په Linux کې Transmission: د پروسس مالک له مخې وتل لازمي کړئ

د Transmission د ننوتلو پورټ بندول د VPN پالیسي نه ده. د ټورنټ کلاینټ همغږو او تعقیبوونکو ته د وتلو اړیکې پرانیزي، نومونه حل کوي او کېدای شي د لیرې کنټرول لپاره اورېدونکی پرانیزي، او هر یو له دې کولای شي هغه برخې ته ووځي چې تاسو یې اراده نه وه کړې. پنځه ګوتڅکې په ترتیب سره ترسره کړئ او د فایر وال قاعده، نه د کلاینټ تنظیمات، د پولې په توګه ونیسئ. وروستي دوه ګوتڅکې هغه دي چې خلک پرې تېریږي، او همدغه پرېکړه کوي چې ایا تضمین هغه وخت هم پاتې کیږي چې تونل ولویږي.

هغه پروسس ونوموئ چې لیږد یې مالک دی

د ډیسک ټاپ اپلیکیشن او د سیستم ډیمون د بېلابېلو حسابونو لاندې ځي، او د مالک پر بنسټ قاعده د پروګرام نوم نه، بلکې حساب تعقیبوي. د کومې قاعدې له لیکلو دمخه معلومه کړئ چې کوم یو ځي. جلا خدمتي حساب پالیسي ته دقیق موضوع ورکوي، په داسې حال کې چې ډیسک ټاپ کاروونکی خپل هویت د براوزرونو، سمونکو او په غونډه کې له هر بل شي سره شریکوي. UID تایید کړئ، دا مه ګڼئ چې د بنډل حساب نوم هغه دی چې کارول کیږي.

systemctl status transmission-daemon
ps -o user=,pid=,cmd= -C transmission-daemon

که حساب لا نه وي، دا د دې موخې لپاره جوړ کړئ او بل څه یې د چلولو لپاره مه ورکوئ. حساب او UID د قاعدې په تبصره کې ولیکئ، ځکه بې موضوع قاعدې هغه قاعده ده چې هیڅوک یې په خوندي ډول سمولای نه شي.

د اورېدو ساحې له لارې جلا کړئ

Transmission 4.x د همغږو د اورېدو پتې له rpc-bind-address څخه جلا مستند کوي، او دا توپیر مهم دی. د RPC تنظیم یوازې د لیرې کنټرول اورېدونکی کنټرولوي، نو بدلول یې د همغږو ترافیک لپاره لار نه غوره کوي. دواړه تنظیمات د یو په توګه لوستل هغه تر ټولو عامه لاره ده چې ښکاره ځیرکه ترتیب بیا هم څڅي. همدا سند یوه بدیله لاره بیانوي کله چې د همغږي د اورېدو پته ناسمه وي، یعنې نه لاسرسي وړ پته مستنده بدیله پېښه ده، نه تضمین شوی انکار.

grep -E '"(peer-port|rpc-bind-address|bind-address-ipv4)"' /var/lib/transmission-daemon/.config/transmission-daemon/settings.json

د کلاینټ کنټرولونه د هغه څه لپاره چې دي وکاروئ، او تضمین په فایر وال کې کېږدئ. د اورېدو تنظیم لا هم ګټور کېدای شي، خو دا نه ثابتوي چې له تعقیبوونکو سره اړیکه، سیمه ییز کشف یا سپارل شوې پلټنه ټول له تونل څخه ووځي. کله چې دا دواړه سره مخالف وي، فایر وال پرېکړه کوي.

