د VPN پورټ خلاصول پیرودونکو ته د LAN لاسرسی نه ورکوي

تونل پورته کیږي، پیرودونکی تصدیق کیږي، خو د ګیټوې شاته LAN نه ښکاري. هغه قاعده چې باید دا سمه کړې وای د VPN پورټ اجازه ورکوي او لکه څنګه چې لیکل شوې هماغسې کار کوي، ځکه هغه قاعده هغه پاکټونه کنټرولوي چې پخپله ګیټوې ته استول شوي. د ګیټوې شاته کوربه ته د پیرودونکي ټرافیک بل هدف او بله لړۍ لري. بریالۍ ننوتنه نه بدلوي چې کرنل کومه لړۍ ګوري.

دوه لړۍ، دوه بېل هدفونه

د پاکټ برخلیک دا ټاکي چې چېرته ځي، نه دا چې څنګه راغی. ګیټوې ته د ادرس له مخې تلونکی ټرافیک په سیمه ییزه توګه رسول کیږي او د ننوتلو قواعدو سره ارزول کیږي. هغه ټرافیک چې ګیټوې مخته استوي د لیږد قواعدو سره ارزول کیږي. یو هماغه تونل انټرفیس دواړه ډوله پاکټونه جوړولی شي، نو یوه قاعده نشي کولی دواړه کارونه پټ کړي.

ټول افسانه په یوه جمله کې: اوریدونکي ته اجازه ورکول د هغه شاته شبکې ته د اجازه ورکولو په اړه هېڅ نه وایي. دا دوه بېلې پرېکړې دي په بېلو شاهدانو، او د انټرفیس نوم پر دواړو هغوی نه یوځای کوي.

د اوریدونکي قاعده واقعاً څه اجازه ورکوي

د اوریدونکي پاکټونه د VPN پروسې کې پای ته رسیږي، او همدا د تونل جوړولو اجازه ورکوي. د ګیټوې اداره کولو پاڼه او سیمه ییز تشخیصي ځواب هم د کوربه خپله د ننوتلو لاره کاروي، نو ګیټوې ته ازموینه بریالۍ کیږي خو د هغې شاته هر څه ناکام کیږي. دواړه پایلې سمې دي او هیڅ یوه د LAN په اړه نه ده.

کله چې پروسه د بل هدف لپاره د پیرودونکي ټرافیک کپسول لرې کوي، پاکټ د لیږد لارې ته ننوځي او هلته اجازه غواړي. بریالۍ تصدیق ټاکي چې پیرودونکی څوک دی؛ نه ټاکي چې چېرته تللی شي. د دوو پوښتنو خاوندان، ثبتونه او د تېروتنې پیغامونه بېل دي.

له پیرودونکي ازموینه وکړئ، هیڅکله له ګیټوې نه

په ګیټوې جوړه شوې ازموینه د کوربه خپله د وتلو لاره تعقیبوي او کېدای شي بریالۍ شي پداسې حال کې چې د لیږد لاره بنده ده. ازموینه له پیرودونکي پیل کړئ او د بهیر دواړه سرونه وګورئ.

nc -vz 10.40.7.25 445
tcpdump -ni tun0 host 10.40.7.25

که غوښتنه په tun0 ښکاره شي او هدف ته هېڅ نه رسیږي، پاکټ له راتلو وروسته غورځول کیږي، چې د لیږد قواعدو یا د هدف خپل فلټر ته اشاره کوي. که په tun0 هېڅ ونه ښکاره شي، پیرودونکی هغه تونل ته هم نه استوي، او ستونزه د ګیټوې په پالیسۍ کې نه بلکې د پیرودونکي په لارښوونه کې ده. له هغې غوښتنې سره یې پرتله کړئ چې سمه وځي او هېڅ نه راګرځوي، چې د بیرته راستنیدو لارې قضیه ده.

لیږد درې شیان غواړي، نه یو

په کرنل کې لیږد باید فعال وي، د فلټر قاعده باید بهیر ومني، او هدف باید د ځواب د بیرته راتلو لارې سره د لاسرسي وړ وي. که له درېیو یو نه وي، له پیرودونکي نظره هماغه چوپتیا ده.

sysctl net.ipv4.ip_forward
sudo iptables -S FORWARD
sudo iptables -S INPUT

درې وتلې پایلې یوځای ولولئ. په لومړي کې صفر نور دوه بې ارزښته کوي، او په دویم کې د پخواني غورځولو پالیسي د پیرودونکي پاکټونه غورځوي خو د ګیټوې خپل ټرافیک دوام لري. دریمه پایله ښیي چې ولې د اوریدونکي قاعده هېڅکله ستونزه نه وه.

په اسنادو کې دواړه قواعدي ټولګې جلا وساتئ

د اوریدونکي قاعده او د لیږل شوې خدمت قاعده په جلا کرښو کې ولیکئ، د جلا خاوندانو او دلیلونو سره. کله چې VPN پورټ بدلیږي یا نوی خدمت خپریریږي، هغه جلاوالی د یو بدلون مخه نیسي چې بل په خاموشۍ پراخ کړي.

د هر تصدیق شوي ملګري د باوري LAN غړي په توګه منلو پرځای، د اړتیا وړ پیرودونکو حدودو او خدمتونو لپاره تنگ قواعد وکاروئ. د StrongSwan د لیږد یادښتونه د هماغه پولې د بیرته لارې او ژباړې اړخ بیانوي، چې بیا دریمه پرېکړه ده.

په پای کې، کله چې کارن رد شي، طبقې سمې وساتئ. که غوښتنه کوربه ته ورسیږي او اپلیکیشن حساب رد کړي، په هماغه طبقه کې د اپلیکیشن اجازه سمه کړئ؛ د لیږد پراخول د فایل شریکولو اسناد نشي ورکولی او د هغو نورو ټولو لپاره لاسرسی پراخوي چې په بریالیتوب سره نښلوي.