په نوي VPN وتلن کې نوي اړیکې، زاړه جریانونه هماغسې پاتې کیږي

پلان شوی وچول یوازې ناډلبندي شوي جریانونه لېږدوي. دا د لارې د بدلون سره پرتله کړئ، او هغه نښې، جدولونه او conntrack حالت وګورئ چې دا ساتي.

دوه روغې VPN وتنې، یو اوږد اپلوډ چې مخکې روان دی، او دا غوښتنه چې راتلونکې اړیکه بله تونل وکاروي. د دې پوره کولو دوه لارې شته، او یوازې یوه یې په ژوندي ګیټوې کې خوندي ده. د تلواليزې لارې بدلول هر پاکټ لېږدوي، هغه هم چې اپلوډ ته اړه لري. پلان شوی وچول د نویو اړیکو لپاره انتخاب بدلوي او تعقیب شوي جریانونه په هغه لار کې پرېږدي چې پیل شوي وو.

د وتنې د بدلولو دوه لارې

د لارې بدلون یو حکم دی او په ثانیو کې بیرته راګرځېدای شي، له همدې امله د پېښو پر مهال کارول کیږي. دا هم بې توپیره ده: د موجود اپلوډ پاکټونه ناڅاپه بله تونل ته وځي، په بېل عامه سرچینې پتې او جلا ژباړې حالت سره.

که لرې پای جریانونه د سرچینې پتې له مخې تعقیب کړي، اپلوډ ممکن په ساده توګه پېژندل کېدل بند کړي. وچول له دې څخه په هرې اړیکې لپاره یو ځل پرېکړه کولو او هغې ته د ساتلو له لارې ځان ساتي، نو زوړ اپلوډ تر پایه خپله وتنه ساتي. دا د دې تمرین ټوله ارزښت دی: لرې پای هېڅ داسې بدلون نه ویني چې باید تفسیر یې کړي. دا هغه پاکټونه ترلاسه کوي چې د هغې اړیکې سره سمون لري چې دمخه یې پېژني.

بیه پیچلتیا ده: دوه د لارښوونې جدولونه، یو ډلبندي کوونکی چې په سم کنډک کې ګرځي، او هغه نښې چې باید له ماشین پر هر بل شي سره همغږي شي چې هغه یې کاروي.

هرې وتنې ته خپل جدول ورکړئ

د هرې وتنې لپاره یو د لارښوونې جدول او د دوو انتخابونو لپاره بېلې نښې ارزښتونه یا بټونه ځانګړي کړئ. هر جدول ته د خپل رول سره سمې لارې غواړي، نه یوازې نوم، او ورک شوي حالت لپاره ارادي د ناکامۍ پایله غواړي. خالي جدول چې په چوپتیا اصلي جدول ته لوېږي — ترافیک په همدې توګه له هغې وتنې وځي چې چا نه ده غوره کړې.

ip rule add fwmark 0x10/0x10 table 101
ip rule add fwmark 0x20/0x20 table 102
ip route add default via 192.0.2.1 dev wg-a table 101
ip route add default via 198.51.100.1 dev wg-b table 102

د هر جدول په پای کې blackhole لاره ورزیاته کړئ، تر څو بې سمون لټون ستاسو نه غوره شوي تلواليز ته د تېښتې پر ځای په لوړ غږ ناکام شي.

یو ځل غوره کړئ، په لومړي پاکټ کې

د اړیکو تعقیب له رامنځته کېدو وروسته او د مهم لټون مخکې ډلبندي وکړئ. نوي، ناډلبندي شوي LAN اړیکې لپاره وتنه غوره کړئ او د اړیکې په حالت کې یې وساتئ. په وروستیو پاکټونو کې، ساتل شوی ارزښت په هغه پاکټ نښه کې بیرته راوړئ چې د پالیسۍ لارښوونه یې لولي.

