د Linux VPN ځوابونه ورکېږي؟ rp_filter او لار وګورئ

غوښتنې ماشین پرېږدي، د VPN همکار ځواب ورکوي، او ځواب هېڅکله ساکټ ته نه رسېږي۔ ټنل پورته دی، د همکار ثبتونه پاکټ لېږل کېدو ته اشاره کوي، او په اپلیکیشن کې هېڅ شی دا غلظت نه تشرېح کوي۔ په Linux کې یو له معمولو شکمنو څخه د بېرته لارې فلټرول دي: راتلونکی IPv4 پاکټ کولی شي رد شي کله چې د سرچینې تصدیق هغې لارې سره برابر نه وي چې کرنل د هغې سرچینې لپاره تمه لري۔ د هغې په ترتیب تعقیبول درته وایي چې دا لامل دی که ناڅاپي۔ دا هم له دې منع کوي چې د ورکې لارې د سمولو لپاره امنیتي کنټرول بند کړئ۔

د سرچینې تصدیق څه فیصله کوي

کرنل ګوري چې د پاکټ سرچینه پته هغه انټرفېس لپاره د باور وړ ده چې پاکټ ورڅخه راغی، د راؤټینګ جدول کې د هغې سرچینې ته د بېرته لارې پلټنې له لارې۔ که بېرته لاره بل ځای ته اشاره وکړي، پاکټ کولی شي د اوبو دېوال د کوم قانون یا د اپلیکیشن ساکټ له لیدو دمخه وغورځول شي۔ دا ګڼنه د دې لپاره ده چې ځینې جعلي کېدونکې بڼې سختې کړي، او همدا لامل دی چې نامساوي او د تګلارې له مخې راؤټ شوي ډیزاینونه ورسره ټکر کوي، پداسې حال کې چې په همدې شبکه کې هر عادي کلاینټ ښه کار کوي۔ عادي کلاینټونه مساوي راؤټینګ لري، او ګڼنه همدا فرض کوي۔

مهمه کلمه د باور وړ ده۔ پاکټ کولی شي په بشپړ ډول قانوني وي او بیا هم په ګڼنه کې پاتې راشي، ځکه چې قانونیت نه ازمویل کېږي۔

ریښتینی حالت ولولئ، یوه ډګر نه

درې حالتونه شته: غیر فعال، سخت او نرم۔ سخت له نرم څخه بېله د لارې تمه لګوي، او نړیوال تنظیم د هر انټرفېس له تنظیمونو سره تعامل کوي، نو یو فایل لوستل کولی شي هغه څه غلط تشرېح کړي چې واقعاً نافذ دي۔ دواړه ولولئ، او هغوی په هغه انټرفېس ولولئ چې ځواب ترلاسه کوي، نه په تلواله لارې انټرفېس۔

sysctl net.ipv4.conf.all.rp_filter
sysctl net.ipv4.conf.<iface>.rp_filter
ip route get <source-of-the-reply>

په درېیمه لیکنه کې د لارې پلټنه هغه برخه ده چې خلک یې پرېږدي۔ دا درته وایي چې کرنل د سرچینې په اړه څه فکر کوي، او دا همدا د ګڼنې ننوتنه ده۔

د ګڼنې د بدلولو مخکې ناهمغږي ومومئ

ومومئ چې ځواب ولې په هغه انټرفېس راځي او ایا د هغې بېرته لاره باید بېله وي۔ هغه تګلاره قاعده چې غوښتنې د یوې لارې له مخې باسي او ځوابونه د بلې له مخې بېرته راولي، قانوني ډیزاین دی، او سخت تصدیق همدا ډیزاین ردوي۔ هغه نښې چې په تګلارې راؤټینګ کې کارول کېږي دلته هم مهمې کېدای شي، ځکه چې د بېرته پلټنې پایله بدلوي۔

که بېرته لاره یوازې ورکه وي، نو زیاتول یې لامل سموني پرځای د ګڼنې بندولو۔ ورکه لاره، د اوبو دېوال رد او غلط ترافیک ټاکونکی ټول یو شان ښکارېدونکی نښه جوړوي، او یوازې یو له هغوی د سرچینې تصدیق په اړه دی۔

د لومړي غبرګون په توګه د سرچینې ګڼنې نړیوال بند مه کوئ۔ دا یو ځانګړی تشخیص په پراخه چلند بدلون بدلوي چې وروسته به یې یادول دې ته اړ شئ۔

یو ټاکل شوی سمون چې د هغې دفاع کولی شئ

که واقعاً نری سمون اړین وي، هغه یوازې هغه انټرفېس ته محدود کړئ چې ورته اړتیا لري، ولیکئ چې ولې، او هغه په هغه تنظیماتو کې کېږدئ چې د هغه انټرفېس مالکیت لري ترڅو بیا پیلېدو ته دوام وکړي۔ بیا هغه سمه بهیر چې پاتې راغلی و بیا وآزمویئ، له هماغې سرچینې هماغې منزل ته، نه د یوې آسانې شي ته ping۔

هغه پېښه شامله کړئ چې باید لا هم رد شي۔ که هغه پېښه اوس بریالۍ شي، سمون له هغې یوې لارې څخه ډېر کمزوری کړ چې غوښتل یې سمه کړئ۔

IPv4 او IPv6 جلا وساتئ

پېژندل شوی ښکارېدونکی sysctl د هرې پتې کورنۍ لپاره تګلاره نه ده۔ IPv6 خپل چلند او خپل تنظیمات لري، او یو ماشین کولی شي په یوه کورنۍ کې سخت او په بله کې نرم وي، ترڅو چې یو ځانګړی منزل ونه ناکام شي چا نه پوهېږي۔ که کاري بار دواړه کاروي، دواړه وګورئ۔

حالت، انټرفېس، د لارې پلټنې پایله او د بدلون لامل په یو ځای ثبت کړئ۔ بل کس تنظیم مومي او هېڅ تشرېح نه، او یا یې لرې کوي یا یې هغه ځای ته کاپي کوي چې نه ورته ځي۔