rsync د VPN له لارې: د ډیمون 873 پورټ د SSH حالت په مقابل کې
پورټ 873 هغه داخلي خدمت دی چې تونل یې وړي، نه د هغه بدیل۔ د ډیمون حالت له SSH حالت څخه وپېژنئ، بیا یوازې هغه لاره پرانیزئ چې واقعاً یې کاروئ۔
په تونل انټرفېس باندې د TCP 873 اجازه ورکول rsync د OpenVPN-له لارې نه تېروي، او نه هم د بلې خوا لامل کېږي چې ماډل ومني۔ تونل یو داخلي اړیکه وړي چې د پروتوکول او منزل قواعد یې په بشپړه توګه هماغسې پاتې کېږي۔ نو لومړی پوښتنه دا نه ده چې کوم پورټ پرانیزو، بلکې دا ده چې rsync کوم ډول اړیکه جوړوي۔ لاندې ټول دا فرض کوي چې تونل لا دمخه فعال دی او یوازې داخلي خدمت لا هم تر شک لاندې دی۔
وټاکئ چې rsync واقعاً کومه اړیکه جوړوي
په امر کې ریموټ ارګومینټ معمولاً د فایر وال له هر بدلون دمخه دې پوښتنې ته ځواب وایي۔ دوه ګونې دوه نقطې یا URL سکیم ډیمون غوره کوي، خو د کوربه نوم وروسته یوه نقطه ریموټ شیل غوره کوي۔ هغه ارګومینټ ولولئ چې واقعاً یې چلوئ، نه هغه چې د اسنادو په بېلګه کې دی۔
روښانه ریموټ-شیل اختیار کولای شي ځواب بیا بدل کړي، ځکه چې rsync ته وایي چې د لېږد لپاره کوم پروګرام پیل کړي۔ ټوله امر لیکنه ولولئ، په شمول د میراثي رپېر سکریپټونو، نه یوازې د کوربه برخه۔
| Remote argument | What it opens |
|---|---|
rsync://vault.corp.internal/archive/ | rsync daemon, normally TCP 873 |
vault.corp.internal::archive/ | rsync daemon, normally TCP 873 |
[email protected]:/srv/archive/ | Remote shell, normally SSH on its configured port |
د ډیمون حالت: د تړلو پته، ماډل او پورټ
د ډیمون په نحو کې د لارې برخه یو ترتیب شوی ماډل نوموي، نه په ډیسک کې یوه پوښۍ۔ د ماډل پټنوم یوازې د اړیکې له منلو وروسته څېړل کېږي، او ماډل سربېره پردې کېدای شي یوازې-لوستلو وي یا له لیست څخه پټ وي۔ دا ترتیب د تېروتنې لوستلو پر مهال مهم دی، ځکه چې رد شوې اړیکه او رد شوی ماډل په دوو بېلو پړاوونو کې ناکامي ده۔ دواړه پیغامونه د تونل په اړه هیڅ نه وایي۔
یو خپلواک ډیمون کولای شي په خپل کنفیګریشن فایل کې د تونل له پتې سره وتړل شي، چې دا پرته له کوم فایر وال قاعده د عامه انټرفېس څخه لرې ساتي۔ ارزښت باید هغه وخت شتون ولري چې ډیمون تړل کېږي، او د ساکټ له مخې فعال شوی یا د inetd له خوا اداره شوی اورېدونکی کولای شي په بشپړه توګه له پامه وغورځوي۔
address = 10.44.0.1
port = 873
[archive]
path = /srv/archive
read only = yesبیا د عامه نوم پرځای د خصوصي پتې په وړاندې ازموینه وکړئ۔ عامه کوربه نوم WAN پتې ته حل کېږي او بله لار اخلي، حتی کله چې یوه ماشین دواړو ته ځواب ووایي۔
rsync --list-only rsync://10.44.0.1/archive/د ریموټ-شیل حالت: SSH لېږد وړي
په یوه نقطه rsync د ریموټ-شیل پروګرام پیلوي او د هغه پروتوکول پر همدې کانال بولي، نو یوازینی د لاسرسي وړ خدمت SSH دی، په کوم پورټ چې سرور اورېدل کوي۔ د rsync ډیمون هېڅکله نه ځي، پورټ 873 بې ربطه دی، او د لاسرسي پرېکړه د SSH حساب پرېکړه کېږي۔ ریموټ لار بیا هغه ریښتینې فایل سیسټم لار ده چې بلې خوا ته شیل تفسیروي۔ همدا لامل دی چې 873 ته نېشانه شوې فایر وال بدلون دې حالت ته هیڅ هم نه کوي۔
دا ډیزاین ته اړتیا لري اجازه لرونکي حساب او د کوربه کیلي تصدیق ته, او د SSH خپله تصدیق پالیسي په میراث اخلي۔ کله چې لېږد باید د باور وړ نه وي شبکه ووهي، دا ډېری وخت غوره انتخاب دی، ځکه چې کوډ کېدل د هغه پروتوکول دي چې همدا لپاره جوړ شوی۔ هغه ډیمون چې پټنوم غواړي هماغه شی نه دی۔
یوازې هغه لاره پرانیزئ چې تاسو ټاکلې ده
کله چې حالت ټاکل شو، په یوازیني انټرفېس چې تونل وړي یوازیني داخلي خدمت ته اجازه ورکړئ۔ قاعده د انټرفېس، سرچینې حوض او منزل پتې له مخې محدوده کړئ، ترڅو وروستنی د ډیفالټ-رد بدلون یې په چوپتیا پراخ نه کړي۔ بیا د قواعدو ترتیب وګورئ، ځکه چې په زنځیر کې دمخه راغلی اجازه ورکوونکی قاعده نرۍ قاعده یوازې سینګار جوړوي۔
که ډیمون د VPN ګېټوې په شا کې په ماشین باندې ځي، نه په ګېټوې خپله، نو ګېټوې ته هم د لېږلو لاره اړینه ده او هدف ته خپله اجازه او د بېرته راستنېدو لار۔ یوازې په ګېټوې باندې د پورټ پرانیستل هغه اړیکه جوړوي چې منل کېږي او بیا هیچیرته نه ځي۔
د کلینټ له خوا په هماغه حالت او منزل سره چې په تولید کې یې کارول غواړئ تصدیق کړئ۔ بریالی لیست اورېدونکی، لار او قاعده یوځای ثابتوي؛ د وخت پای لارې ته اشاره کوي، او رد اورېدونکي ته۔
ufw allow in on tun0 from 10.44.0.0/24 to 10.44.0.1 port 873 proto tcp
ss -ltnp | grep 873