VPN وصل دی خو فایر وال لا هم بندوي: څنګه پوه شو چې کوم یو دی

کلینټ وایي وصل دی، سرچینه لا هم انکار کوي، او بل عادي ګام دا دی چې یو څه بند کړو. په دې جمله کې دواړه کنټرولونه بېل کار کوي: VPN د پوښل شوي ترافیک لپاره لار جوړوي، او فایر وال د هرې اړیکې لپاره پرېکړه کوي چې ترافیک تېرېدای شي که نه. د ردولو پالیسي لرونکی فعال ټنل د کاروونکي له چوکۍ څخه سم د مات ټنل په څېر ښکاري، نو دنده دا ده چې ومومو کومه طبقه ځواب وایي. دا هغه ترتیب دی چې زه یې تعقیبوم، د هغې لوستنې سره چې تاسو ته وایي ودرېږئ.

لاره له پالیسي څخه جلا کړئ

د ناکامۍ له بڼې پیل کړئ، ځکه چې دا وړیا معلومات دي. د پاکټ غورځېدل وخت تېرېدل پیدا کوي: کلینټ بیا هڅه کوي، هیڅ نه راګرځي، او حکم تر تسلیمېدو پورې ځوړند وي. انکار رد یا بیا تنظیم پیدا کوي: یو څه ځواب ورکړ او نه یې وویل. هغه خدمت چې نه اوري په خپله کوربه کې انکار کوي، پرته له کوم فایر وال څخه.

دا درې پایلې بېلو طبقو ته اشاره کوي. وخت تېرېدل معنا دا ده چې چېرې یوه پالیسي په خاموشۍ غورځوي، یا لاره هېڅکله ماشین نه پرېږدي. رد شو معنا دا ده چې تاسو کوربه ته ورسېدئ او د هغه سټیک یا سیمه ییز فایر وال انکار وکړ. بشپړه خاموشي، د ټنل انټرفېس پورته او منزل ته د لارې نشتوالي سره، معنا دا ده چې لاره غلطه ده او هېڅ د فایر وال قاعده به یې سمه نه کړي.

لاره په یوه تېرېدنه کې ولولئ

له یوې قاعدې کتلو دمخه تایید کړئ چې ټنل منزل پوښي. هغه وېشل شوی ټنل چې یوازې د دفتر فرعي شبکه وړي غوښتنه بلې ساحې ته نه استوي، او بیا ناکامي د فایر وال بندېدو په څېر ښکاري چې هغه نه ده:

ip route get 10.20.4.15
ip -brief address show
wg show
sudo ipsec statusall

د لارې وتل هغه انټرفېس نوموي چې پاکټ به ترې ووځي او هغه سرچینه پته چې به یې وړي. که هغه انټرفېس ستاسو فزیکي شبکه کارت وي نه ټنل، ستونزه په لارښوونه یا د ټنل په اجازه شوو ساحو کې ده، او دا د فایر وال نه، د VPN ترتیب پورې اړه لري.

یوه VPN ته ځانګړې تله خپله جلا کتنه غواړي. په WireGuard کې د یو همکار AllowedIPs هم لاره او هم کریپټوګرافیک چاڼگر دی: هغه پاکټ چې سرچینه پته یې د همکار اجازه شوې ټولګې سره نه ځي، له هرې فایر وال قاعدې کتلو دمخه غورځول کېږي. نو یو بشپړ سم کوربه فایر وال کولای شي د پالیسۍ په څېر ښکارېدونکي خاموش غورځولو شاته وي، او سمون یې قاعده نه، بلکې د کیلي د ترتیب یوه کرښه ده.

په هغه طبقه کې پالیسي ولولئ چې ځواب وایي

کله چې لاره سمه شي، پالیسي له کوربه بهر ته وګرځوئ او هغه یوه طبقه وګورئ چې شمارونکي یې خوځېږي:

ss -ltn | grep ':443'
sudo nft list ruleset
sudo iptables -S INPUT
sudo ufw status verbose

اورېدونکی ساکټ د قاعدو په پرتله بل پوښتنې ته ځواب وایي. که په پورټ کې هیڅ نه اوري، کرنل اړیکه ردوي او هېڅ دننه راتلونکې قاعده اړوند نه ده. که ساکټ شته او له لرې کلینټ څخه اړیکه وخت تېروي، په لاره کې چېرې غورځول کېږي، او د قاعدو شمارونکي وایي چې دا دلته کېږي که نه.

