د UFW د اړین بندولو سویچ ستاسو VPN بندوي؟ همکار ته اجازه ورکړئ

تاسو چک لیست تعقیب کړ: وتل منع کړئ، تونل ته اجازه ورکړئ، ufw فعال کړئ. بیا کلاینټ د لاس ورکولو په انتظار وي او هیڅکله نه نښلوي، یا نښلوي او هیڅ پاڼه نه بار کیږي. دواړه ناکامۍ له یوې خلا څخه راځي. هغه قاعده چې تونل ته د موجودیت اجازه ورکوي نشته، ځکه تونل هغه انټرفیس نه دی چې ستاسو پاکټونه ترې وځي.

ولې پر tun0 اجازه په لومړي سر کې له هیڅ شي سره نه ځي

tun0 د کلاینټ لخوا هغه وخت جوړیږي چې یو ناسته موجوده وي. هغه ډیټاګرامونه چې دا ناسته جوړوي، عادي UDP پاکټونه دي چې د 1194 پورټ په واسطه خدمت وړونکي ته استول کیږي، او د فزیکي سرچینې پتې سره له wlan0 یا eth0 څخه وځي. allow out on tun0 یوازې هغه ترافیک سره ځي چې وتونکی انټرفیس یې tun0 وي، نو د لاس ورکولو په جریان کې له هیڅ شي سره نه ځي.

پر دې default deny outgoing کېږدئ او بهرني پاکټونه د انټرفیس له ښکاره کیدو دمخه غورځول کیږي. کلاینټ بیا هڅه کوي، وخت تیریږي او د TLS یا لاس ورکولو ناکامۍ راپور ورکوي، چې خلک د سندونو او MTU په لټه کې ګرځوي، پداسې حال کې چې فایر وال په چوپتیا سره اړیکه خوري. هغه قاعده چې باید ستاسو ترافیک بند کړي، هماغه ترافیک له بندیدو منع کوي.

انعکاسي سمون تیریدل تلپاتې کوي. sudo ufw allow out on wlan0, یا بیرته پیشفرض اجازې ته اړول، تونل پورته کوي او ماشین پرته له بندولو سویچ پریږدي: بل ځل چې تونل ولویږي، هر څه د فزیکي اډاپټر له لارې بیا پیل کیږي. ما یوه ماسپښین په همدې دوه بدلونونو کې له لاسه ورکړ، دمخه لدې چې پوه شم کوم پاکټ فلټروم.

دوه پاکټ سیټونو ته څه پکار دي

ستاسو ترافیک فایر وال دوه ځله، په دوو بڼو تیریږي. داخلي پاکټ د تونل پتې څخه بهر ته د tun0 له لارې ځي. بهرنی پاکټ د فزیکي پتې څخه همکار ته ځي، او په تار کې لیدل شوی یوازینی شی هماغه دی. هر بڼې ته یوه قاعده:

sudo ufw allow out on tun0
sudo ufw allow out to 203.0.113.10 port 1194 proto udp
sudo ufw allow out to 203.0.113.10 port 443 proto tcp comment 'tcp fallback'

پته او پورټ د خپل پروفایل له هغو سره بدل کړئ. د WireGuard همکاران معمولاً په 51820/udp ځواب وایي؛ د OpenVPN هغه پروفایل چې د TCP 443 له لارې ځي، د هغې پرځای هماغه پورټ ته اړتیا لري. جزئیات توپیر لري، بڼه نه: دواړه قاعدې تنګ دي، او یوځای هغه یوازیني منزلونه ټاکي چې ماشین یې د تونل د بندیدو پر مهال رسیدلی شي.

ترتیب دویمه افسانه ده. د خام iptables سره تاسو ځنځیر له پورته څخه ښکته لولئ او فکر کوئ کومه قاعده ګټي. ufw ستاسو د ټایپ شوې لیست شاوخوا نری پوښ نه دی؛ دا ستاسو قاعدې خپلو ځنځیرونو ته کمپایل کوي او د ننوتلو نقطې ټاکي. ufw status هغوی د ufw په ترتیب چاپوي، نه ستاسو په ترتیب. کله چې یوه قاعده له پامه غورځول شوې ښکاره شي، مخکې لدې چې هر څه بیا ولیکئ ufw show added له کمپایل شوي سیټ سره iptables -S | grep ufw پرتله کړئ.

استثنا باید د یوې پتې په پراخوالي پاتې شي

د همکار قاعده یوازې هغه وخت سمه ده چې هغه پته ونوموي چې کلاینټ ورته زنګ وهی. خدمت وړونکي پای ټکي څرخوي، او هغه پروفایل چې کوربه نوم حل کوي به د DNS بدلون تعقیب کړي تر نوي پتې، پداسې حال کې چې قاعده لا هم زاړه پتې ته اشاره کوي. کله چې د میاشتو لپاره کار کوونکی تونل پورته کیدل بند کړي، مخکې لدې چې هر څه پراخ کړئ د قاعدې پته له هغې پتې سره پرتله کړئ چې کلاینټ یې لټوي.

