ګیټ وې د خپلې ادارې پاڼې کوربه دی: داخلي یا عامه پته

د ادارې پاڼه د موبایل معلوماتو په ټیلیفون کې ځواب ورکوي او د VPN سره نښلول شوي لپ ټاپ څخه وخت ختمېږي. په تونل کې هېڅ خراب نه دی، ځکه غوښتنه هېڅکله دننه نه ځي. د کوربه نوم د ګیټ وې عامه پتې ته حل کېږي، او هغه پته یوازې د هغه تونل له باندې بهر څخه رسېدل کېدای شي چې هغه یې پای ته رسوي. د دې سمول یعنې خدمت ته خصوصي ننوتل ورکول، نه د باندې پای ټکی ګرځول.

پاڼه له باندې بارېږي نه د تونل له لارې

دوه بېلابېلې غوښتنې پرتله کېږي. د موبایل معلوماتو څخه براوزر مستقیم عامه پتې ته رسېږي. د تونل له دننې څخه هماغه نوم هماغې عامه پتې ته حل کېږي، او پاکټ اوس باید د تونل څخه ووځي ترڅو د تونل په خپله لرې خوا کې یوې پتې ته ورسېږي. هماغه نوم، هماغه پته، دوه بشپړ بېلابېل موقفونه.

د منزل لاره پته ټاکي، نه پورټ. د لارښوونې جدول کې هېڅوک نه پوهېږي چې پورټ 443 د ادارې لپاره دی او پورټ 1194 لېږد دی، نو دواړه یو شان منزل ګڼل کېږي.

له همدې امله پاڼه کله کار کوي او کله نه، دا په دې پورې اړه لري چې کليانټ کوم نوم او کومه شبکه کارولې. دا د لارې ستونزه ده، نه د تصدیق ستونزه. دواړه کليانټ ښه تصدیق کوي.

باندې پای ټکی د رسېدو وړ وساتئ

بشپړ تونل پروفایلونه د VPN پای ټکي لپاره استثنايي لاره غواړي، او د OpenVPN redirect-gateway اختیار هماغه څه ثبتوي: لرې پای ټکی د مخکې موجود ګیټ وې له لارې لاره ساتي ترڅو تونل په خپل ځان کې لاره نه جوړوي. هغه استثنا لرې کړئ او کوډ شوی لېږد د تونل پسې ځي، چې غونډه په یوه کړۍ کې پای ته رسوي. هماغه استثنا لامل دی چې د پای ټکي پته د تونل له دننې څخه د رسېدو وړ پاتې کېږي.

پایله دا ده چې عامه پته د کليانټ څخه د رسېدو وړ پاتې کېږي، او له همدې امله هغې پتې ته د براوزر غوښتنه هم هماغه استثنا تعقیبولی شي او د تونل دننه کېدون پرته ووځي. استثنا خپله دنده کوي، او زیان نوم کوي.

له هر څه بدلولو مخکې د لارښوونې پریکړه ولولئ نه د انټرفیس لړلیک. لاندې کمانډونه لړلیک نه، پریکړه چاپوي. هغه له هغه کليانټ څخه وچلو چې پاتې راغی.

ip -4 route get 203.0.113.77
ip -4 rule show
ip -4 route show table all

که پلټنه د پای ټکي لاره د فزیکي ګیټ وې له لارې وښيي، نو چلند سم دی او د ادارې پاڼه یوازې ناسمې لارې ته لېږل کېږي. هماغه ځای دی چې د نومونو حل سمون کېږي.

خدمت ته خصوصي نوم ورکړئ

خدمت ته داسې نوم ته اړتیا ده چې د تونل په دننه کې د ګیټ وې پتې ته حل شي، او په هماغه وخت کې هغه سند او کوربه نوم مانا وساتل شي چې اپلیکیشن یې تمه لري. د اداري نوم لپاره خصوصي زون ریکارډ عادي ځواب دی, او هغه د لېږد نوم نه لمس کوي.

د لېږد نوم بېرته داخلي پتې ته مه اړوئ، ځکه بل تونل جوړېدل به بیا هغې پتې ته د رسېدو هڅه وکړي چې یوازې د تونل دننه شته. هغه تېروتنه داسې VPN جوړوي چې یوازې یو ځل کار کوي.

دواړه پتې کورنۍ هم وګورئ، ځکه پاتې شوی AAAA ریکارډ کولای شي براوزر هلته ولېږي چې خصوصي پلان هېڅکله ونه رسېده.

dig +short admin.hq.internal
dig +short -t AAAA admin.hq.internal
curl -sS -o /dev/null -w '%{http_code} %{remote_ip}\n' https://admin.hq.internal/

پالیسي له هغه ځای سره سمه کړئ چې پروسه پکې ځي

د ګیټ وې په اورېدلو اصلي پروسې ته د ځایي ننوتلو لارې رسېدل کېږي، نو د ننوتلو زنځیر او د ساکټ تړل تثبیتوي چې غوښتنه منل کېږي که نه. د لېږد قواعد او د IP لېږد ځایي اورېدونکی ځواب ته نه اړوي. د ننوتلو پالیسي کې د تونل سرچینو ته اجازه ورکړئ او ډاډ ترلاسه کړئ چې پروسه هغې پتې ته تړل شوې ده چې تونل ورته رسېدلای شي.

په کوربه پورټ کې خپور شوی کانټینر بله لاره تعقیبوي، ځکه پاکټ د منزل له مخې ژباړل کېږي او لېږل کېږي. هغه غوښتنه د کوربه د لېږد پالیسي او د Docker خپلو قواعدو سره مخ کېږي، له همدې امله کارکوونکی اصلي اورېدونکی کولای شي د هغه کانټینر سره یوځای وي چې هماغه پورټ ردوي.

پیل ترتیب په دواړو حالتونو کې مهم دی، ځکه هغې پتې ته تړل چې یوازې د تونل له پورته کېدو وروسته ښکاري، د بوت په وخت کې په خاموشۍ کې پاتې کېږي.

خصوصي لاسرسی او رد شوې عامه لاره وګورئ

د اپلیکیشن خپلې هویت څېړنې نه لمس کولو سره له مجاز کليانټ څخه نوی نومول شوی غوښتنه وکړئ. بیا هماغه خدمت د تونل له باندې بهر څخه وآزموئ او ډاډ ترلاسه کړئ چې ځواب نه ورکوي. خصوصي نوم اسانتیا ده، نه محدودیت، او هغه اورېدونکی چې لا هم عامه پتې ته تړل شوی دی لا هم خلاص دی. هماغه وروستې څېړنه ده چې ډېری بیاکتنې یې پرېږدي.

د کاروونکو ته ورکړل شوی کوربه نوم نه، تړل او د فلټر حالت ولولئ. ښکارېدل د ساکټ ځانګړنه ده، نه د نوم. هغه توپیر په هر DNS بدلون کې پاتې کېږي.

ss -lntp | grep ':443'
nft list ruleset | grep -n 443
curl -sS -m 5 -o /dev/null -w '%{http_code}\n' https://203.0.113.77/

کله چې داخلي غوښتنه پاڼه بېرته راوړي او باندې غوښتنه وخت ختم کړي، خدمت یوه په قصد جوړه شوې خصوصي لاره لري او لېږد د رسېدو وړ پاتې کېږي. کله چې باندې غوښتنه لا هم ځواب ورکوي، اورېدونکی یا خپور شوی کانټینر ننوتل باید تنګ شي مخکې له دې چې څوک خدمت یوازې-داخلي وبولي.