OpenVPN نښلوي خو هیڅ نه بهیږي: هغه پوړ ومومئ چې پاکټ پکې لوېږي

OpenVPN وايي نښلېدلی او هیڅ ترافیک نه خوځېږي، دا جمله لږ تر لږه پنځه بې‌اړیکې خرابۍ پوښي۔ د فایر وال مقررې سمول مخکې له دې چې پوه شئ کوم پوړ ناکامېږي ناپېژندل شوي شیان څو چنده کوي او بل انجینر ته ګډوډي پرېږدي۔ پرځای یې له بهیر څخه بهر کار وکړئ، ځکه هر ګام لاندې یا یو پړاو پاکوي یا هغه ځای تنګوي چې پاکټ پکې مري۔ دلته ترتیب مهم دی: هغه نیول چې مخکې له دې چې پوه شئ کوم پته تړلې ده اخیستل کیږي یو څه به ثابت کړي، خو هغه نه چې تاسو ورته اړتیا لرئ۔

ساکټ یا تړل شوی یا نه

هغه خدمت چې فعال ښیي لا هم کېدای شي په یوه پته یا لیږد تړل شوی وي چې تاسو هیڅکله نه و غوښتلي۔ له خود ساکټ څخه وپوښتئ: ss -lunp د UDP اورېدونکي لیست کوي او ss -ltnp د TCP، او د لوستلو وړ کالم ځایي پته ده، نه حالت۔

خالي ځواب معمولاً له دریو څخه یوه معنا لري: بهیر له پیل وروسته ووت، بل ترتیب فایل یې بار کړ، یا په هغې پته پرته بلې پتې ته غوږ نیسي چې ورته زنګ وهل کیږي۔

ss -lunp | grep 1194
ss -ltnp | grep 1194

local لارښوونه اورېدونکی په یوه پته ټينګوي، نو هغه پیرودونکی چې په همدې کوربه کې بل ځای ته مخه کوي رد کیږي په داسې حال کې چې خدمت له بهر څخه لا روغ ښکاري۔ د نمونې نوم هم کولای شي هغه فایل ته اشاره وکړي چې تاسو هیڅکله نه یې سمولی، دا هغه کوربه کې پېښیږي چې دوه پروفایل څنګ په څنګ چلوي۔

بهرنی پاکټ ونیسئ، تونل نه

په فزیکي انټرفیس او ریښتیني پورټ فلټر وکړئ، خپل انټرفیس ځای پرځای کړئ: tcpdump -ni eth0 udp port 1194۔ وتونکي پاکټونه چې هیڅ بیرته نه راځي پورته کېناستې شی ته اشاره کوي: د برابرونکي فلټر، NAT وسیله، یا لرې پته چې هغه نه ده چې تاسو یې فکر کوئ۔ په دواړو لورو چوپتیا د پیرودونکي لارښوونې یا ځایي فایر وال ته اشاره کوي۔ هغه ځوابونه چې د تونل د پرمختګ پرته راځي د کنټرول چینل ته اشاره کوي، یعني د کیلي یا سایفر ناسمۍ ته، نه فلټر ته۔

دواړه لورې ونیسئ او فایل لنډ وساتئ۔ اوږد نیول هغه په زړه پورې درې ثانیې ښخوي، او ځواب نږدې تل په لومړي تبادله کې وي۔

لومړی شمارونکي، تعقیب یوازې هغه وخت چې درواغ وايي

له شمارونکو پیل وکړئ، ځکه هیڅ لګښت نه لري۔ یا nft list ruleset یا iptables -L -n -v دلته د مهم یوازیني پوښتنې ځواب ورکوي: آیا مقرره سمه وه؟ ترتیب نتیجه ټاکي، ځکه لومړی سمون وګټي، له همدې امله پراخ DROP د وروستي ACCEPT مخکې هغه ACCEPT مړ پرېږدي او له همدې امله د مقررې زیاتول دومره کم څه سمول کوي۔

مالکیت هم خلک ښویېدونکي کوي۔ کرنل ځایي جوړ شوي پاکټونه هغه بهیر ته منسوبوي چې ساکټ یې خلاص کړ، او OpenVPN معمولاً د root په توګه چلېږي، نو هغه مقرره چې عادي کارن ID ته تړلې ده هیڅکله د تونل خپل ترافیک نه ویني۔ د مالک UID مخکې له دې چې پرېکړه وکړئ مقرره غلطه ده وګورئ۔

یوازې هغه وخت چې شمارونکي مبهم پاتې شي لاګ د شور وړ وي، او بیا هم یوازې یوه تنګه برخه لپاره: هغه iptables مقرره چې سرعت محدودوي او د خپلو لاګ کرښو ته مخکښه زیاتوي، یا هغه nftables مقرره چې meta nftrace set 1 لري پداسې حال کې چې nft monitor trace چلېږي۔ تعقیب هغه زنځیر او مقرره نوموي چې پاکټ یې ومنلی یا غورځولی۔ وروسته دواړه لرې کړئ او د پیلوډ لاګ کول بهر وساتئ۔

لیږد هم وګورئ۔ هغه فایر وال خدمت چې TCP ته محدود دی د هغې شمېرې په UDP اورېدونکي هیڅ نه وايي، نو هغه مقرره چې سم لوستل کیږي لا هم هر پاکټ غورځولای شي۔

لارښوونه او د بېرته راتلو لار

هغه منل شوی پاکټ چې بیا هم ورک شي د هغې د منزل لارې څیړنې ته اړتیا لري۔ ip route get هغه لار راپور کوي چې یوې پتې لپاره غوره شوې، او د معکوسې لارې فلټر کولای شي هغه ځواب وغورځوي چې د هغه انټرفیس له لارې راځي چې اصلي جدول به هیڅکله نه غوره کوي۔ نښه دقیقاً د فایر وال غورځولو په څیر ښکاري، له همدې امله دا کتنه د بل NAT مقررې مخکې راځي۔

په ګیټ وې کې د input زنځیر پرځای فوروارډنګ او forward زنځیر وګورئ۔ بیا تایید کړئ چې لرې اړخ پوهیږي چې سرچینې پتې ته څنګه ورسیږي، ځکه کارکوونکې وتلې لار چې هیڅ بیرته نه راځي په دواړو حالتونو کې چوپتیا ده۔

ریکارډ باید څه ووایي

د هر بدلون لپاره، هغه پړاو چې تاسو یې ازمویل، هغه شواهد چې لوستل، او د شمارونکي ارزښت د دواړو خواوو یادښت کړئ۔ همدا یادښت "اوس کار کوي" په بل بیاکتنه کې ژوندی ساتي۔

دوه لنډې لارې یادښت صادق ساتي۔ هغه پاکټ چې هیڅکله له کوربه ونه وت هیڅکله د بل ځای مقررې غورځولی نشو، هر څومره قانع کوونکې چې د لرې اړخ ترتیب ښکاره شي۔ هغه پاکټ چې ووت او بېرته راغی پوښتنه د شبکې پوړ پورته وړي، چېرې چې د فایر وال شمارونکي نور هیڅ نه لري چې تاسو ته ووایي۔