د OpenWrt VPN زون، لیږد او پټول: کوم یو ته اړتیا ده؟
د زون ننوت، لیږد او پټول بېلابېلو پوښتنو ته ځواب ورکوي۔ د WAN زون د پرانیستلو مخکې پرېکړه وکړئ چې ستاسو VPN ترافیک څه ته اړتیا لري۔
کله چې VPN له OpenWrt سره مخ شي، درې بدلونونه یوځای ګډیږي: د یو پورت پرانیستل، لیږد ته اجازه ورکول او پټول فعالول۔ دوی بېلابېلو پوښتنو ته ځواب ورکوي، او معمولاً یوازې یو له دوی څخه ریښتینې اړتیا ده۔ هر کنټرول د هغه ترافیک رول له مخې لوستل چې اداره یې کوي، اټکل په پرېکړه بدلوي، او همدارنګه وایي چې د بدلون سم نه وي کومه نښه تمه کړئ۔ د هغه رول له نومولو سره پیل وکړئ چې ناکام شو، نه د هغه چیک بکس چې یاد یې وی۔
د کنټرول له لمسولو مخکې د ترافیک رول ونوموئ
د زون ننوت ټاکي چې څه کولی شي پخپله روټر ته ورسیږي۔ د زون وتل هغه ترافیک رانغاړي چې روټر پخپله جوړوي، د زون لیږد د هغه ترافیک لپاره تلواله ارزښت دی چې له یو زون تیریږي، او پټول ټاکي چې ایا د وتلو په لاره کې د سرچینې پته بیا ولیکل شي۔ دا څلور بېلابېلې پوښتنې دي، او د زون پالیسي په یوځل ټولو ته په ورته ارزښت ځواب وایي، نو ځکه په ټول زون کې بدلون یو ناخواله وسیله ده۔ نومول شوې قاعده کولی شي پرته له دې چې نورو ته لاس ووهي یوې ته ځواب ووایي۔
ګټوره نقشه د ترافیک رول له مخې ده، ځکه چې کله یو څه ناکام شي هغه څه لیدلی شئ چې همدا دی۔ لاندې هر رول یو کنټرول لري چې ټاکي یې او یوه نښه لري چې ورته اشاره کوي:
| Traffic role | Control that decides it | Where it lives in the config | Symptom when it is wrong |
|---|---|---|---|
| A client reaching a listener on the router | Input policy of the zone that carries the connection, or a rule for the port | option input in the zone stanza, or a named rule | The handshake never completes and the tunnel log says nothing |
| A tunnel client reaching the router itself | Input policy of the tunnel zone | option input in the VPN zone | A ping to the gateway fails |
| A tunnel client reaching another LAN host | Forwarding from the tunnel zone to the LAN zone | config forwarding plus the zone assignment | The gateway answers and the file share times out |
| The router's own traffic leaving the WAN | Output policy, and translation if the far side needs it | option output and option masq | The tunnel never establishes, or replies vanish |
په روټر کې اوریدونکي ته یوه تنګه ننوت قاعده اړینه ده
په روټر کې OpenVPN سرور روټر ته ادرس شوی ترافیک ترلاسه کوي، نو د هغه بهرنۍ اړیکه د هغه زون د ننوت پالیسۍ پورې تړلې ده چې دا یې وړي۔ تنظیم شوی ټرانسپورټ او پورت اجازه کړئ او په هغه زون کې نور هر څه رد شوي پرېږدئ۔ یوه پورټ قاعده د ټول زون له اجازې څخه خورا کوچنی بدلون دی، او همدا هغه ده چې له یو کال وروسته یې هم تشریح کولی شئ۔
دوه شیان هغه قاعده د ساتلو لپاره خوندي کوي: هغه پورټ نوموي چې خدمت واقعاً کاروي، او د زون تعریف ته څنګ ته ولاړه ده ترڅو بل کس وویني چې ولې شته۔ لاندې کرښې یوازې بڼه ده، پورټ د هغه څه ځای نیسي چې په سرور کې تنظیم شوی۔ کله چې خدمت ځای بدل کړي هغه پورټ په دواړو ځایونو کې بدل کړئ، ځکه په زاړه پاتې قاعده تر پلټنې پورې نه لیدل کیږي۔
config zone
option name 'wan'
option input 'REJECT'
option forward 'REJECT'
option output 'ACCEPT'
option masq '1'
