د ټنل له ودرو پرته یو OpenVPN کلبانټ له LAN څخه بلاک کړئ

ستاسو په OpenVPN سرور کې یو کلبانټ باید LAN لاسرسی له لاسه ورکړي پداسې حال کې چې نور ټول ټنلونه روان وي. که دا ولټوئ، غوره ځواب معمولاً وایي چې ډیمون دا نشي کولی، چې یوازې نیمه رښتیا ده: OpenVPN د هر کلبانټ لپاره فایر وال نلري، خو هغه کوربه چې ټنل پای ته رسوي لا دمخه پاکټونه فلټروي. دوه مهمې پرېکړې هغه هویت دی چې تاسو یې بندوئ او د قاعده موقعیت. دا دواړه سم کړئ نو بدلون به یوه کرښه شي چې تاسو یې ازموئ او لرې کړئ.

د قاعده له لیکلو مخکې کلبانټ وتړئ

OpenVPN د ټنل پتې له یوې حوضې څخه کرایې ورکوي، نو 10.8.0.6 ځای دی نه سړی. کله چې غونډه پای ته ورسېږي کرایه بېرته راځي او بلې اړیکې ته ورکول کېدای شي، یعنې د هغې پتې پر ضد لیکل شوې قاعده ځای تعقیبوي نه کاروونکی. نو لومړی پرېکړه وکړئ چې تاسو واقعاً څه بندوئ: د لنډې تجربې لپاره پته، یا د هغه چا لپاره سند چې غواړئ بهر وساتئ.

د پتې د سند سره تړلو لپاره، په هغه فولډر کې فایل جوړ کړئ چې client-config-dir یې نوموي او فایل ته د سند common name په سمه توګه ورکړئ. په هغه کې یوه لارښوونه کېږدئ، ifconfig-push 10.8.0.6 255.255.255.0, او هغه کلبانټ بیا نښلېدو ته هم هماغه ټنل پته ساتي. د دې د عملي کېدو لپاره باید دوه تنظیمات وي: په سرور ترتیباتو کې client-config-dir اعلان شوی وي، او لېږل شوې پته باید په هغه فرعي شبکه کې وي چې سرور یې لارښوونه کولی شي. یو هم ورک شي نو فایل پرته له تېروتنې له پامه غورځول کېږي، چې بله فایر وال ازموینه ګمراه کوونکې کوي.

لنډمهاله بندول کولای شي د حوضې پته وکاروي، یوازې که ټکټ ثبت کړي چې هغه وخت کومه غونډه دا ساتله.

ترتیب پرېکړه کوي چې غورځول به وګرځي که نه

په هغه Linux ګېټ وې کې چې د ټنل او LAN ترمنځ تېرېږي، پاکټونه FORWARD زنځیر تېروي. لاندې حکم د جملې په توګه ولولئ: د FORWARD په سر کې دننه کړئ، له tun0 څخه راتلونکی، یوازې د هغه یو کوربه، LAN فرعي شبکې ته اوښتی ترافیک سره سم کړئ او وغورځوئ.

iptables -I FORWARD -i tun0 -s 10.8.0.6/32 -d 192.168.1.0/24 -j DROP

-I هغه شی دی چې قاعده ګرځوي. په -A سره ورزیات شي نو د ټنل فرعي شبکې لپاره د هر پراخ اجازه لاندې راځي او هېڅکله پاکټ نه ویني. موقعیت په iptables -vnL FORWARD --line-numbers وګورئ او شمېرونکي هم ولولئ: که پورتنۍ غورځونه هېڅ نه شمېري نو ترافیک له بلې لارې راځي.

د ګېټ وې خپله LAN پته بله لار ده. هغه پاکټونه چې صندوق ته ورلېږل کېږي INPUT ته ځي، FORWARD ته نه، نو کلبانټ کولای شي LAN کوربه له لاسه ورکړي او بیا هم د روټر اداري پاڼه پرانيزي. کله چې دا مهم وي نو سمونکې INPUT قاعده ورزیاته کړئ.

