د VPN لار یا د فایر وال قاعده: کوم یو پاکټ غورځوي؟

پر هماغه پاکټ دوه خپلواکې پرېکړې کېږي او هر یو یې کولای شي غوښتنه په خاموشۍ پای ته ورسوي. د لارې پلټنه یو انټرفیس او بل ګام ټاکي، بیا د پاکټ فلټر پرېکړه کوي چې ایا هغه ترکیب اجازه لري. د وخت پای تاسو ته وایي چې له دواړو یو انکار وکړ، نه دا چې کوم. مرحلې په ترتیب سره وپلټئ او ترمیم معمولاً د اټکل کېدو پاتې کېدل بندوي.

دوه پرېکړې، یو پاکټ، دوه مالکان

د لارې پلټنه لومړی د پالیسۍ قواعدو سره مشوره کوي، بیا د هغې جدول سره چې دوی ورته اشاره کوي، او د منزل سره سم ترټولو ځانګړی پریفیکس ټاکي. هغه کلاینټ چې د تونل لار یې نصب کړې وي د هغې پرېکړې مالک دی، او د فایر وال په قاعده کې هېڅ شی نشي کولای ځای یې ونیسي. کله چې پلټنه ناڅاپي ځای ته اشاره وکړي، هر وروستی پړاو پر غلط پاکټ کار کوي.

فلټر کول جلا دي. پر Linux هوسټ د netfilter هنګونه ترافیک د دې له مخې وېشي چې پاکټ د چا لپاره دی: وتنه ماشین پرېږدي، ننوتنه پر هغه پای ته رسېږي، لېږد ترې تېرېږي. هغه ګېټوې چې VPN کلاینټونه مني او LAN ته یې لارښوونه کوي د لېږد لارې ته اړتیا لري، او دا هغه زنځیر دی چې ډېری ډیفالټ ترتیبات یې تش پرېږدي.

د سرچینې ټاکل د هماغې پرېکړې برخه ده، او دلته ډېری ناسمې اړیکې پټې دي. کرنل د وتلو انټرفیس څخه د سرچینې پته ټاکي پرته له دې چې لاره یوه ونوموي، نو د LAN سبنیټ لپاره لیکل شوې فلټر قاعده هېڅکله د تونل پتې سره وتلو پاکټ سره سمون نه خوري.

ولولئ چې پلټنې په رښتیا څه وټاکل

پرېکړه د اټکل کولو پرځای چاپ کړئ. لاندې کمانډ هغه لاره حل کوي چې کرنل به د هغې منزل لپاره کاروي، په شمول د انټرفیس او هغې سرچینې چې به یې ټاکي:

ip route get 10.8.0.5
ip route get 10.8.0.5 from 192.0.2.44
ip rule show
ip route show table all | sed -n '1,40p'

VPN کلاینټونه ډېری د پالیسۍ قواعد د اصلي جدول لاندې لومړیتوبونو کې نصبوي، نو پاک اصلي جدول په خپله هېڅ نه ثابتوي. د قواعدو لومړیتوبونه د هغو جدولونو سره پرتله کړئ چې دوی یې ټاکي، او وګورئ چې ایا د تونل لاره له بیا نښلېدو وروسته پاتې کېږي که نه، پرځای دې چې یو ځل په لاس اضافه شي.

د پالیسۍ پر بنسټ IPsec درېیم سمون پړاو زیاتوي چې لارښوونه یې نه پوښي، لکه څنګه چې د strongSwan د لېږد یادښتونه د تونل او ترانسپورت ترتیباتو لپاره بیانوي. امنیتي پالیسي ترافیک د پریفیکس او پروتوکول له مخې ټاکي، پداسې حال کې چې لاره یوازې پرېکړه کوي چې ناسمحافظه پاکټ به چېرته لاړ شي. هغه سبنیټ چې لارښوونه ورته کېږي خو سم ټاکونکی نه لري یا ناسمحافظه پاتې کېږي یا د ترتیباتو له مخې غورځول کېږي، او دواړه پایلې د فایر وال ستونزې په څېر نه ښکاري. پالیسي چاپ کړئ او د هغې ټاکونکي د هغو پریفیکسونو سره پرتله کړئ چې تمه مو درلوده تونل به یې وړي.

فلټر کول پر هنګ پلي کېږي، نه پر لاره

هغه قاعده چې VPN اورېدونکي ته اجازه ورکوي د ګېټوې په خپله ادرس شوي ترافیک په اړه قاعده ده. دا د هغې ګېټوې شاته میزبانونو ته رسېدونکو کلاینټونو په اړه هېڅ نه وایي، ځکه لېږل شوی ترافیک بېل زنځیر ته تېرېږي. د قواعدو ټولګه د یوې هوارې لست په توګه لوستل هغه معمول دلیل دی چې سم ښکارېدونکې قاعده هېڅکله فعاله نه شي.

