د libvirt مېلمه DNS سمول چې د نښې پر بنسټ VPN فایر وال یې بندوي

په تلواليز libvirt شبکه کې مېلمانه نومونه په بشپړه توګه حلوي، تر هغه چې د WireGuard انټرفیس پورته شي، او بیا هر لټون په هماغه ځای کې ودرېږي۔ dnsmasq لا هم 192.168.122.1:53 باندې اورېدل کوي، مېلمه لا هم هغه پته د خپل حل کوونکي په توګه لري، او پوښتنه لا هم رسېږي۔ هغه څه چې بدل شوي دا دي چې د کوربه خپله پورتنۍ پوښتنه، یا هغې ته ځواب، اوس هغې قاعدې لخوا غورځول کېږي چې د هر هغه فلټر زنځیر څخه مخکې ارزول کېږي چې ته به یې سمول غواړې۔ د وتلو لار دا ده په کافي وخت کې لګول شوې نښه، په هغه اړیکه کې چې ځواب یې په میراث وړي۔

مېلمانه هغه ساه چې تونل پورته شي DNS له لاسه ورکوي

له هر څه بدلولو مخکې بڼه تایید کړه۔ تونل کوز کړه، dig @192.168.122.1 example.com له یوه مېلمه څخه چلوه او وګوره چې ځواب ورکوي۔ تونل پورته کړه، تکرار یې کړه، او وګوره چې وخت تېرېږي۔ دا دوه پایلې په یوه ګام کې خرابه libvirt شبکه، ناسمه حل کوونکې پته او مړ dnsmasq ردوي۔

بیا د کوربه اړخ ته وګوره۔ که dnsmasq پوښتنه او د هغې پورتنۍ لېږد ثبت کړي، نو پیکیج رسېدلی او ناکامي په وتلو کې ده۔ که dnsmasq هیڅ ثبت نه کړي، نو د مېلمه پوښتنه په ننوتلو کې غورځول کېږي او استثنا باید په بله هک وي نه هغه چې دا مقاله نښه کوي۔

ولې په وروستي زنځیر کې accept قاعده هیڅکله نه ځي

د نښې پر بنسټ VPN فایر وال ستاسو د سرچینې پتې ته نه، بلکې د پیکیج نښې یا د اړیکې نښې ته کتلو سره فیصله کوي۔ هر څه چې فزیکي انټرفیس ته پرته له تمه شوې نښې ورسیږي رد کېږي، او هغه ردول په هغه قاعدو ټولګه کې کېږي چې د نښې ازموینه لري۔ ip saddr 192.168.122.0/24 accept کرښه چې کوم وروستي زنځیر ته ورزیاته شي، د هغه پیکیج لپاره هیڅکله نه کتل کېږي، نو ځکه ښکاره قاعده سمه ښکاري او هیڅ نه بدلوي۔

ترلاسه چې یو څه کار وکړي پراخول یې دوهمه وژنه ده۔ د کوربه په input لار کې ټول libvirt سبنيټ منل هر کوربه خدمت مېلمنو ته پرانیزي، په داسې حال کې چې ریښتینې اړتیا یوازې یوه بندر ده۔

هغه میکانیزم چې تنګ استثنا ممکنوي د اړیکو تعقیب دی۔ کله چې ته په پیکیج ct mark ولګوې، ارزښت په conntrack ننوتنه کې ساتل کېږي نه یوازې په پیکیج، نو هره پیغامه چې په هغه اړیکه کې وي وروسته یې وړي، په شمول د کوربه څخه مېلمه ته د بېرته ځواب۔ دا ټوله چال دی: غوښتنه یو ځل نښه کړه، او د بېرته راتلو لار دمخه نښه شوې ده۔

پوښتنه مخکې له دې چې VPN جدول یې وویني نښه کړه

استثنا په خپل جلا جدول کې کېږده تر څو وروستی لوستونکی یې پرته له VPN قاعدو تحلیل کولو ومومي:

table inet allowedLocal {
  chain guest_dns {
    type filter hook input priority mangle; policy accept;
    ip saddr 192.168.122.0/24 meta l4proto { tcp, udp } \
      th dport 53 ct mark set 0x00000f41
  }
}

priority mangle منفي دی، چې دا زنځیر د هغو عادي فلټر زنځیرونو څخه مخکې ږدي چې VPN بسته یې په صفر لومړیتوب لګوي۔ د هک ترتیب هغه څه دی چې قاعده اغېزمنه کوي؛ هماغه قاعده په هغه زنځیر کې چې له VPN زنځیر وروسته راځي یوازې سینګار دی۔