په ټول سبنیټ یا په 1194 پورټ باندې هر منزل ته پراخول سیاست بیرته سوری لرونکي فایر وال ته اړوي. استثنا هماغه بندولو سویچ دی؛ کله چې پراخ شو، د بندولو لپاره څه نه پاتې کیږي. دا په یوه پته وساتئ او یوه تبصره پریږدئ چې هغه پروفایل او خدمت وړونکی ونوموي، ځکه شپږ میاشتې وروسته به پته خپل سری ښکاره شي.

د نومونو حل خپله کرښه مستحق دی. لټون مخکې لدې چې تونل موجود وي، د فزیکي انټرفیس له لارې کیږي، نو سخته د وتلو منع سیاست کولای شي کلاینټ د خپل سرور د موندلو څخه عاجز پریږدي. ستاسو د حل کوونکي پتې ته د 53 پورټ اجازه ورکړئ، یا یو ځل حل کړئ او پته په پروفایل کې ټینګه کړئ. په هر انټرفیس DNS ته اجازه ورکول یوه پریکړه ده، نه پیشفرض.

سیاست مخکې لدې چې تونل ته اړتیا وي جوړ کړئ

ufw enable ټول سیاست یوځل پلي کوي او خپل ځنځیرونه بیا باروي، او په روان فایر وال کې د پیشفرض سیاست بدلول هغوی هم بیا باروي. د ufw لارښود خبرداری ورکوي چې دا کولای شي موجوده اړیکې لکه SSH وغورځوي. نو امرونه په دې ترتیب ځي، د SSH قاعده د فعالولو دمخه او یوه کنسول ناسته خلاصه:

sudo ufw default deny incoming
sudo ufw default deny outgoing
sudo ufw allow out on tun0
sudo ufw allow out to 203.0.113.10 port 1194 proto udp
sudo ufw allow 22/tcp
sudo ufw enable
sudo ufw status verbose

ufw reset په دې بلاک کې په قصد پریښودل شوی. دا هره قاعده ړنګوي او فایر وال غیرفعالوي، او په لیرې کوربه کې بیا راتلونکی فعالول هماغه دي چې ستاسو ناسته غورځوي. که سره لدې بیا تنظیم کړئ، د SSH قاعده اضافه کړئ او مخکې لدې چې لاړ شئ د کنسول له لارې د بیرته راتلو دویمه لار تایید کړئ.

ترتیب ښکاره نه دی. هغه قاعدې چې د ufw د چلیدو پر مهال اضافه کیږي څه نه وینځي، خو په هغه شیبه چې پیشفرض سیاست اړوئ ځنځیرونه بیا بار کیږي، او هغه ناسته چې زاړه سیاست اجازه ورکړې وه له هغوی سره ځي. پیشفرضونه، اجازې او فعالول په یوه تیریدو کې وکړئ، تر هغه چې لا هم د ماشین څخه خپلواک د ننوتلو لار لرئ.

بند شوی حالت وآزمویئ، او بیرته راګرځول وساتئ

نه آزمویل شوی بندولو سویچ یوه اټکل ده. کلاینټ په قصد قطع کړئ او هڅه وکړئ یوه پاڼه بار کړئ: باید ناکام شي. بیا نښلئ او باید پرته له دې چې کومه قاعده وټکوئ بیرته راشي. sudo ufw status verbose پیشفرضونه او د ثبت حالت تاییدوي، او ufw status numbered ښیي چې د آزموینې کومه قاعده ړنګه کړئ کله چې له خپل هدف څخه اوږده ژوند وکړي.

مخالف سکریپټ د مخکي سکریپټ ترڅنګ وساتئ. هغه ماشین چې د وتلو منع او مړ تونل لري خپل سمون نشي ډاونلوډ کولی، نو بیرته راګرځول باید په ډیسک کې وي او له کنسول څخه لوستل کیدونکی وي:

sudo ufw reset
sudo ufw default deny incoming
sudo ufw default allow outgoing
sudo ufw enable

هغه وخت یې چل کړئ چې تونل لا دمخه لاندې وي او قاعدې باید لیرې شي، نه د معمول مرحلې په توګه. مخکې لدې چې ټرمینل وتړئ، څلور شیان باید سم وي: د همکار قاعده په دقیق ډول یوه پته نوموي، DNS یو نومول شوی استثنا لري، فعالول له اجازو وروسته راغلل، او د تونل ایستل عادي ترافیک وژني خو کلاینټ تل لپاره نه وژني.