د VPN څخه بهر یوازې یو ځایي ویب خدمت د پورټ له مخې وګرځوه

یو هوسټ خدمت باید د فزیکي پورتنۍ لینک له لارې انټرنیټ ته ځواب ووايي، پداسې حال کې چې په ماشین کې نور هر څه تونل کاروي۔ درې شرطونه پرېکړه کوي چې آیا د پالیسۍ پر بنسټ لارښوونه کولی شي دا بار واخلي، او د هر یو څېړل د قاعده لیکلو دمخه ارزانه دي۔ خدمت باید په دې هوسټ پای ومومي نه د DNAT یا لیږدول شوي پورټ شاته، د VPN خپلې قواعد باید استثنا ته اجازه ورکړي، او تاسو باید ځواب سره سمون وکړئ نه غوښتنه۔ که له درېیو یو هم پاتې شي، لاندې حکمونه بې غلطيې پورته کیږي خو ګټور کار نه کوي۔

د قاعدې لیکلو دمخه درې شرطونه وڅېړه

هغه کانټینر چې پورټ د DNAT له لارې خپروي، یا هغه سرور چې د پورټ لیږد شاته دی، هغه پاکټونه جوړوي چې په دې هوسټ کې نه پیدا کیږي۔ دا پاکټونه لیږدول کیږي، نو د هوسټ محلي ننوتلو پر بنسټ قاعده دوی هیڅکله نه ویني او ټرافیک د ډیفالټ لارې تګ ته دوام ورکوي۔ مخکې له دې چې دوام ورکړئ تایید کړئ چې خدمت واقعاً چېرته ځي، ځکه چې خلک په همدې شرط کې ډېری غلطي کوي۔

دوهم شرط پالیسي ده نه میخانیک۔ هره لار چې تونل ته څنګه واړوي د تونل د موخې استثنا ده، او په مدیریت شوي هوسټ کې دا پرېکړه د پالیسۍ مالک ده، نه د هغه چا چې د وخت پای ته رسېدل ډیبګ کوي۔

ځواب سره سمون وکړه، نه د کلاینټ منزل پورټ

د TCP 443 باندې اورېدونکي سرور ځواب له هوسټ څخه د سرچینې پورټ 443 سره وځي۔ په همدې هوسټ کې براوزر چې لرې HTTPS سایټ ته نښلي، لنډمهاله سرچینې پورټ او منزل پورټ 443 لیږي۔ دواړه د پورټ 443 ټرافیک دي او یوازې یو یې باید WAN جدول واخلي، نو ځکه د منزل-پورټ سمون به غلط نیمایي ونیسي۔

د ځواب لوری هغه شی دی چې تاسو یې توپیرولی شئ۔ سرچینې پورټ سره سمون وکړه، قاعده په محلي جوړ شوي پاکټونو محدوده کړه، او قاعده د براوزر غوښتنو ته د لاس نه رسېدو سره د خدمت خپل ځوابونه پوښي۔

د قاعدې د اشارې دمخه بشپړ بیرته راستنېدونکی جدول جوړ کړه

خالي جدول معنی دا ده چې لار نشته، کوم چې د ماتې شوې پالیسۍ په پرتله د مات شوي خدمت په څېر ښکاري۔ لومړی یې ډک کړه، د داسې جدول شمېرې او لومړیتوب سره چې په هوسټ کې بل څه یې ادعا نه کوي:

ip -4 route add table 100 192.0.2.0/24 dev eth0
ip -4 route add table 100 default via 192.0.2.1 dev eth0
ip -4 rule add priority 1000 iif lo ipproto tcp sport 443 lookup 100

شمېرې له ژوندي هوسټ څخه ولوله نه یې کاپي کوه۔ ip -4 rule show تاسو ته وایي کوم لومړیتوبونه اخیستل شوي، او په دمخه موجود لومړیتوب کې قاعده اضافه کول په خاموشۍ د دوو قواعدو ترتیب بدلوي چې هر یو یې جلا سم ښکاري۔

دلته ریښتیني کار دوه ټاکونکي کوي۔ iif lo هغه ډول دی چې کرنل د هوسټ خپل جوړ شوي پاکټونه راپور ورکوي، نو قاعده نشي کولی سهواً له بانه راغلی لیږدول شوی ټرافیک ونیسي۔ ipproto tcp sport 443 دا یو ټرانسپورټ او یو پورټ ته نرۍ کوي، کوم چې د اړتیا اجازه ورکړې اندازه کلک دی۔ د پروتوکول ټاکونکی لرې کړه او قاعده به UDP 443 هم ونیسي، کوم چې بل چلند لرونکی بل خدمت دی۔

شخصي ځوابونه د تونل دننه وساته

که هماغه اورېدونکی شخصي خوا ته کلاینټانو ته هم ځواب وایي، نو په جدول 100 کې هر څه نیول کېدونکی WAN ډیفالټ به هڅه وکړي هغه ځوابونه د پورتنۍ لینک له لارې بیرته ولیږي۔ هغه شخصي مخکیښونه اضافه کړه چې باید د WAN ډیفالټ پیروي نه کوي، یا دوی ته اجازه ورکړه چې بلې پالیسۍ قاعدې ته ولویږي:

ip -4 route add table 100 throw 10.90.0.0/24

د throw لار په دې جدول کې پلټنه پای ته رسوي او پاکټ د قواعدو لیست ته بیرته ورکوي، نو راتلونکې VPN پالیسي خپله فرصت ترلاسه کوي۔ دا پخپله په تونل کې هیڅ نه لارښوونه کوي، او که وروسته هیڅ قاعدې سمون لرونکې لار ونه لري، پاکټ بیا هم ناکام کیږي؛ راتلونکې پالیسي تایید کړه نه دې چې فکر وکړه throw سمون دی۔

د بیرته لارې فلټرول او د هوسټ فایر وال قواعد لا هم راتلونکې غوښتنې ته پلي کیږي۔ د اعتبار د اسانولو دمخه د دوی ریښتیني پرېکړې وګوره، ځکه د لارښوونې استثنا rp_filter ته دې ته اړ نه کوي چې هغه بیرته لار ومني چې ناشونې ګڼي۔

TCP، بیا QUIC، بیا بیا پیلول وڅېړه

له مجاز بهرني کلاینټ څخه یو او له شخصي خوا څخه یو اړیکه پرانیزه، بیا د ځواب پلټنه د ریښتیني پتو او پورټونو سره وګوره۔ که بهرنی ځواب جدول 100 واخلي او شخصي یې نه واخلي، پالیسي هغه څه کوي چې تاسو غوښتي۔

HTTP/3 د UDP له لارې وړاندې کیږي او د TCP قاعدې سره به سمون ونه کړي، نو QUIC اورېدونکي ته خپل ټاکونکی ته اړتیا ده، که نه HTTPS د کار کولو پر مهال به دا تونل کاروي۔ هغه قواعد چې تاسو پرې ټینګار لرئ د انټرفیس مالک برخې سره خوندي کړه، او د بیا نښلولو یا DHCP نوي کولو وروسته یې تایید کړه۔ کله چې سیال مدیر د بیا پیلولو وروسته د کار وخت لار لرې کړي، دا د مالکیت ستونزه ده چې باید په سرچینه کې سمه شي، نه د دې لامل چې پر سر یې پراختر NAT قواعد اضافه کړه۔