هغه څه چې فلټر یې نه شي لیدلی

فلټرول هغه وخت کېږي چې پاکټ ارزول کېږي، نو جوړه شوې TCP غونډه کولای شي تر هغه دوام وکړي چې وتړل شي یا بیا تنظیم شي. که بندول باید سمدلاسه اغېزه وکړي نو د قاعدې له کېښودو وروسته د هغې سرچینې تعقیب شوې بهې conntrack -D -s 10.8.0.6 سره پاکې کړئ. که د څو ثانیو یوځای کېدل منښتلی وي نو هغه انتخاب ولیکئ، په پټه یې مه پرېږدئ. په هر حال، بله کس باید پوه شي چې قاعده ژوندی ترافیک دروي که یوازې نوي اړیکې.

د همزولو ترمنځ ترافیک هېڅکله د کوربه فایر وال نه لمسوي. کله چې client-to-client فعال وي، OpenVPN هغه پاکټونه د ډیمون دننه لېږدوي، نو نه FORWARD او نه INPUT یې ویني. یوازینی حل د client-to-client بندول یا منل دي چې همزول کولای شي یو بل ته ورسېږي؛ د iptables قاعده به هغه ترافیک ونه ویني.

IPv6، فرم وېر او د بیا پیل وروسته پاتې کېدل

د IPv4 قاعده د IPv6 په اړه هېڅ نه وایي. که ټنل او LAN دواړه کورنۍ وړي، مساوي قاعده باید په ip6tables کې یا په هغه nftables قواعدو کې وي چې په دې کوربه سیاست لري. د روټر فرم وېر ډېری وخت netfilter د خپلې ابسترکشن تر شا پټوي، نو له فورم څخه کاپي شوې نحوې او جدول نومونه ممکن تطبیق نه شي.

په OpenWrt کې مستنده لار د فایر وال ترتیباتو یوه ننوتنه ده نه لاس لیکلې iptables کرښه، او لاس لیکلې کرښه کولای شي د فایر وال بیا لوډېدو پر مهال ورکې شي. نورې وېش بیا رغونې د netfilter-persistent، د بوت واحد یا د پلورونکي ذخیرې له لارې کوي، او دا میکانیزمونه د یو بل بدلېدونکي نه دي. خپل ټاکل شوی د بیا پیل له لارې ثابت کړئ، ځکه بیا لوډېدل بله لار تمرینوي.

د لارې له مخې وګورئ، بیا په پاکه توګه بېرته ورشئ

هره لار جلا ازموئ، ځکه یوه بریالۍ څېړنه نورې پټوي. بند شوی کلبانټ باید لا هم له ټنل لارې انټرنیټ ته ورسېږي خو د LAN کوربه پروت ناکام شي، دویم کلبانټ باید هماغه کوربه ته ورسېږي، او د ګېټ وې پته او د همزول لاره هر یو خپله مشاهده غواړي. پایلې د قاعدې ترڅنګ ولیکئ ترڅو بل بدلون بنسټ ولري. لاندې جدول هغه ټولګه ده چې په ټکټ کې یې ساتل ارزښت لري.

بېرته تګ د مشخصاتو له مخې ړنګول دي، نه flush: iptables -D FORWARD -i tun0 -s 10.8.0.6/32 -d 192.168.1.0/24 -j DROP هماغه ننوتنه ړنګوي او د زنځیر پاتې برخه نه لمسوي. هماغه کرښه له هر هغه فایل څخه لرې کړئ چې د بوت پر مهال قواعد بیا رغوي، بیا یې لوډ کړئ، او تایید کړئ چې کلبانټ بیا LAN کوربه ته رسېږي. د FORWARD flush به هغه قواعد هم باطل کړي چې تاسو نه دي لیکلي، او بېرته تګ به دویمه پېښه شي.

د ټکټ د بندولو مخکې درې شیان تایید کړئ: ټینګه شوې پته له سند سره سمه ده، قاعده د اجازو پورته ده او شمېرونکی صفر نه دی، او د دوام فایل هماغه قاعده لري چې تاسو ازموېلې. که له دې یو هم نه وي، بندول د shell غونډې یو توهم دی.