په شریک کمپیوټر کې یوه VPN ننوتنه: لار بل څوک ترلاسه کوي؟
VPN ننوتنه یو کس تصدیقوي؛ هغه لار چې نصبوي یو بل حد دی. په شریک ماشین کې د ټول هوسټ، هر کاروونکي او هر اپلیکیشن تونلونه پرتله کړئ.
د کاري سټیشن شریکول یوه پوښتنه راپورته کوي چې یو کاروونکي لپ ټاپ ته یې ځواب ورکول هېڅکله نه راځي: کله چې یو کس تونل تصدیق کړ، بل څوک یې کارولی شي؟ ننوتنه یو موضوع پېژني، او هغه لار چې نصبوي یو حد بیانوي، او دا دواړه یو شی نه دي. د دوی ترمنځ عملیاتي سیستم، د کارخوا تنظیم او هغه څه دي چې خصوصي خدمت پخپله غواړي. د پلي کېدو نقطو پرتله کول پرته له اټکل څخه د ځواب ورکولو یوازینی لاره ده.
یوه ننوتنه، څو حدونه
تصدیق ځواب ورکوي چې څوک دننه شو. لار ځواب ورکوي چې کوم پاکټونه کولی شي د تونل له لارې ووځي. اجازه ځواب ورکوي چې کوم خدمت به د پایلې نښلون ومني، او له درېیو هیڅ یو بل ته اړ نه کوي.
د ټول هوسټ تونل عادي تلوالی دی، او تشه څرګنده کوي. لار د کرنل په جدول کې ده، نو هره هغه پروسه چې دا جدول کاروي کولی شي خصوصي شبکه ته ورسیږي، هغه هم چې د VPN ډیالوګ نه لیدونکي کاروونکي لخوا پیل شوې وي. دا د تونل نیمګړتیا نه ده؛ د سیستم-پراخه لار معنا همدا ده. خصوصي خدمت اوس هم کولی شي نښلون رد کړي، ځکه رسېدنه او اجازه جلا ځوابونه غواړي.
له ازموینې مخکې څلور پوښتنې لیکل د دې مخه نیسي چې بیاکتنه په یوه کې ورکړه شي.
پوله په حقیقت کې چېرته ده
څلور ترتیبات ډېری ماشینونه پوښي: د ټول هوسټ تونل، د هر کاروونکي نښلون، د هر اپلیکیشن اجازه لړلیک او جلا شبکه یی نوم ځای یا مجازي ماشین.
هر یو د پلي کېدو نقطه بل ځای کېږدي، او توپیرونه له نښو مهم دي. د هر کاروونکي نښلون د پروفایل اجازو له خوا پلي کېږي، نه د ډیسکټاپ د ننوتنې سکرین. د هر اپلیکیشن اجازه لړلیک د کارخوا په داخل کې پلي کېږي، چې پرېکړه کوي څه به یوړي. نوم ځای یا VM د انټرفیس په پوله پلي کوي، نو د داخل پروسه د هوسټ لار په بشپړه توګه نه شي لیدلی. په ماشین کې د ننوتنې سکرینونو شمېر د دوی له هیچا هم څه نه وایي.
| Arrangement | Enforced by | Who can use the path |
|---|---|---|
| Host-wide tunnel | The routing table | Any local process using that table |
| Per-user connection | Profile permission list | Only the listed accounts |
| Per-app allowlist | The VPN client itself | Only the selected applications |
| Namespace or VM | The interface boundary | Only processes inside it |
جدول په کرښه کرښه لوستل ښیي چې ریښتینې پوښتنه د دې نه ده چې جلاوالی شته که نه، بلکې دا ده چې چېرته پلي شوی دی.
د پلي کېدو څلور نقطې پرتله کړئ
په Linux کې لارو جدول لومړی څه دي چې باید وکتل شي، ځکه د ټول هوسټ تونل هلته ښکاري او نوم ځای نه. د دویم کاروونکي په توګه پلټنه چلول هغه ګام دی چې خلک یې پرېږدي؛ ځواب له هغه توپیر لري چې دوی پخپله ترلاسه کړی و، او همدا راپور تشریح کوي.
راتلونکې دوه کتنې پر سیاست ګوري نه پر لارښوونه. د UID سره سمون لرونکی د اور وژنې قاعده په سیمه ییز ډول تولید شوي ترافیک باندې تطبیق کېږي، نو کولی شي په یوه هوسټ کې دوه کاروونکي جلا کړي حتی کله چې دواړه لار شریکه کړي. د روښانه اجازو لړلیک سره نښلون پروفایل د فعالولو پر مهال د شبکې مدیر له خوا پلي کېږي. هیڅ کتنه تونل بدلولو ته اړتیا نه لري، ځکه له هرې بیاډیزاین مخکې یې کول ارزښت لري.
ip route get 10.40.2.10
sudo -u bob ip route get 10.40.2.10
nmcli connection show vpn-work | grep -i permission
sudo nft list ruleset | grep -n skuidکه دویمه پلټنه د تونل لار وښیي، پوله هغه ځای نه دی چې ډیزاین یې فرض کړی و.
د هممهاله غونډو قواعد جلا کنټرول دی
دروازې اکثراً محدودوي چې یو حساب څو غونډې ساتلی شي، او دا حد له سیمه ییزو کاروونکو سره هېڅ تړاو نه لري. دا حساب محدودوي، نو هغه دویم کس چې په همدې سندونو ننوځي کولی شي لومړي کس تونل پای ته ورسوي.
له دې مخکې چې سیمه ییز د جلاوالي ستونزه فرض کړئ، ناکامي ولولئ. د غونډې حد په دروازه کې پرېکون رامنځته کوي، پداسې حال کې چې د حد ستونزه یو کاري تونل رامنځته کوي چې یوازې د بل کاروونکي ترافیک نه وړي. دا دوه نښې په بشپړه توګه جلا سمونونو ته رسوي. د کارخوا دقیق پیغام وساتئ، ځکه معمولاً د قاعدې نوم اخلي. د حد له تېرېدو پرځای د پروفایل له مالک څخه تصویب شوی کاري بهیر وغواړئ.
مجازي ماشین هیڅوک له دې قاعدې نه معاف کوي، او خپل شبکه یی او سندیز ډیزاین ورزیاتوي.
هغه شرایط وآزمویئ چې تاسو ته مهم دي
په پام کې نیول شوی کاروونکی او اپلیکیشن وآزمویئ، بیا هغه شرایط چې باید رد شي. هغه بیاکتنه چې یوازې دا ثابتوي چې اصلي پټنوم کار کوي، تصدیق یې آزمویلي او نور هېڅ نه.
sudo -u bob curl -sS -m 5 https://intranet.internal/health
wg show
ss -tnp | grep -E ':443|:51820'د هرې پایلې ترڅنګ د پلي کېدو نقطه ولیکئ: د لارو جدول، UID قاعده، د پروفایل اجازه یا د دروازې د غونډو سیاست. هغه ریکارډ بل بدلون د بیاکتنې وړ کوي. همدارنګه د همدې پوښتنې بیا خلاصېدو مخه نیسي هرکله چې یو څوک دویم د ننوتنې سکرین وویني. رسېدنه اجازه نه ده، او له دواړو هیڅ یو جلاوالی نه دی.