tun0 نشته؟ په nftables کې ډيکرپټ شوی IPsec د meta ipsec سره سم کړئ

تاسو د ټونل انټرفېس انتظار کوئ، هغه لټوئ، او په اورېدونکي دیوال کې د سمون لپاره څه نشته۔ دا د تګلارې پر بنسټ ګیټوې لپاره نورمال دي: کوډ شوی تبادله په فزیکي انټرفېس راځي، او بیا وړاندې لېږل شوی ډيکرپټ شوی داخلي پاکېټ هم په همدې انټرفېس راځي۔ tun0 نشته، ځکه چې هیڅ شي هغه نه دی جوړ کړی۔

داخلي غوښتنه لا تر اوسه خپل سرچینه، منزل او خدمت لرونکی جلا پاکېټ دی، او کرنل پوهېږي چې له کوم امنیتي ټولګي راووتی۔ همدا پوهه یو د اورېدونکي دیوال قاعده سمولای شي۔

دوه پاکېټه، یو انټرفېس

د راتلو لوري تصور وکړئ۔ په ESP یا UDP کې نغښتی پاکېټ راځي، کرنل سمه تګلاره پیدا کوي، ډيکرپټ یې کوي او روښانه پاکېټ د وړاندې لېږلو لارې ته ورکوي۔ یوازې د انټرفېس نوم ته کتونکې قاعده هغه پاکېټ له هماغې تارې راتلونکي بل هر ټرافیک څخه نه شي بېلولای۔

هغه بېلوي یې پاکېټ ته نښلول شوی د راتلو امنیتي لارې زمینه۔ nftables هغه د meta ipsec exists په توګه ښکاره کوي، چې کله پاکېټ د IPsec امنیتي لارې له مخې راغلی وي ریښتیا وي۔ هغه د کلاينټ حوض، منزل او خدمت سره یوځای کړئ، قاعده به دومره ځانګړې شي چې خوندي وي۔

زمینه پرېښودل عامه تېروتنه ده، او دا د ښکلا نه، د امنیت تېروتنه ده۔ هغه قاعده چې د کلاينټ حوض هر څه مني، له سیمه ییزې شبکې راغلی جعلي پاکېټ هم په همدې خوښۍ مني، ځکه چې د سرچینې پته په خپله د هیچا ثبوت نه دی۔ د امنیت لارې زمینه د سرچینې د معنی ورکولو تر ټولو ارزانه لاره ده۔ قاعده له سره همدغه سره ولیکئ، نه دا چې له پلټنې وروسته یې اضافه کړئ۔

د وړاندې لېږلو قاعده ولیکئ

فرض وکړئ چې په 10.90.0.0/24 کې کلاينټ لرونکی تصدیق شوی IPv4 لرې لاسرسي خدمت او په 203.0.113.40 کې یو منظورشوی منزل شته۔ د هغه بهیر لپاره د قاعدې ټوټه داسې ښکاري۔

meta ipsec exists ip saddr 10.90.0.0/24 \
  ip daddr 203.0.113.40 tcp dport 443 \
  oifname "eth0" counter accept

پتې او انټرفېس د بدلولو بېلګې دي۔ بیاکتل شوی معادل په وړاندې لېږلو تګلاره کې د هغې قاعدې مخکې کېږدئ چې که نه وي بهیر ردوی، او د نصبولو لپاره موجوده قاعده ټولګه خالي مه کوئ؛ ګیټوې د پاکې خونې تجربه نه ده۔

oifname اصطلاح د ساتلو وړ ده۔ دا د وتلو پریکړه ثبتوي او قاعده د هغه لوري په سمون کې له خنډ کوي چې تاسو یې اراده نه لرله، او دا په داسې ګیټوې کې مهم دی چې انټرنیټ ته څو لارې لري۔ په یوه اپلینک لرونکي ازموینې بکس کې اصطلاح اضافي ښکاري، او همدا لامل دی چې بکس ته د دوهم اپلینک له رسېدو مخکې لرې کېږي۔

د باندې تبادلې اجازې جلا دي۔ د ګیټوې د ننوتلو لارې ته هغه IKE او ESP یا UDP نغښت پورټونه ورته دي چې هغه واقعاً کاروي، او هغه اجازې د دننه ډيکرپټ شوي پاکېټ په اړه هیڅ هم نه اجازه کوي۔ دواړه ګډول هغه لاره ده چې کارکوونکی ټونل هر څه وړاندې لېږونکي اورېدونکي دیوال سره پای ته رسوي۔