له بهر اټکل کولو پرځای د هغه پروفایل یا ځنځیر لپاره چې شک لرئ ثبت فعال کړئ. یو ثبت شوی غورځول چې سرچینه، منزل او پورټ نوموي طبقه او قاعده پېژني، او دا هم ثابتوي چې پاکټ ورسېد، کوم چې د کلینټ اړخ هېڅ ازموینه نشي ثابتولای.

کله چې ټنل هلته پای ته ورسېږي د دروازې پرېکړه ولولئ

په سایټ-تر-سایټ یا لرې لاسرسي دروازه کې VPN کاروونکی تصدیقوي او پالیسي سرچینې ته اجازه ورکوي، او دا بېل اجازتونه دي. هغه کاروونکی چې ټنل ته دننه شو په اوتومات ډول هر داخلي کوربه ته نه دننه کېږي، او انکار ډېری وخت د لېږد قاعدې څخه راځي په داسې حال کې چې ټنل پخپله روغ دی. همدا جلا والی په IPsec کې هم ښکاري، چېرې چې د ترافیک غوره کوونکې امنیتي پالیسي له هغه چاڼگر څخه بېله ده چې اجازه ورکوي، او له همدې امله دواړه د بېلو میکانیزمونو په توګه RFC 4301.

د راستنېدو لاره هم هغسې په احتیاط وګورئ لکه د تلو لاره. د حالت چاڼگر باید ځواب وویني, نو له ټنل څخه په یوه لوري او د هغې شاوخوا په بل لوري ناهمغږه لارښوونه هغه غورځول جوړوي چې ناڅاپي ښکاري او یوازې له ځینو کلینټونو څخه تکرارېږي. که ترافیک دروازې ته ورسېد او ودرېد، له هر څه پراخولو دمخه د لېږد قاعده او د راستنېدو لاره یوځای ولولئ.

دروازه هغه ځای هم دی چې د NAT یا ماسک قاعدې کولای شي ریښتینی سرچینه پټه کړي. که داخلي کوربې د کلینټ پرځای د دروازې پته وویني، د هغوی کوربه فایر وال قواعد چې باید د کلینټ ټولګې سره سمون ولري هېڅکله به سمون ونه لري، او سمون د هر سرور نه، د دروازې پورې اړه لري.

تر ټولو تنګه طبقه بدله کړئ، بیا تایید کړئ

د پراخ ترمیم مخه ونیسئ. د کوربه فایر وال بندول، د هر څه اجازه ورکوونکې قاعدې زیاتول، یا هر انټرفېس په باوري پروفایل کې اچول — هر یو یې هغه کنټرول لره کوي چې خپله دنده یې کوله، او بدلون له پېښې وروسته هم پاتې کېږي. هغه قاعده چې د سرچینې ساحې او اړوند پورټ پورې محدوده وي کتل یې اسان، لره کول یې اسان، او د ماشین پاتې پالیسي نه زیانمنه پرېږدي.

هغه ازموینه چې ناکامه شوه، له هماغه کلینټ څخه تایید کړئ، او بیا له بیا نښلېدو وروسته یو ځل نوره، ځکه هغه قاعده چې د ټنل له بیا خبرو دمخه سمون درلود ممکن وروسته سمون ونه لري:

nc -vz 10.20.4.15 443
curl -v --max-time 5 https://10.20.4.15/

له تړلو دمخه:

• منزل ته لاره د ټنل انټرفېس څخه وځي، او سرچینه پته له هغه څه سره سمون لري چې پالیسي یې تمه لري.
• په پورټ کې یو څه اوري، او انکار یا وخت تېرېدل اټکل نه، بلکې نومول شوې قاعدې ته منسوبېږي.
• دروازه په دواړو لورو لېږدوي، او منزل هغه سرچینه ویني چې ستاسو قواعد د هغې لپاره لیکل شوي.
• د ازموینې پاسېدو لپاره هېڅ کنټرول بند نه شو، او ستاسو بدلون یوه سرچینه ساحه او یو پورټ نوموي.