ ਉਹਨਾਂ ਪੈਕਟਾਂ 'ਤੇ ਲਾਗੂ ਕਰਦਾ ਹੈ ਜੋ ਉਸ ਨੂੰ ਅਸਲ ਵਿੱਚ ਮਿਲਦੇ ਹਨ।