نازکه برخه دا ده چې نوی څه معنا لري. Conntrack لا هم کولی شي د لومړنیو پاکټونو او بیا لېږنې لپاره NEW راپور کړي تر څو ځواب ونه لیدل شي، نو یوازې پر همدې حالت تکیه کوونکی ډلبندي کوونکی کولی شي هغه انتخاب چې مخکې یې کړی له منځه یوسي. د یوې ټاکلو مخکې وګورئ چې د اړیکې لپاره هېڅ وتنه نه ده ساتل شوې.

nftables د پاکټ او اړیکې نښې جلا ساتي، او د میټا معلوماتو لارښود د دوی ترمنځ روښانه کاپي مستندوي. د اړیکې نښه په خپله هغه پاکټ نښه نه کیږي چې ستاسو قاعده ورسره سمون لري، او دا هغه تر ټولو عام دلیل دی چې په احتیاط لیکل شوی ډلبندي کوونکی هېڅ اغېزه نه لري.

بیا راګرځونه هغه لوري او ترافیک ته محدوده کړئ چې تاسو یې په فکر کې یاست. پر راستنېدونکو پاکټونو د انټرنیټ-وتنې نښه پلي کول کولی شي ځوابونه LAN ته د تللو پر ځای وتنې ته ولېږي، او نښه یوه لوري اړیکه ده چې د اورېدونکي دیوال ستونزه ښکاري. د اورېدونکي دیوال قاعدې ته له لاس وروړلو مخکې د ځواب لاره ولولئ، ځکه پاکټ لارښوونه کیږي، یوازې لېږونکي ته بیرته نه ګرځي.

د وچولو څلور پړاوونه

  1. B پرته له دې چې A ته لاس ووړئ چمتو کړئ: لارښوونه، لېږد، اجازه، NAT او د بیرته ګرځېدو لاره. د ګیټوې د موجود تنظیم مالک له لارې د هغې جدول او د انتخاب پالیسي نصب کړئ.

  2. ډلبندي کوونکی بدل کړئ تر څو نوي، ناډلبندي شوي اړیکې B غوره کړي، او ساتل شوي انتخابونه وساتل شي. اټومي nftables معامله له هغې کړکۍ څخه ځان ساتي چې پکې زوړ حالت باید پاک شي.

  3. A پرانیستی وساتئ تر څو یې جریانونه پای ته ورسیږي. د هغې انټرفېس، جدول، لرې وتنه او NAT نقشې لا هم د هغو جریانونو برخه ده، او د NAT قاعدې سمول له مخکې موجود تړاوونه بیا نه جوړوي.

  4. کله چې د وچولو شرط پوره شو A له کاره وباسئ، دا د یوې چوپې وقفې پر ځای د اړیکو حالت او د اپلیکیشن چلند له مخې ارزول کیږي.

وچول څه ژمنه نه شي کولی

د براوزر غوښتنه نوې ترانسپورټي اړیکه نه ده؛ ټولول غوښتنې په زاړه باندې لېږي. پر عکس، د UDP جریان کولی شي له conntrack څخه زوړ شي او وروستی پاکټ له سره ډلبندي شي. وچول تعقیب شوي جریانونه تعقیبوي، نه د اپلیکیشن د غونډې تصور.

که A د خپلو جریانونو له پای ته رسېدو مخکې ناکام شي، ساتل شوې نښه هغوی نه ژغوري. هغوی د B له لارې بیا نښلوي، یا هېڅکله نه نښلوي. پلان شوی وچول تر هغې دوام اخلي چې اصلي لاره روغه وي؛ دا د خپلواکو وتنو ترمنځ د حالت کاپي نه ده.

دواړه نیمګړې برخې وګورئ

له بدلون مخکې اوږد اجازه ورکړل شوی اړیکه او وروسته واقعاً نوې پیل کړئ. تایید کړئ چې هر یو کومه تونل کاروي او لرې پای کومه عامه سرچینه پته ویني، بیا وګورئ چې د بیرته راستنېدو ترافیک بیرته راځي.

د نوي انتخاب د ښکارېدو لپاره conntrack جدول خالي مه کوئ. دا هغه حالت له منځه وړي چې وچول یې باید وساتي، او کنټرول شوی لېږد په یوه د پاکې ښکارېدونکې ازموینې سره په خنډ بدلوي.

اړوندې مقالې