راتلو زمینه د وتلو زمینه نه ده

هماغه د عبارتونو کورنۍ بله لوري د rt ipsec سره پوښي، چې هغه وتلو امنیتي ټولګه بیانوي چې پاکېټ به یې کاروي۔ دا بل پوښتنې ته ځواب ورکوي: نه دا چې دا پاکېټ له کومه راغی، بلکې دا چې په راتلونکې برخه کې به ژغورل شوی وي که نه۔

دا توپیر په داسې ګیټوې کې مهم دی چې یو ټونل پای ته رسوي او په بل کې وړاندې لېږي۔ پاکېټ کېدای شي ډيکرپټ راشي او بیا هم باید کوډ شوی ووځي، او یوازې د راتلو زمینې لپاره لیکل شوې منښت د وتلو شرط په اړه هیڅ نه وايي۔ که تګلاره هغه ساتنه غواړي، د قاعده ټولګه باید هغه بیان کړي، نه دا چې فرض کړي لارښود به یې سمبالوي۔

دواړه پوښتنې په جلا قاعدو کې وساتئ، لوستونکی وویني چې کومه پلي کېږي۔ یوه هوښیاره قاعده چې دواړه ګوري بیاکتنه یې سختې ده او کله چې نیمه برخه یې سمون بند کړي، سمول یې ډېر سخت دي۔ د شمېرونکو لرونکې دوه قاعدې دا هم وایي چې کوم شرط ناکامېږي، چې یوه یوځای شوې قاعده به هیڅکله ونه کړي۔

NAT د اورېدونکي دیوال پریکړه نه ده

له شخصي کلاينټ حوض څخه انټرنیټ ته تلونکي ټرافیک عموماً سرچینې ژباړې ته اړتیا لري تر څو ځواب د بېرته تګ لاره ومومي۔ خو هغه ټرافیک چې د بلې وتلو IPsec تګلارې لپاره غوره شوی، باید خپله اړینه معافیت وساتي، او هر شخصي سرچینه پټول پرته له دې چې د راتلونکې ساتنې پریکړې فکر وکړي، هغه ماتوي۔

د NAT ځنځیر دننه منښت هم عمومي اجازه نه ده۔ NAT او فلټر کول بېل کارونه لري، او د NAT ځنځیر د ټینګ شوي بهیر هر وروستی پاکېټ نه ګوري، او همدا لامل دی چې د امنیت لپاره پر هغه تکیه کول داسې قاعدې پیدا کوي چې په ازموینه کې کارکوونکې ښکاري او تر بار لاندې ناکامېږي۔

برعکس هم ریښتیا ده او خلک حیرانوي: په یوه بنسټیز فلټر ځنځیر کې چېرته منښت په بل تطبیق وړ ځنځیر کې د وروستي رد پر وړاندې هیڅ وزن نه لري۔ پایله ترتیب او د ځنځیر پراخوالی ټاکي، نه په فایل کې د منښت شتون۔

دقیق داخلي خدمت تایید کړئ

هغه ځانګړی منزل او پورټ چې تاسو اجازه ورکړې، له ریښتیني کلاينټ څخه وآزمویاست او تایید کړئ چې ځواب بېرته راځي۔ بیا هغه څه وآزمویاست چې اجازه یې نه ده ورکړې او وګورئ چې نه تېرېږي، ځکه چې ډېره پراخه قاعده هم لومړنۍ ازموینه د سمې قاعدې په څېر ښه تېروي۔ هغه غوښتنه چې هیڅکله له کلاينټ نه وځي هغه هم د اورېدونکي دیوال پایله نه ده، نو شمېرونکي ولولئ تر څو وګورئ پاکېټ اصلاً ارزول شوی که نه۔ دوه ازموینې او یو شمېرونکی لوستل به تاسو ته له یوې بشپړې ماسپښینې د قاعده ټولګې له لوستلو ډېر څه ووایي۔

د nftables مرجع meta ipsec، rt ipsec او د لوري ځانګړي عبارتونه ثبتوي، او ستاسو د نصب شوي نسخې سره د نحو کتلو ځای هماغه دی۔ او پراخوالی روښانه وساتئ: دا د IPv4 بېلګه ده، د IPv6 په اړه هیڅ نه وایي، او د عامه پورټونو خپل سري لېږل د VPN خدمت برخه نه جوړوي۔