ټول پورټونه فارورډ کوونکی قاعده ستاسو د WireGuard اورېدونکی تېروي کولی شي
یوه پراخه فارورډ قاعده کولی شي د ګېټوې خپل WireGuard او SSH اورېدونکي تېروي کړي. تنګې قاعدې یا جلا عامه پته وټاکئ، بیا د کنټرول لار ازموئ.
یو عامه ګېټوې لا دمخه WireGuard په UDP 51820، SSH په 22 او یوه اپلیکېشن چې باید له انټرنیټ څخه د لاسرسي وړ وي چلوي. هڅوونکې قاعده هره پورټ پیر ته لیږدوي او کار ختم بولي. په WireGuard ګېټوې کې داسې قاعده کولی شي د تونل خپله لېږد ونیسي او تاسو له هغې ماشین څخه وباسي چې هغه پای ته رسوي. خپرول د کنټرول پلان د استثنا سره د لارښوونې پرېکړه ده، نه یوه DNAT کرښه.
عامه ننوت یا د تونل ننوت: یو وټاکئ
د یوې خدمت خپرول انټرنیټ ته د ننوتلو نوی ټکی جوړوي. دا پیر ته د VPN غړیتوب ورکولو سره یو شان نه دی، ځکه چې لیدونکی هېڅکله تونل ته نه ننوځي او ګېټوې د بیکنډ عامه مخ ګرځي. هغه توپیر د قاعدې اورېدونکي او د هغې سند ټاکي.
اداري انټرفېسونه هلته کم ځای مومي. هغه اډمین پاڼه چې اجازه لرونکي VPN کړنې ورته رسېږي، د برید سطحه د تونل دننه ساتي او د ننوتلو فورم له تصادفي سکن کولو څخه ژغوري. عامه اپلیکېشن پای ټکي لا هم خپل TLS سند، تصدیق او د کچې محدودیت ته اړتیا لري؛ کوډ شوی WireGuard ګام د لیدونکي برخه تر ګېټوې پورې نه ژغوري.
که خدمت واقعاً باید عامه وي، د کوربه نوم، هغه سند چې هغه پوښي او هغه لیدونکي سیمې ولیکئ چې باید ورته ورسیږي. هغه درې حقایق وروسته د قاعدې بڼه او د فلټر تګلاره ټاکي. له دې بهر هر څه په عامه اورېدونکي کې د حد پراخول دي.
یوه پورټ دننه، یو بیکنډ بهر
یوه عامه پورټ او یوه بیکنډ خدمت وکاروئ. په دې بېلګه کې eth0 عامه پته 198.51.100.20 لري، د ګېټوې د تونل پته 10.200.0.1 ده، او پیر اپلیکېشن په 10.200.0.7 چلوي. عامه TCP 9443 د پیر TCP 8443 ته نقشه کیږي:
iptables -t nat -A PREROUTING -i eth0 -d 198.51.100.20 -p tcp --dport 9443 -j DNAT --to-destination 10.200.0.7:8443
iptables -t nat -A POSTROUTING -o wg0 -d 10.200.0.7 -p tcp --dport 8443 -m conntrack --ctorigdst 198.51.100.20 --ctorigdstport 9443 -j SNAT --to-source 10.200.0.1SNAT قاعده له ژباړل شوي بیکنډ او اصلي عامه منزل سره سمون لري، نو هماغه بیکنډ خدمت ته بله اړیکه له دې نقشې بهر پاتې کیږي. دا د لیدونکي پته له پیر څخه پټوي، او هغه بدلون دی چې سرچینه ساتونکې لارښوونکې بېرته راتګ جلا ډیزاین کوي. د iptables غزونو مرجع دواړه هدفونه او د هغوی د سمون انتخابونه بیانوي.
فارورډول باید لا هم فعال شي، او د فلټر زنځیر ته د ژباړل شوي منزل او پورټ او همدارنګه د تثبیت شوو ځوابونو لپاره اجازه ته اړتیا ده. FORWARD زنځیر له DNAT وروسته ژباړل شوی منزل ویني، نو د عامه پتې خلاف لیکل شوې قاعده له فارورډ شوي پاکټ سره سمون نه لري. اجازه د بیکنډ ټوپل خلاف ولیکئ، نه د عامه یې خلاف.
پیر باید د خدمت اړیکه د ګېټوې د تونل پتې څخه ومني او ځواب د تونل له لارې بېرته ولېږي. د هغه AllowedIPs باید هغه سرچینې ته اجازه ورکړي چې هغه واقعاً ترلاسه کوي، او د سرچینې ژباړې لاندې دا د ګېټوې د تونل پته ده، او په هر پیر باندې پراخه 0.0.0.0/0 ننوتنه د دې ډیزاین لپاره اړینه نه ده. هغه څه چې د بېرته راتګ ټرافیک غورځوي هغه پیر دی چې لیست یې هغه پته نه لري، یا هغه ډیزاین چې سرچینه ساتي او د لیدونکي خپله پته لېږي، نو هغه سرچینه وګورئ چې پیر یې واقعاً ویني نه هغه چې ستاسو په قاعده کې ده.