د نښې شمېره پخپله د هر ځای نه ده۔ هغه ارزښت واخله چې لګول شوې VPN قاعدې د خپل ترافیک لپاره مني، له ژوندې قاعدو ټولګې یې ولوله، او هماغه وکاروه۔ ناسمه نښه هغه قاعده جوړوي چې پاکه بارېږي، له هرې پوښتنې سره سمون خوري او هیڅ نه دننه باسي۔

سوری د 53 بندر په پراخوالي وساته

لکه څنګه چې لیکل شوې، دا له libvirt سبنيټ څخه کوربه ته د TCP یا UDP پر 53 بندر DNS اجازه ورکوي او نور هیڅ نه۔ دا مېلمنو ته اجازه نه ورکوي چې له تونل بهر انټرنېټ ته ورسیږي، او کوربه ته اجازه نه ورکوي چې مېلمنو ته اړیکې پرانیزي۔ که یو مېلمه وروسته بل کوربه خدمت ته اړتیا ولري، دا قاعده نرمه کړي نه، بلکې هغه مقصد بندر نوموونکې جلا قاعده ورزیاته کړه۔

په دې اړه رښتیني اوسه چې څه تبادله کوې۔ هغه مېلمه چې حل کوونکي ته رسېدلی شي کولای شي د DNS پوښتنو له لارې خپل خوښې ډاټا هم تونل کړي، او دا استثنا په VPN پوله کې په قصد جوړ شوی سوری دی نه د دې بیان چې سیمه ییزه شبکه باوري ده۔ سرچینه یوازې 192.168.122.0/24 ته محدوده کول هغه سوری له هر بل سیمه ییز سبنيټ څخه لرې ساتي، او که ګواښ ستا لپاره مهم وي، په هغه سرچینه پوښتنې شمېرل ارزانه دي۔

دې ته د بیا پیل وروسته هم دوام ورکړه او دواړه نیمې برخې ثابتې کړه

هغه قاعده چې په شل پرومپټ کې ټایپ شي په راتلونکي بوت کې ورکېږي، او هغه قاعده چې د VPN انټرفیس له مخکې تیریدو وروسته بار شي په لومړنۍ اړیکه کې سیالۍ ته ماتې خوري۔ جدول د کوربه په تلپاتې nftables ترتیباتو کې کېږده، یا په هغه واحد کې چې د VPN خدمت څخه مخکې ترتیب شوی، او ترتیب وګوره نه یې چې فرض کړې۔

تایید درې جلا ځوابونه غواړي۔ تایید کړه چې زنځیر بار شوی او لومړی ترتیب شوی، تایید کړه چې conntrack ننوتنه نښه په دواړو لورو ښیي، او تایید کړه چې د مېلمه لټون پته بېرته ورکوي۔ بیا بله نیمه برخه تایید کړه: د مېلمه عادي ویب ترافیک عامه کوربه ته تر هغه چې تونل کوز وي یا بندوي لا هم ناکامېږي۔ که DNS کار وکړ او نور هر څه وځي، ستا قاعده له پورتني څخه پراخه ده۔

که لټونونه لا هم ناکام شي وروسته له دې چې نښه ځای پر ځای شوه، د سرچینې پراخولو هوس مهار کړه۔ وګوره dnsmasq چېرته لېږدوي، د مېلمه حل کوونکی 192.168.122.1 ته اشاره کوي که هغه عامه پتې ته چې چا ټایپ کړې، او پوښتنه کوربه ته رسېږي که نه۔ نښه کول پیکیج دننه باسي او نور هیڅ نه، نو خرابه پورتنۍ لار یا ماته مجازي شبکه هر څومره قاعدې هم ورزیاتې کړې، ماته پاتې کېږي۔