تونل پورته دی، انټرنیټ نشته: لیږد چیرته دریږي

کلاینټ نښلوي، تونل پنګونه ګیټوې ته وړي، او له هغې هاخوا هیڅ ځواب نه ورکوي۔ دا حالت د داسې ګیټوې لپاره نورمال دی چې تل یوازې د خوندي شبکو ته د لاسرسي لپاره و، او د بشپړ تونل د وتلو په توګه اعلان شوې ګیټوې لپاره خرابي ده۔ د قواعدو بدلولو دمخه تصدیق کړئ چې کومه خدمت ژمنه شوې وه۔ بیا یوه عامه غوښتنه د څلورو ځایونو له لارې تعقیب کړئ چې کیدای شي هلته ودریږي۔ یوه غوښتنه او یوه پاکټ ثبت د یو مخ اټکلونو څخه ډیر څه حل کوي۔

تصدیق کړئ چې انټرنیټ ته وتل کله هم ډیزاین و

د ویشل شوي تونل پروفایل یوازې خوندي فرعي شبکې VPN ته لیږي، نو عامه لټون د محلي اړیکې له لارې دوام کوي او هیڅکله ګیټوې ته نه رسي۔ د بشپړ تونل پروفایل په تونل کې ډیفالټ لاره نصبوي، چې ګیټوې د ټول مسیر مسؤل کوي۔ دواړه قانوني ډیزاینونه دي، او د دوی ګډول د خرابۍ راپور هغه ځای جوړوي چې هېڅ خرابي نه لري۔ د هر بل څه ازمویلو دمخه د کلاینټ اعلان شوې لارې ولولئ، ځکه د لارو جدول هغه پوښتنې ته ځواب ورکوي چې ټکټ یې معمولا غلط ږدي۔

هغه څه چې کلاینټ نصبوي تل هغه نه دي چې پروفایل یې هدف ګرځوي۔ یوه ټېله شوې لاره د لږ میټریک لرونکې محلي لارې له خوا ماتیدای شي، او هغه کلاینټ چې خپله LAN لاره ساتي او ډیفالټ لاره ورزیاتوي، د هغې فرعي شبکې لپاره د ویشل شوي تونل په څیر چلند کوي۔

یوه عامه غوښتنه تعقیب کړئ

یوه منزل وټاکئ او له کلاینټ څخه بهر یې تعقیب کړئ۔ په کلاینټ کې وګورئ چې پاکټ واقعیا تونل ټاکي او کومه محلي پته د سرچینې په توګه کاروي۔ بیا ګیټوې وګورئ: پاکټ رارسېږي او که له عامه انټرفیس څخه وځي۔ د دې ځوابونو هر یو د لاملونو یوه ټوله ډله لره کوي۔

ip route get 1.1.1.1
ip -4 addr show tun0
conntrack -L | grep 1.1.1.1
tcpdump -ni any host 1.1.1.1

که ګیټوې پاکټ هیڅکله ونه ویني، د کلاینټ لاره یا د تونل ټاکنه غلطه ده۔ که پاکټ راشي او ونه وځي، ستونزه په ګیټوې ده، او پاتې درې څیړنې تطبیقېږي۔

لیږد، لاره او ژباړه وګورئ

د strongSwan سره راغلې د لیږد لارښود د هر ډول تونل ګیټوې لپاره تطبیقېږي: کرنل ته باید اجازه وي چې پاکټونه د انټرفیسونو ترمنځ انتقال کړي، او د کار اخیستلو وړ لاره باید انټرنیټ ته اشاره وکړي۔ بیا د اور وژنې پالیسي باید ټرافیک ته اجازه ورکړي، او د سرچینې پته باید هغه وي چې عامه خوا یې ځواب ویلی شي۔ د کلاینټ خصوصي پته چې بې بدلونه انټرنیټ ته لیږل کیږي هیڅکله ځواب نه اخلي۔

sysctl net.ipv4.ip_forward
ip route get 1.1.1.1
nft list ruleset | grep -A6 forward
sysctl net.ipv4.conf.all.rp_filter

د سرچینې ژباړه هغه عادي ورکه شوې برخه ده۔ په هغې سره ګیټوې د کلاینټ سرچینه خپلې عامه پتې ته بیا لیکي او بهیر تعقیبوي؛ پرته له هغې ځواب هیڅ ځای نلري۔ کلاوډ پلیټ فارمونه دوهمه پوله زیاتوي، چیرې چې د انسټانس لارو جدول یا امنیتي ډله هغه ټرافیک غورځولی شي چې د مېلمه اور وژنه یې اجازه ورکوي۔ دا پوله اسانه ده چې له لاسه ورکړل شي ځکه مېلمه سیسټم له داخله سم تنظیم شوی ښکاري۔

په غیر متوازن ترتیب کې د بېرته لارې فلټر کول هم کولی شي سم پاکټونه وغورځوي۔ د هغې قاعدې شمارونکی ولولئ پرځای د دې چې فرض کړئ سمه ده، ځکه په عامه انټرفیس کې سخت تنظیم هغه ټرافیک ردوي چې د لارو جدول د وړاندوینې څخه بل مسیر ته رسیږي۔

د ځواب لاره او حل کوونکی دوه بیلابیل ځوابونه دي

یوازې غوښتنه نه، ځواب ته هم پام وکړئ۔ که غوښتنه ژباړل شوې ووځي او ځواب ژباړل شوي بهیر ته بېرته راشي، لیږد کار کوي حتی کله چې اپلیکیشن لا هم ناکام شي، او بل تحقیق د اپلیکیشن یا DNS دی۔

هغه وېب پاڼه چې HTTP تېروتنه بېرته راوړي د دې ثبوت دی چې انټرنیټ ته لیږد کار کوي۔ هغه نوم چې نه حل کیږي پداسې حال کې چې د پتې له لارې لاسرسی کار کوي، د حل کوونکي ستونزه ده، نه د NAT۔

د دقیق سمون وروسته کلاینټ او هر هغه خصوصي سرچینه چې په قصد محدوده شوې ده بیا وازموئ۔ انټرنیټ ته لاسرسی ورکول باید په خاموشۍ سره هرې شبکې ته لاسرسی چې له ګیټوې سره تړلې ده پراخ نه کړي۔