د ګېټوې خپل اورېدونکي له قاعدې بهر وساتئ
د منزل ژباړه هغه دمخه کیږي چې ماشین پرېکړه وکړي چې پاکټ ځایي دی، نو UDP 51820 کولی شي پیر ته ورسیږي نه هغه پروسې ته چې هره پیر اړیکه ساتي. قاعده په بریالیتوب سره بار کیږي او تونل مړ کیږي، چې د پیر له خوا لوستل ستونزمنه ناکامي ده.
SSH، د څارنې اجنټان او په ګېټوې کې کوربه شوې هر بل خدمت ورته خطر لري. هغه قاعده چې هر څه لیږدوي کنټرول پلان له خپرې شوې اپلیکېشن څخه نه جلا کوي، او له بدلون وروسته لومړی بیا پیل هغه شیبه ده چې بندېدل ښکاره کیږي. هر څه پوښونکې قاعده د هغه خدمت په اړه خبرداری نه ورکوي چې په خاموشۍ یې اخلي. تاسو دا هغه وخت مومئ چې بله اړیکه ناکامه شي.
که پراخه فارورډول واقعاً اړین وي، د کنټرول پورټونه له هر څه پوښونکې قاعدې مخکې وساتئ یا د خپرولو لپاره جلا عامه پته وکاروئ. دوهم انتخاب پاکتر دی ځکه چې کنټرول پته خپله تګلاره ساتي، خو عرضه کوونکی باید هغه پته وسپاري؛ د DNS ریکارډ زیاتول یوه نه برابروي.
پراخه TCP او UDP فارورډول هم ټول پروتوکولونه نه دي. ICMP، IPv6، د لارې MTU غبرګون او د VPN بهرنۍ لېږد خپله تګلاره غواړي، او هغه قاعده چې TCP او UDP پوښي هغه حالتونه اصلي زنځیر ته پرېږدي.
له قاعدو لیکلو مخکې ماډل وټاکئ
څلور بڼې د ګېټوې ډېری خپرونې پوښي، او انتخاب په دې پورې تړلی دی چې څو خدمتونه چلوئ او د کنټرول پلان څومره خطر زغملای شئ. لاندې جدول هغه له تر ټولو تنګ څخه تر ټولو پراخ پورې ترتیبوي.
| Model | What it protects | Cost | Use when |
|---|---|---|---|
| Narrow port forward | Every other listener, including the VPN | One rule per service | Few services, stable ports |
| Catch-all with reserved ports | Ports named in the exception list | Rule order becomes critical | Many services and disciplined review |
| Separate public address | Control address fully isolated | Provider must supply the address | High-value publication |
| VPN-only access | No public entry at all | Visitors need the tunnel | Admin interfaces and internal tools |
له تنګ ماډل سره پیل وکړئ حتی که وروسته نور خدمتونه تمه لرئ. دا تر ټولو اسانه د پلټنې وړ دی، او د تنګو قاعدو ټولګه په کتلو شوې هر څه پوښونکې قاعده بدلول اسانه دي له دې موندلو چې پراخې قاعدې کوم اورېدونکی نیولی و. کوم ماډل چې وټاکئ، قاعدې د فایر وال د مالک سره وساتئ. د iptables کرښو د UFW یا nftables ترتیب ترڅنګ پلي کول چې هماغه زنځیرونه هم اداره کوي، داسې تګلاره جوړوي چې د پیل ترتیب له مخې بدلیږي.
خپرول او کنټرول لاره دواړه ثابت کړئ
له اجازه لرونکي بهرني کړنې څخه د منل شوي کوربه نوم او د هغه لپاره معتبر سند سره ازموئ. تایید کړئ کوم بیکنډ ځواب ورکړ، بیا وګورئ چې ناتړلي عامه پورټونه لا هم رد دي. بند شوی سند کتنه بریالۍ HTTPS ازموینه نه ده، او هغه اړیکه چې غلط بیکنډ ته ورسیږي له ناکامې څخه بدتره ده.
له هغې وروسته ګېټوې پخپله تایید کړئ: یو WireGuard پیر ونښلوئ، SSH ناسته پرانیزئ او تایید کړئ چې څارنه لا هم راپور ورکوي. خپرې شوې خدمت کولی شي کار وکړي پداسې حال کې چې کنټرول پلان مات وي، نو دواړه کتنې باید په یوه بدلون کړکۍ کې وي. یو ځل بیا پیل کړئ ترڅو ثابت کړئ چې قاعدې په تمه ترتیب بیا پلي کیږي، بیا خپرول لرې کړئ او تایید کړئ چې لرې کول واقعاً له زیاتولو سره سمون لري. په پیل کې ډېر زیاتول او نیمګړی پاکول، همدا لامل دی چې لنډمهاله ازموینه تلپاتې خلاصون کیږي.