د firewalld د اورېدنې قاعده او د لېږد تګلاره: هر یو څه کوي

هغه VPN چې نښلوي خو چېرې نه رسېږي معمولاً د فایر وال ستونزه بلل کېږي، او هغه حل چې خلک ورته لاس وړي دا دی چې د ټنل انټرفیس په یوه باوري زون کې کېږدي. دا په دې مانا کار کوي چې ترافیک تېرېدل پیل کوي، خو له نیت شوې خدمت څخه ډېر څه هم اجازه ورکوي. دلته دوه تګلارې ښکېلې دي او هغوی بېلې دي: یوه بهرنی ترانسپورت اورېدونکي ساکټ ته اجازه ورکوي، او بله د کوډ پرانیستل شوي ترافیک ته اجازه ورکوي چې یوې ځانګړې سرچینې ته ورسیږي. همدا دواړه د یو تنظیم په توګه ګڼل هغه څه دي چې تنګه اجازه پراخه اجازه کې اړوي. دواړه په بېلو ځایونو کې پرېکړه کېږي، نو ځکه دا تېروتنه دومره اسانه ده.

دوه تګلارې، یو ټنل

بهرنۍ تګلاره یو ساده پوښتنې ته ځواب ورکوي: ایا د دې سرچینې یو پاکټ کولای شي په دې هوسټ کې UDP 1194 ته ورسیږي؟ اندرنۍ تګلاره بلې پوښتنې ته ځواب ورکوي: ایا د هغه ټنل شاته تصدیق شوی کلاینټ کولای شي دې منزل ته، په دې پروتوکول، په دې پورټ ورسیږي؟ لومړی د ساکټ په اړه دی، دویم د لارې په اړه، او firewalld هغوی په بېلو شیانو ماډل کوي ځکه چې په بېلو نقطو کې پرېکړه کېږي. یو په دې هوسټ د ساکټ ځانګړتیا ده، بل د هغه له لارې د تلونکې لارې.

عملي پایله دا ده چې کار کوونکی ټنل د دویمې تګلارې په اړه هېڅ نه وایي، او سمه دویمه تګلاره لومړۍ بې اړتیا نه کوي.

اصلي بهرنی اورېدونکی اجازه کړئ

د اټکل کولو پرځای دا وګورئ چې له مخکې څه ټاکل شوي. فعال زونونه ولولئ، هغه زون ولیکئ چې واقعاً دننه ترافیک وړي، او نصب شوې خدمت تعریف وګورئ، ځکه د خدمت نوم د پورټونو یوه ټولګه توصیف کوي او د دې په اړه هېڅ نه وایي چې د دې سرور اورېدونکی ورسره سمون لري که نه.

firewall-cmd --get-active-zones
firewall-cmd --zone=public --list-all
firewall-cmd --info-service=openvpn

که اورېدونکی واقعاً په هغه زون کې UDP 1194 وي، نو هماغه پورټ او ترانسپورت په ځانګړي ډول پرانیزئ، بیا له ازموینې وروسته هماغه ځانګړی قاعده تلپاتې کړئ. سرچینې ته اړوند ټاکل هم وګورئ، ځکه هغه زون چې د سرچینې حد ته تړل شوی وي کولای شي ترافیک له دې مخکې ونیسي چې د انټرفیس زون یې وویني.

کوډ پرانیستل شوی منزل په جلا توګه اجازه کړئ

د VPN سرور په خپله چلېدونکي خدمت ته نښلول د ځایي ننوتلو تګلاره ده. هغه نښلول چې LAN کې بل هوسټ ته لېږل کېږي د لېږد تګلارې ته اړتیا لري، په کرنل کې فعال شوی لېږد او د بېرته راستنېدو لار — دا درې جلا غوښتنې دي چې خلک یې ډېری په یوه کې یوځای کوي. د firewalld عصري تګلارې شیان د ننوتلو زون او وتلو زون ترمنځ لارښود شوی ترافیک توصیف کوي، او هماغه ځای سم دی چې بیان کړي کومې VPN سرچینې کومو خصوصي خدمتونو ته رسېدلای شي.

اجازه لرونکې سرچینې په څرګنده توګه تعریف کړئ او نور هر څه رد ته پرېږدئ. د بهرني خدمت اجازه هغه تګلاره نه ده، هر څنګه چې د زونونو ترتیب ښکاره شي.

ولې انټرفیس باور کول غلطه لنډه لار ده

د ټنل انټرفیس په هغه زون کې ایښودل چې هدف یې هر څه مني، ټول کوډ پرانیستل شوی ترافیک هغه هر خدمت ته پرېږدي چې هوسټ یې ښکاره کوي، په شمول هغه چې تاسو نه دي کتلي. د باوري زون هدف په چلېدونکې ماشین کې محدودوونکي ته بدلول لا خراب دي، ځکه نور انټرفیسونه او د سرچینې حدونه کېدای شي له مخکې د هغې معنا ته تکیه وي او کله چې یې سم کړئ، چلند به یې بدل شي. که تنګه تګلاره غواړئ، یوه جوړه کړئ؛ شریکه زون بیا مه کاروئ.

د ټنل د زون ټاکل هم د هغه ترتیباتو د مالک هرې برخې له لارې ټینګ وساتئ. په بیا پیل کې د ټاکلو له لاسه ورکول داسې نیمګړتیا جوړوي چې د فایر وال د قاعدې ستونزه ښکاري خو په رښتیا د دوام ستونزه ده.

درې شیان وګورئ، چې یو یې رد دی

بهرنی نښلول له بهر ازموئ، له نښلول شوي کلاینټ څخه یو اجازه لرونکی اندرنی خدمت ازموئ، او هغه خدمت ازموئ چې باید لاسرسی نه لري پاتې شي. درېیمه ازموینه هغه ده چې تګلاره له جانبي اغېزې بېلوي، او خلک همدا پرېږدي ځکه هر څه کار کوونکي ښکاري. که رد شوی خدمت ځواب ورکړي، تاسو خدمت نه، بلکې زون اجازه کړی دی.

په سرور یادښتونو کې زون، پورټ، ترانسپورت او د تګلارې شی ولیکئ. که نه، په دې هوسټ باندې راتلونکی بدلون به له هماغې اټکل څخه پیل شي.