د مالک مطابقت په سمه زنځیر کې ولیکئ

د Netfilter لارښود د مالک مطابقت په اړه تشریح کوي چې څنګه سیمه ییز جوړ شوي پاکټونه د سوکیټ فایل مالک کاروونکي یا ډلې ته منسوبیږي. دا نسبت لیږدول شوي ترافیک ته نه رسیږي، او د اضافي ډلو مطابقت څرګند انتخاب غواړي. د هغې پراختیا لارښود ولولئ چې واقعاً یې کاروئ، نه لومړی مثال چې ومومئ.

iptables -A OUTPUT -m owner --uid-owner transmission -o tun0 -j ACCEPT
iptables -A OUTPUT -m owner --uid-owner transmission -j REJECT
ip6tables -A OUTPUT -m owner --uid-owner transmission -o tun0 -j ACCEPT
ip6tables -A OUTPUT -m owner --uid-owner transmission -j REJECT

ترتیب د مطابقت په څېر مهم دی. په زنځیر کې پورته پراخه مننه لاندې دقیق انکار بې اعتباره کوي، نو د قاعدې زیاتولو او هیلې کولو پر ځای ټول زنځیر وګورئ. که کوربه IPv6 چلوي دواړه پتې کورنۍ شاملې کړئ، ځکه یوازې v4 پالیسي هغه لار پرانیستې پرېږدي چې هیڅوک یې څارنه نه کوي. قواعد د کلاینټ او تونل د بیا پیلونو په اوږدو کې نصب وساتئ.

پرېکړه وکړئ چې tun0 ورک شي نو څه پېږي

د ناکامۍ پالیسي د دې تمرین اصل دی. که تونل ورک شي او هماغه هنګام قواعد لرې کړي، کلاینټ آزاد دی چې فزیکي انټرفیس وکاروي تر څو چې بل څه یې ودروي. خوندي ډیزاین قواعد ساتي او دوی ته اجازه ورکوي چې انکار وکړي، او همدا پوله د تونل له روغتیا خپلواکه کوي. هغه هنګام چې قواعد هم پاکوي، د ناکامۍ پالیسي بشپړه مخالف ده.

ip link show tun0
iptables -S OUTPUT

په قصد یې وآزمویئ: تونل ودروئ، هغه لیږد پیل کړئ چې پرېښودل یې خوندي دي او وګورئ چې څه وځي که نه. بیا تونل بېرته راوړئ او تایید کړئ چې ټاکل شوې لاره بیا کار کوي.

هغه لارې پوښئ چې قاعده یې نه شي لیدلی

د نومونو حل کېدای شي جلا حل کوونکی پروسس ترسره کړي، او د نوم ځای یا ځانګړی دروازه کولای شي بله پوله برابره کړي که د دوی د شریکولو او پیل لارې د دې لپاره جوړې شوې وي. پرېکړه وکړئ چې DNS د کوم برخې ملکیت دی او ایا هماغه د وتلو قاعده تعقیبوي. بیا RPC ته وګورئ: که rpc-whitelist کارول کیږي، منل شوې مدیریت شبکه د تړون برخه ده، او پراخه RFC1918 ساحه نه ده.

ss -tunp | grep -i transmission

د انټرفیس شمېرونکي کولای شي یوه کتنه تایید کړي، خو نشي ثابتولای چې کوم پروسس بایټونه جوړ کړي. هغه لیږد ترسره کړئ چې پرېښودل یې اجازه لري: لومړی په کار کوونکې لاره، بیا د پیل پر مهال بې تونله، او بیا د وقفې، بیا نښلونې او نوي جوړ شوي انټرفیس له لارې. هم نوې هڅه او هم هغه اړیکه چې مخکې پرانیستې وه وآزمویئ، ځکه کېدای شي قاعده زوړ سوکیټ ته نه وي پلي شوې. نیټه، حساب او پایله له ازموینې سره ولیکئ.

داسې مثال چپول چې ټول زنځیر پاکوي، یوه سوري په څو سوریو بدلوي، نو قواعد اضافه کړئ نه یې پاکوئ. کله چې پنځه ګوتڅکې ټولې تېرې شي، تضمین څرګند دی: د کلاینټ ترافیک له تونل څخه وځي یا هېڅ نه وځي، او هغه قاعده چې دا لازمي کوي د تونل له خپل ناکامۍ هم ژغورل کیږي.