config rule
option name 'allow-openvpn'
option src 'wan'
option proto 'udp'
option dest_port '1194'
option target 'ACCEPT'د بیا پورته کولو مخکې اعتبار ورکړئ، ځکه چې د فایر وال په فایل کې نحو غلطي کولی شي روټر پرته له کار کوونکي قواعدو ټولګې پرېږدي۔ په هغه خپرونه کې چې fw4 کاروي، څیړنه جلا حکم دی او په لوړ غږ ناکام کیږي پرته له دې چې مات شوې برخه په خاموشۍ ومني۔ یوازې د څیړنې له بریالیتوب وروسته بیا پورته کړئ، او پخوانی فایل هلته وساتئ چې بیرته یې کولی شئ۔
fw4 check
service firewall reloadد کلینټ غوښتنه د ننوت پرځای د لیږد له لارې تیریږي
تر تصدیق وروسته، د LAN خدمت غوښتونکي تونل کلینټ غوښتنه لیږدول شوې جریان جوړوي، نو هغه کنټرول چې دا ټاکي د تونل زون او LAN زون ترمنځ د لیږد اړیکه ده۔ د تونل انټرفیس په مطلوب زون وټاکئ، بیا لوری، سرچینې او خدمت اعلان کړئ۔ د زون ټاکنه هغه څه ده چې د لیږد قاعدې معنا ورکوي، او دواړه یوازې یوځای لوستل شوي معنا لري۔ هغه لیږد اړیکه چې تونل زون سرچینه او LAN زون هدف بولي، د یوې ارادي پرېکړې په توګه لوستل کیږي، په داسې حال کې چې د ټول زون دوه اجازې د یوې پېښې په توګه لوستل کیږي۔
پخپله روټر ته رسیدل لاهم د ننوت لاره کاروي، نو ځکه ګیټوې ته ping د هغې شاته د فایل شریکولو په اړه هیڅ نه وایي۔ هغه دوه ناکامۍ په بېلابېلو برخو کې ژوند کوي او په بېلابېلو بدلونونو سمېږي۔ د دواړو څخه یو بدلولو مخکې دواړه لارې جلا ولیکئ۔
پټول د لارښوونې پرېکړه ده، نه اجازه
پټول د ټاکل شوي وتونکي ترافیک د سرچینې پته بیا لیکي۔ دا کولی شي هغه وتلو ډیزاین وژغوري چې لرې اړخ ته د بیرته تلو لاره نلري، او همدارنګه د هر هغه خدمت څخه چې پتې ثبت یا پر پته اجازه ورکوي د انفرادي کلینټونو پتې پټوي۔ د هغه بندول د بیرته تلو لارې په اړه د لارښوونې انتخاب دی، نه هغه امنیتي سویچ چې دننه سوری بندوي۔ هغه تونل چې د ژباړې په فعال حالت کار کوي او د بندولو په شیبه ناکام کیږي معمولاً د بیرته تلو لاره نلري، نه د فایر وال قاعده۔
لارښوونکې بدیله لار د ژباړې پرځای په لرې اړخ کې د بیرته تلو لاره غواړي۔ د دواړو انتخابونو څخه هیڅ یو د فایر وال اجازه یا د اپلیکیشن حساب نه برابروي، نو ځکه د پټولو بندول نږدې هیڅکله هغه تونل کلینټ نه سموني چې چیرته هم نه رسیږي۔ IPv4 او IPv6 پالیسي هم جلا وګورئ، ځکه یو د ژباړې تنظیم دواړه کورنۍ نه تشریح کوي۔
پرېکړه د اجازه شوې او رد شوې غوښتنې سره ثابته کړئ
یوه غوښتنه ولېږئ چې باید اجازه شي او یوه چې باید رد شي، بیا هغه کنټرول وپیژنئ چې هر پرېکړه یې کړې۔ هغه پاڼه چې ناڅاپه پورته شي ثبوت نه دی؛ ثبوت هغه قاعده ده چې سره سمون وخوړ، په هغه ځنځیر کې چې سمون وخوړ۔ ردول د بریالیتوب په اندازه مهم دي، ځکه ښیي چې پالیسي یو څه کوي نه دا چې هر څه اجازه شوي۔
په اوسني خپرونه کې دوه حکمونه هغه ثبوت درکوي۔ کله چې غوښتنه ومنل شي د سمون خوړونکې قاعدې شمیرونکی ځای بدلوي، او که د قاعدې لپاره ثبت فعال کړی وي لاګ غورځیدنه ښیي:
nft list chain inet fw4 forward_wan
logread -f | grep -i -E 'DROP|REJECT'د هر فایر وال پالیسۍ بدلولو مخکې هغه اداري لاره وساتئ چې لاهم یې کارولی شئ، او د ترتیباتو د مالک د اعتبار او بیرته راګرځولو بهیر تعقیب کړئ۔ هغه بدلون چې تاسو له روټر څخه بهر بند کړي د ازموینې نتیجه نه ده، دا دوهمه پېښه ده۔ د هرې کتنې څنګ ته زون او د ترافیک رول ولیکئ، ترڅو د نتایجو جوړه د بختورې پاڼې پورته کیدو پرځای پالیسي تشریح کړي۔