د WireGuard د خوندي کولو لپاره د IPv6 بندول کوربه ماتوي

هدف معقول دی: یوازې د تونل کاروونکي باید دې ماشین ته د خدماتو ورسیږي. هغه حل چې خلک غوره کوي د IPv6 د ننوتلو زنځیر دی چې له WireGuard پرته هر څه غورځوي، او دا هغه ټرافیک هم غورځوي چې کوربه خپلې خپلې اړیکې ته تړلی ساتي. د ګاونډیانو کشف او د لارې د ساتنې پیغامونه د خدمت لاسرسی نه دی، او د هغوی لرې کول داسې ماشین جوړوي چې ستاسو له پالیسۍ سره بې تړاوه دلایلو له امله نه رسیږي. تونل پورته کیږي، خدمات په سمه توګه محدود شوي، او په اړیکه کې بل څه نه کار کوي.

درې مسؤلیتونه، یو قاعده ټولګه

لومړی مسؤلیت د بهرني شبکې چلول دي: کوربه باید په خپله اړیکه کې پاتې شي، ګاونډیان حل کړي او د هغې اړیکې د لارې حدود وپیژني. دوهم څارونکی کوډ شوی دی چې په خپله ټاکل شوې پته او پورټ کې UDP مني. دریم هغه ښکاره شویو خدماتو ټولګه ده چې تاسو غواړئ د تونل کاروونکي ورته ورسیږي.

دا درې بېلې پالیسۍ دي، او یوازې دوهمه او دریمه د VPN پورې اړه لري. هغه قاعده ټولګه چې دا یو ګڼي، د ناکامۍ هغه طریقه په میراث اخلي چې پکې د اپلیکیشن د حد کلکول د کوربه تړاو په چوپتیا ماتوي.

هغوی په بېلو زنځیرونو یا لږ تر لږه په بېلو تبصرو کې وساتئ، تر څو بل کس وویني چې کومه کرښه د کوم دلیل لپاره ده.

ICMPv6 د کوربه لپاره څه کوي

IPv6 د غږیزې ځواب پرته ډیرو نورو شیانو لپاره پر ICMPv6 تکیه کوي. د ګاونډي غوښتنه او اعلان ARP بدلوي او د ځایي رسولو لپاره اړین دي. Packet Too Big د لارې MTU معلومات وړي، او له پامه غورځول یې په لویو بسته کې بندېدونکي لېږدونه جوړوي. کله چې اړیکه اتومات ترتیب کاروي، د روټر اعلانونه تلوالی لار او د مختاګۍ معلومات وړي.

RFC 4890 هغه پیغامونه چې د کوربه فلټر باید اجازه ورکړي، له هغو څخه جلا کوي چې اداري انتخاب دي، او دا په کوربه برخه کې کوي چې د شبکو ترمنځ د لېږدونکي روټر له قواعدو څخه توپیر لري. یوازې د لېږد برخه لوستل داسې د ننوتلو پالیسي جوړوي چې د ساتل شوي کوربه لپاره ډیره سخته ده.

عملي قاعده دا ده چې په هغه برخه کې چې اړتیا لري اړین د تېروتنې او ترتیب پیغامونه اجازه کړئ، چېرې چې پلیټ فارم اجازه ورکوي د ډول او سرچینې له مخې محدود کړئ، او د پاتې په اړه روښانه پریکړه وکړئ.

دا ټول په عمومي ICMPv6 اجازه بدلول د لاسرسي ستونزه حلوې کړي او فلټرول پرېږدي. دا په عمومي غورځولو بدلول د فلټرولو ستونزه حلوې کړي او کوربه پرېږدي.

لومړی تونل ته اجازه ورکړئ، بیا خدمت ته

د WireGuard لېږد په ټاکل شوې بهرنۍ پته او UDP پورټ کې ومنئ، او د راستنېدونکي ټرافیک د اړیکو تعقیب له لارې ومنئ. بیا د تونل له برخې د اپلیکیشن خدماتو ته اجازه ورکړئ، له هغو سرچینو چې تاسو یې ریښتیا واک ورکوئ.

د بهرني UDP پورټ اجازه د هغې دننه ښکاره شویو غوښتنو ته واک نه ورکوي. همدا توپیر د خدماتو په قواعدو کې د تونل د برخې د ښکارېدو بشپړ دلیل دی.

قاعده ټولګه هغسې چې ده ولولئ، نه هغسې چې فایل یې بیانوي:

sudo nft list ruleset
ip -6 addr show
ip -6 route show default

په فزیکي پته کې څارونکی د تونل په پته کې د همدې خدمت څخه بېله ښکارېدنه ده. که ماشین ټرافیک بل ماشین ته هم لېږدوي، دا د لېږد زنځیر پریکړه ده نه دا د ننوتلو پالیسي، او خپل دلیل ته اړتیا لري.

اړیکه وآزموئ، نه یوازې تونل

له بدلون وروسته چلېدونکی تونل له ښکارېدنې کم څه ثابتوي، ځکه چې شتون لرونکې ګاونډي ننوېده او جوړه شوې اړیکه کولای شي هغه کنټرول پیغام پټ کړي چې پالیسي یې اوس غورځوي.

تړاو مستقیم وګورئ، بیا وګورئ چې ایستل شوې لار لا هم ناکامه کیږي:

ip -6 neigh show
ping -6 -c 3 2001:db8:1::1
sudo nft -c -f /etc/nftables.conf

هغه ګاونډی جدول چې له بیا پیل وروسته بشپړ پاتې کیږي د دې نښه ده چې کشف لا هم کار کوي. هغه جدول چې تشیږي او بیا هیڅکله نه ډکیږي د دې نښه ده چې تاسو فلټر کړی. دریم حکم د قاعدو ټولګې نحو پرته له تطبیق ازموي، چې تر څو غونډه لرئ د کولو وړ ده.

هغه کوربه بیرته راولئ چې پخپله یې ځان بهر بند کړی و

مخکې له دې چې هغه د اور دېوال قواعد بدل کړئ چې ستاسو خپله اداري غونډه وړي، دوهمه لاره وساتئ: کنسول، سریال اړیکه، یا مهال ویش شوې بېرته تګ چې که لغوه یې نه کړئ نوي قواعد لرې کوي.

که بدلون ریښتیا بهر بند کړي، بېرته راوستل د همدې لارې وي نه د هغې شبکې چې همدا اوس مو لرې کړه. له خوندي کاپي څخه پخوانۍ قاعده ټولګه بېرته راولئ، تایید کړئ چې کوربه بیا د لاسرسي وړ دی، او بیا وروسته ټاکل شوې پالیسي په کوچنیو ټوټو کې تطبیق کړئ.

وروستۍ پالیسي نړیواله نه ده. پته، لارښوونه او د اور دېوال تطبیق د ځای پرځای کولو ننوتنې دي، خو حد هر چېرې یو شان دی: د اجازه لرونکي تونل وړونکي کنټرول ټرافیک ساتلو سره ناغوښتل شوي اپلیکیشن لاسرسي څخه انکار وکړئ.