شمېرونکي پوښتنه ژر حل کوي. هغه قاعده چې د پاکټ شمېر یې صفر دی هېڅکله نه ده رسېدلې، چې غلط زنځیر، غلط انټرفیس یا مخکې غورځولو ته اشاره کوي. د غورځولو پالیسۍ لاندې زیاتېدونکې شمېرنې قاعده هغه پوله ده چې تاسو یې لټوئ، او پاکټ د غلطې لارښوونې پرځای غورځول کېږي.

هغه لاره چې کلاینټ کاروي پر هغې یوه پروبه ولېږئ

په خپله ګېټوې باندې چلېدونکې ازموینې د ګېټوې خپلې سرچینې پتې سره د وتنې او ننوتنې له لارې تېرېږي. دا د کلاینټ د لېږل شوې غوښتنې څخه بېله لاره ده، نو بریالۍ سیمه ییزه curl له ښکارېدو کم څه ثابتوي. له هغه ماشین څخه ازموینه وکړئ چې ناکامېږي، یا انټرفیس او سرچینه په روښانه ډول پن کړئ.

nc -vz -w 3 10.8.0.5 443
ping -c 3 -W 1 10.8.0.5
tcpdump -ni any host 10.8.0.5 and port 443
iptables -vnL FORWARD --line-numbers
nft list ruleset | sed -n '1,60p'

په دواړو سرونو کې نیول پاتې قضیې بېلوي. هغه SYN چې کلاینټ پرېږدي او هېڅکله نه رسېږي لارښوونه، کوډ کول یا لوړ لاسرسي لست مانا کوي. هغه SYN چې رسېږي او ځواب نه ترلاسه کوي خدمت یا د هغه هوسټ فلټر مانا کوي، او تونل هېڅکله ستونزه نه وه.

بېرته راتلونکی ترافیک خپل ځانګړی کتنه مستحق دی. ناسمه لارښوونه او د بېرته لارې فلټر کول هغه ځوابونه غورځوي چې ناسم انټرفیس ته رسېږي، چې د بند پورټ پرځای د یوې خوا اړیکې په څېر ښکاري. د sysctl ارزښت وګورئ مخکې له دې چې فایر وال د هغې نښې لپاره ملامت کړئ چې هغه نه ده رامنځته کړې.

لاګ کول د لومړي ګام نه، د دویم نظر په توګه کار کوي. پر لېږد زنځیر یوه لنډمهاله لاګ اعلامیه هغه انټرفیس او پتې ونوموي چې پرې لګېدلي، او وروسته یې لرې کول اسانه دي. که یې تلپاتې پرېږدئ، د ځواب پرځای د لاګ حجم ستونزه مو جوړه کړې.

هر بدلون هلته کېږدئ چې له بیا نښلېدو وروسته پاتې کېږي

د ip route add په واسطه اضافه شوې لاره تر هغه ژوندې ده چې انټرفیس ښکته شي. هغه په اتصال پروفایل کې وساتئ: NetworkManager پر اتصال اضافي لارې مني، او netplan یې د بیا پیلونو ترمنځ ساتي. هماغه قاعده د کلاینټ اړخ د فایر وال استثنا لپاره هم صدق کوي، چې د بلې بیا لوستنې وروسته ورکېږي.

د سرور اړخ قواعد په هغه ترتیباتي فایل پورې اړه لري چې خدمت د پیل پر مهال یې لوستي، نه په یوه متقابله ناسته چې تاسو یې د بندولو سره پای ته رسېږي. قاعده ولیکئ، بیا ولولئ، او تایید کړئ چې شمېرونکی ښویېدلی، ځکه هغه بیا لوستنه چې نحو یې رد کړی وي پخوانۍ قاعده ټولګه په خاموشۍ خپل ځای کې پرېږدي.

بیا اصلي اپلیکیشن غوښتنه له سره تر پای پورې تکرار کړئ او ولیکئ چې کومه طبقه بدله شوه. هغه د لارې ترمیم چې فلټر بدلون ته هم اړتیا لري به لا هم ناکام شي، او دویمه ناکامي د لومړي له منځه تللو وروسته ډېره اسانه لوستل کېږي. د پایلې ترڅنګ نیټه او د کلاینټ نسخه ولیکئ، ځکه د لارښوونې او فلټر کولو ډیفالټونه دواړه د خپرېدنو ترمنځ خوځېږي. هغه یادښت پر ټکټ وساتئ ترڅو بل کس د دوه مرحلو سفر له تکرارولو پرته له هغه ځایه پیل کړي چې تاسو ودرېدلئ.