څنګه د Linux وتل وتړو تر څو چې VPN ولوېد، هېڅ ونه بهېږي

د کورنۍ کرښې پر سر یو مېډیا بکس تصور کړئ چې باید انټرنېټ ته یوازې د تونل له لارې ورسېږي. کله چې تونل ولويږي، اپلیکیشن باید ودرېږي نه دا چې په خاموشۍ د فزیکي انټرفېس له لارې دوام وکړي. د دې چلند ترلاسه کول د فایر وال ستونزه ده نه د لارښوونې، او دا توپیر مهم دی ځکه چې لار د ډیمون له بیا پیل سره بدلېدلی شي، خو فلټر هغه ځای پاتې کېږي چې تاسو ایښی وي. په دې لیکنه کې ګورو چې د بنډل لار په رښتیا څنګه پرېکړه کوي، او بیا څنګه هغه استثناوې محدودې کړو چې تونل بیا نښلوي.

سیمه ییز وتل د لېږد له بلې کړکۍ څخه توپیر لري

هغه بنډل چې په ماشین کې له یو اپلیکیشن وځي د وتلو کړکۍ څخه تېرېږي؛ هغه بنډل چې ماشین د بل هوسټ لپاره لارښوونه کوي د لېږد څخه تېرېږي. هغه تګلاره چې یوازې forward یادوي دویم محدودوي او لومړی پراخه پرانیستی پرېږدي، له همدې کبله ډېری د وتلو تړونونه سم ښکاري او هېڅ نه کوي. د انټرفېس سمون هم په همدې قاعده کې دی: oifname "tun0" accept هغه ترافیک تېروي چې مخکې له تونل لارښوونې شوی. لارښوونه او فلټرول هم جلا پرېکړې پاتې کېږي، نو پورتنی لار کېدای شي موجوده وي پداسې حال کې چې فلټر بنډل ردوي. تاسو پر همدې جلاوالي تکیه لرئ.

هغه ګېټ وې چې د نورو وسایلو لپاره لېږد کوي دواړه کړکۍ ته اړتیا لري. یوازې وتل تړل ماشین پخپله ساتي او هر لاندې پیرودونکی ازاد پرېږدي چې وبهېږي.

د استثناوو لړلیک له پای ټکي بهر ولیکئ

له تونل پای ټکي پیل وکړئ: یو هدف پته یا کوچنی تصویب شوی ټولګه، د انتقال پروتوکول او د هدف پورټ، د بېلګې په توګه udp dport 1194 ip daddr 203.0.113.7 accept. که پیرودونکی د هوسټ نوم حل کوي، نو لومړنۍ DNS تبادله خپله قاعده غواړي چې د حل کوونکي او پورټ 53 پورې محدوده وي، نه د هغه حل کوونکي پتې ته پراخه اجازه. هر استثنا باید هغه دلیل ونوموي چې ولې شته. د VPN پورټ ته د ټول UDP ترافیک اجازه له هغه یو تصدیق شوي خدمت څخه ډېر څه پوښي چې تاسو په فکر کې درلودل.

لومړنی حل هغه ځای دی چې تړونونه معمولاً خرابېږي. هغه پتې ټولګه چې د وخت سنج له مخې نوی کېږي، اړتیا لري چې د نوي کولو په ناکامۍ کې ټاکل شوی چلند ولري، او دا چلند نشي کولی تر بریالیتوب پورې کرښه پرانیزي. تر هغه چې تونل ولاړ دی د تونل له لارې نوی کړئ، او که نه نو وروستي پېژندل شوي روغ پای ټکي ته وګرځئ.

سیمه ییزه اداره هم همدا چلند غواړي. د ادارې فرعي شبکه یوازې د دې لپاره باوري نه ده چې پتې یې شخصي دي، او هغه قاعده چې پرې باور کوي د تړون شاوخوا دویمه لار رابولي.

د انټرفېس سمون د روغ تونل ثبوت نه دی

هغه قواعد چې له tun0 څخه وتونکی هر څه مني فرض کوي چې په هغه انټرفېس بنډل له تونل راغلی. د انټرفېس نومونه بیا جوړېږي، او نوم کریپټوګرافیک هویت نه دی. سیال کېدای شي تللی وي پداسې حال کې چې انټرفېس ولاړ پاتې کېږي، چې قاعده ډېره باوري بې اغېزې کوي.

د اړیکو تعقیب اړونده دام زیاتوي. د جوړو شوو اړیکو پراخه قاعده هغه اجازه بیا غږوي چې یو بهیر مخکې ترلاسه کړې وه، نو هغه ناسته چې د تونل له لوېدو مخکې پیل شوې وه وروسته هم دوام کوي. د حالت پر بنسټ مننه یوازې هغو انټرفېسونو او پتو پورې محدوده کړئ چې واقعاً یې په فکر کې لرئ، که نه نو تاسو داسې تړون جوړ کړی چې ځان پرانیزي. د ننوتلو او وتلو قواعد هم بېلې پوښتنې ځوابوي، او یو یې کلکول پداسې حال کې چې بل له پامه غورځوئ ماشین هغه لوري ته رسېدونکی پرېږدي چې تاسو فکر نه دی کړی.

د ډیمون له نړېدو څه ژوندي پاتې کېږي

هغه فلټر چې د تونل له پورته کېدو وروسته د یوه سکریپټ له خوا نصبېږي، د تونل سره یوځای ورکېږي، په هماغه شېبه کې چې ورته اړتیا وه. تړون د بوت پر مهال بار کړئ او ډیمون ته پرېږدئ چې یوازې خپلې استثناوې سمبال کړي.

د پخوانۍ لار ړنګول هم بدیل نه دی. لار هغه حالت دی چې ډیمون یې خاوند دی او بیا یې لیکي، او د هغې لرې کول کېدای شي هغه لار واخلي چې بیا نښلولو ته اړتیا ده. IPv6 خپل پلان غواړي، ځکه چې د ګاونډیو موندنه او د لارښوونکي اعلانونه د تړنې خدمتونه دي چې باید کار وکړي پداسې حال کې چې عادي ترافیک بند دی. DHCP هم په همدې کټګورۍ کې دی. دا د هدف لرونکو استثناوو په توګه ولیکئ، نه دا چې وروسته یې د خنډونو په توګه ومومئ.

له ځای پرځای کولو مخکې د بیا رغونې لار

تړون هغسې وازموئ چې ناکامېږي: پرته له تونل بوت، ډیمون ووژل، پای ټکی بدلول او بیا نښلول. هر حالت باید اپلیکیشنونه ودرولي او د بیا رغونې چینل کار کوونکی پرېږدي. دا له کنسول څخه وکړئ، ځکه چې لرې شل هغه ناسته ده چې ستاسو د خپلې قاعدې له مخې تر ټولو ډېره تړل کېدای شي.

بیا وګورئ چې یو عادي اپلیکیشن لا هم چېرته رسېدلی شي، د بې ضرره هدف او د تایید وړ غوښتنې سره. هغه پایله چې غواړئ د کرښې پر سر رد او د تونل له لارې بریا ده، نه یو مبهم وخت تېرېدل چې دواړه معنا کېدای شي. د قواعدو ټولګه د فایر وال د نورو برخو د هماغه خاوند تر لاس لاندې وساتئ، نه دا چې ټول جدول د شل سکریپټ څخه بدل کړئ. هغه تګلاره چې هر اجازه پکې ځان توجیه کولی شي، له هغه اوږد قواعدو ټولګې څخه ډېره ارزښتمنه ده چې هیچا نشي توضیح کولی.