د nginx له ماتېدو دمخه د OpenVPN د SNAT قاعدې حد وټاکئ

د یو ډول کوربه څخه دوه نیمګړتیاوې تل راځي۔ په لومړۍ کې پیریدونکي تصدیق کېږي او بیا له تونل بهر هېڅ شي ته نه رسېږي۔ په دویمه کې VPN پورته کېږي او د سرور خپل ویبسایټ ځواب ورکول بندوي، چې ډېر اندېښمنوونکی دی ځکه د اړخيز زیان په څېر ښکاري۔ پر کانټینر ولاړ VPS کې دواړه معمولاً هماغه لنډې کتنې لښتې ته ورګرځي، او ترتیب مهم دی: لومړی وسیله، دویمه ژباړه، درېیمه حد۔

ډاډ ترلاسه کړئ چې کانټینر کولی شي د tun وسیله جوړه کړي

که د تونل برخه نشي موجودېدلی، بل هېڅ شی مهم نه دی۔ وګورئ چې /dev/net/tun شته او د ازموینې وسیلې جوړېدل بریالي دي، ځکه ډېری وړاندې کوونکي په کانټینرونو کې tun په ډیفالټ ډول بندوي۔ هېڅ firewall کار د هغې وسیلې بدله نه شي کولی چې هېڅکله جوړه شوې نه ده۔

که وسیله نه وي، یوازې کوربه یا وړاندې کوونکی یې فعالولی شي۔ بله پلان ډېری وخت له یوې اونۍ غځېدلې پرانیستې ملاتړي تارې ارزانه وي۔ دا د OpenVPN د لاګ له یوې کرښې لوستلو دمخه تایید کړئ۔ که نه نو ماښام د هغو قاعدو په تنظیم کې تېروئ چې هېڅکله به پاکټ ونه ویني۔

پرېکړه وکړئ چې MASQUERADE پر دې برخه څه کوي

پر یو عادي مجازي ماشین کې عادي وتلو قاعده د اصلي برخې څخه POSTROUTING MASQUERADE ده۔ په OpenVZ کانټینر کې لیدل کېدونکې وسیله ډېری وخت venet0 وي، یعنې د کوربه لخوا اداره شوې مجازي برخه، نه روټ شوې شبکهيي کارت، او MASQUERADE هلته تل هغسې چلند نه کوي لکه ښوونکي ګومان کوي۔

د کار وړ بڼه دا ده چې هغه پتې ته روښانه ژباړه وشي چې پیریدونکي ورته رسېږي، او په دواړو لورو کې لېږد ته اجازه وي۔ د سرور له ترتیباتو pool بدلول هومره مهم دي څومره چې پته بدلول۔ د لګولو دمخه هره کرښه ولولئ۔

iptables -t nat -A POSTROUTING -o venet0 -s 10.8.0.0/24 -j SNAT --to-source 203.0.113.10
iptables -A FORWARD -i tun0 -j ACCEPT
iptables -A FORWARD -o tun0 -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT

د لېږد پرته قاعدو بغیر هم ژباړه کېږي او کرنل بیا هم لېږد ته نه غاړه ږدي۔ دا یوځای والی هغه ګډوډ حالت جوړوي چې د NAT قاعدې پېنځې ډېرېږي خو پیریدونکی هېڅ نه ترلاسه کوي۔ دواړه FORWARD کرښې هم باید په هماغه زنځیر کې له هرې پراخې drop قاعدې دمخه وي۔ ترتیب د ترتیباتو برخه ده، د پلي کولو جزئیات نه دي۔

قاعده یوې pool او یوې برخې ته محدوده کړئ

دویم نښه بله لامل لري: POSTROUTING قاعده پرته له سرچینې او پرته له وتلو محدودیت۔ داسې قاعده هره هغه پاکټ بیا لیکي چې کوربه پرېږدي۔

هغه خدمتونه چې پر اصلي سرچینه تکیه لري بیا ناسم چلند کوي۔ د ځایي پراکسي شاته ویب سرور کولی شي ځواب ورکول بند کړي، او بیا پیل یې هېڅ نه بدلوي ځکه قاعده لا هم په لاره کې ده۔ هغه ټرافیک هم اغېزمن کېږي چې کوربه خپلې عامې پتې ته لېږي، له همدې امله نیمګړتیا کولی شي د DNS یا سند ستونزه ښکاره شي نه د firewall۔ قاعده تقریباً يقيناً د لومړي نښې د سمولو لپاره اضافه شوې وه۔

حل دا دی چې ورته والی د تونل pool او وتلو برخې ته تنګ کړو، بیا د څو پوښلو لپاره یوه قاعده پراخولو پر ځای د هر pool لپاره یوه قاعده اضافه کړو۔

قاعدې دوامدارې کړئ او ومومئ چې نور څوک یې مالک دي

په لاس اضافه شوې قاعدې د بیا پیلېدو پر مهال ورکېږي، نو هغوی د iptables-save سره خوندي کړئ یا چېرې چې نصب دی د netfilter-persistent له لارې اداره کړئ۔ تایید کړئ چې بیا رغونه د OpenVPN له پیل دمخه چلېږي۔ بیا یو ځل په قصد سره بیا پیل کړئ پر دې چې پېښې پر مهال سوری ومومئ۔

پر کانټینر کوربه، دا هم تایید کړئ چې د دوام فایل په لیکل کېدونکې کانټینر زېرمه کې دی او وړاندې کوونکی د بوت پر مهال فلټرول نه بدلوي۔ ځینې پلیټ فارمونه تګلاره له کانټینر بهر اداره کوي، چېرې چې ځایي قاعدې یا نه وینل کېږي یا د کوربه د خپلو قاعدو سره ټکر کوي۔

د پېنځو او یوې نیول شوې بهېرې سره تایید کړئ

له نښلول شوي پیریدونکي، هغه عامه پته وګورئ چې یو بهرنی خدمت یې راپور کوي۔ که د سرور له پتې سره سمون ولري، ژباړه کار کوي؛ که نه، پاکټ له بلې لارې وځي یا هېڅ نه وځي۔ بیا دواړه پر سرور کوربه شوی خدمت او په عامه انټرنیټ کې یو خدمت وآزموئ، ځکه دوی د هماغه قاعدو له ټولګې څخه بېلې لارې اخلي۔

پر سرور، د NAT او FORWARD قاعدو پاکټ پېنځې د iptables -t nat -L -v -n سره ولولئ او په یوه نیونه کې یوه بهېره وګورئ۔ که په نیونه کې د پیریدونکي پته ښکاره شي او ځواب را نه شي، سوری د بېرته راتلو په لاره کې یا د وړاندې کوونکي په فلټرولو کې دی، نه د پیریدونکي په پروفایل کې۔ نیول شوې سرچینه له هغې پتې سره پرتله کړئ چې قاعده ورته ژباړي، ځکه ناسمون بیا دا معنا لري چې بله قاعده لومړی سمون وموند۔ یوه کتنه شوې بهېره له یوې پاڼې ترتیباتو لوستلو ډېر څه هواري۔

pool، ژباړل شوې پته او د برخې نوم په بدلون ثبت کې یوځای وساتئ۔ هغه قاعده چې د یوې pool لپاره سمه ده، بله ناسمه ژباړي۔