ولې د OpenVPN د کړکۍ د بندولو قاعده هیڅکله FORWARD ته نه رسیږي

په یوه OpenVPN سرور کې دوه کړکۍ کولای شي یو بل ته ورسیږي، حتی که د هغوی د پول لپاره DROP قاعده اضافه کړې وي۔ قاعده په FORWARD ځنځیر کې ده، ترافیک په ښکاره توګه روان دی، او د هغې قاعدې شمارونکی پر صفر پاتې کیږي۔ طبیعي پایله دا ده چې فایر وال خراب دی۔ ډیری وختونه بسته ځنځیر ته هیڅ نه ده ننوتلې۔

دوه لارې شته چې یوه همکاره بسته د OpenVPN سرور له لارې تېرېدای شي، او هغه د تنظیماتو له خوا ټاکل کیږي، نه د فایر وال له خوا۔ پوهېدل چې کومه لاره کارول کیږي، تاسو ته وایي چې ایا د کوربه قاعده په سم ځای کې ده که نه۔

دوه لارې چې یوه همکاره بسته یې تېرېدای شي

کله چې د داخلي لیږد اختیار بند وي، د کړکۍ A بسته د تونل انټرفیس ته رسیږي او هدف یې د کړکۍ B د ټاکل شوي پتې دننه وي۔ د سرور د لارښوونې جدول هغه د همدې تونل انټرفیس له لارې بیرته لیږي، ځکه چې د B پتې ته لار د سرور ملکیت دی۔ دا د کوربه له لارې دننه-باندې روان جریان دی، او د IPv4 د لیږد لار يې ارزونه کوي۔

کله چې د داخلي لیږد اختیار فعال وي، د سرور بهیر بسته د یوې نښلول شوې کړکۍ سره سمون ورکوي او هغه مستقیم هماغې کړکۍ ته بیرته لیکي۔ بسته د ډیمون دننه پروسس کیږي او هیڅکله بیا د تونل وسیلې ته نه ننوځي، نو د کوربه د لیږد لار په بشپړ ډول پرېښودل کیږي۔ د OpenVPN 2.6 لارښود دا اختیار د داخلي کړکۍ-تر-کړکۍ لیږد په توګه بیانوي، او دا هغه دقیق دلیل دی چې د کوربه د فایر وال قاعده یې نه شي لیدلای۔

دریم ډول په هغو ځای پرځای کولو کې شتون لري چې د معلوماتو کانال کرنل ماډول ته لېږدوي۔ د لیږد پرېکړه او کوډ کول د کارونکي فضا څخه وځي، او دا چې netfilter جریان وګوري که نه، په دې پورې اړه لري چې د لېږد لاره څنګه جوړه شوې ده۔ هیڅکله مه انګېرئ چې یوه زړه قاعده-ټولګه په لېږدول شوي سرور کې هغسې چلند کوي لکه په کارونکي فضا کې۔ حالت له روان تنظیماتو څخه تایید کړئ، نه د بنډل له نسخې څخه۔

کله چې شمارونکی هیڅکله نه خوځیږي

صفر شمارونکی معنی دا ده چې بسته په هغه نقطه کې له دې قاعدې سره سمون ونه خوړه، او دلایل څو دي۔ لومړی هغه اوړوند چې پورته وویل شو: ترافیک هیڅکله ځنځیر ته ونه رسېده۔ دویم په انټرفیس، لوري، سرچینه یا هدف کې ناسمون دی، چې معمول دی کله چې پول بیا شمیرل شوی وي او قاعده لا هم زړه مخکښه نوموي۔

دریم ځای دی۔ په ځنځیر کې یوه مخکینې قاعده کولای شي جریان ستاسو د DROP له ارزونې دمخه ومني، او یوه وروستنې قاعده کیدای شي هغه وي چې پایله په حقیقت کې ټاکي۔ ځنځیر په ترتیب سره د لیدونکو شمارونکو سره ولولئ، بیا وګورئ چې د ازموینې په تکرار کې د کومې قاعدې شمیر ډیریږي۔

د دوو کړکیو ترمنځ یو کنټرول شوی تبادل ترسره کړئ، هغه چې ریښتیني پتې یې تاسو د سرور له خپل حالت څخه تایید کړې وي، نه د هغې اجارې څخه چې یادېږي۔ که اړونده شمارونکی لا هم نه خوځیږي، نو له سمون لیکلو دمخه پر لاره شک وکړئ۔ که خوځیږي مګر اړیکه لا هم بریالۍ کیږي، نو هغه بندول وروسته له پامه غورځول کیږي او ستونزه په ترتیب کې ده۔ هغه ځواب ټاکي چې سمون د قاعدې بدلون دی که د جوړښت بدلون، نو له هر څه د سمون دمخه يې ترلاسه کړئ۔

د یوې داسې پولې غوره کول چې فلټر کولای شي

که پالیسي باید په کوربه فایر وال کې وي، نو ترافیک هلته کېږدئ چې فایر وال یې لیدلای شي۔ د داخلي لیږد بندول هغه ملاتړ شوې لاره ده چې د همکارانو ترافیک د تونل انټرفیس او د لیږد لارې له لارې تېر شي، خو بیه یې دا ده چې هر د همکار بسته د کوربه سټیک له لارې تېریږي۔

بیا جریان په دقیق ډول سره سم کړئ۔ ترافیک په دواړو لورو کې تونل انټرفیس ته رسیږي او له تونل انټرفیس څخه وځي، نو هغه قاعدې چې یوازې فزیکي انټرفیس په پام کې نیسي به سمون ونه خوري۔ د پتې پر بنسټ قاعدې اوسنی پول ته اړتیا لري، او باید د بیرته راستنیدو لوري ته هم هغسې پام وکړي لکه مخکې لوري ته۔

ډیری ځای پرځای کول د کړکۍ یا ډلې په کچه فلټر کول ښه خدمتوي، چېرې چې هویت معلوم وي او پالیسي کارونکي ته ورپسې وي نه هغې پتې ته چې د بیا نښلیدو پر مهال بدلیږي۔ دا له کوربه ځنځیر څخه بېله طریقه ده، او دواړه باید پرته له روښانه دلیل سره یوځای نه شي۔

د زړې جوړښت قاعده-ټولګه د لېږد پر مهال بې بدلونه مه وړئ۔ د پتو پولونه، د انټرفیسونو نومونه او د لیږد حالتونه ټول اغیزه کوي چې قاعده سمون خوري که نه، او یوه کاپي شوې قاعده چې پخوا کاروله، ترټولو ګمراه کوونکې شاهدانه ده۔ له هغه جریان څخه پیل وکړئ چې غواړئ اجازه ورکړئ او هغه قاعده ولیکئ چې ورسره سمون خوري۔

پر قاعدې باور کول پرځای د جلاوالی ازموینه

منع شوی حالت او اجازه شوی حالت په یوه اجرا کې ازموئ۔ له یوې کړکۍ بلې ته نوی اړیکه پیل کړئ او تایید کړئ چې ناکامه کیږي، بیا تایید کړئ چې هغه اړیکه چې باید اجازه ولري لا هم کار کوي۔ که یوازې لومړی ازمویل شي، هغه فایر وال چې هر څه بندوي د بریا په څېر ښکاري۔

د سرور تنظیماتو له بیا بارولو وروسته او د کړکۍ له بیا نښلیدو وروسته تکرار کړئ، ځکه داخلي لیږد او د پولونو ویش د اجرا وخت حالت دی۔ شمارونکي په دواړو لورو وګورئ، ځکه هغه قاعده چې له یوه لوري سره سمون خوري او له ځواب سره نه، جزوي جلاوالی رامنځته کوي چې په چټکه ازموینه کې يې پام کول سخت دي۔

جلاوالی هغه لیدل شوې پایله ده چې په هغه پوله کې وي چې جریان واقعاً وړي۔ په کوربه کې یوه DROP قاعده شاهد نه ده؛ ناکامه اړیکه او د هغې لامل شوې قاعدې خوځیدلی شمارونکی شاهد دی۔