ولې کورنی NAT ستاسو د VPN انټرفیس نه ساتي
کورنی روټر تونل لیږدوي، خو هوسټ د خلاص شوي کوډ بسته قضاوت کوي. اورېدونکی، داخلي لاره او د ننوتلو پالیسي جلا ولولئ.
د کورني روټر شاته لپ ټاپونه پرته له پورټ لېږدولو هغه SSH اړیکې مني چې د VPN له لارې رارسيږي۔ دا تضاد نه دی، ځکه دوه بېلې وسیلې دوه بېلې بستې قضاوت کوي۔ روټر کوډ شوی لېږد لیږدوي، او هوسټ پرېکړه کوي چې د خپل تونل انټرفیس ته رسېدونکې خلاصه شوې بسته سره څه وشي۔ دې دوو پرېکړو جلا ساتل ټول تمرین دی۔
روټر تونل لیږدوي، هوسټ بسته قضاوت کوي
له یوې قاعدې کتلو دمخه له لرې سرچینې څخه تر خدمت پورې لاره رسم کړئ۔ بهرنۍ برخه د VPN لېږد دی چې روټر او ګیټوی اداره کوي۔ داخلي برخه هغه وخت پیل کیږي چې پای ټکی د تونل طبقه لرې کوي او هوسټ د خپل VPN پتې ته استول شوې بسته ترلاسه کوي۔
دې دوې برخې یوځای کړئ او روټر د هغې پرېکړې اعتبار اخلي چې هوسټ یې کوي۔ د پورټ لېږدولو پاڼه یا د روټر لاګ یوازې بهرنۍ خبرې اترې بیانوي او هیڅ یو نه وایي چې هوسټ کوم خلاص شوی ترافیک مني۔ هوسټ خپله د ننوتلو پالیسي پر داخلي بسته پلي کوي، لکه څنګه چې پر هر هغه بسته پلي کوي چې انټرفیس ته رارسيږي۔ په همدې پالیسي کې د افشا کېدو پوښتنه واقعاً حل کیږي۔
د عام نوم اورېدونکی عامه خدمت نه دی
په Linux کې INADDR_ANY پتې ته تړل هر ځایي پته مانا لري، نو یو خدمت کولای شي په هغه تونل انټرفیس ځواب ووايي چې هېڅکله یې نوم نه دی اخیستی۔ د IP ساکټ مرجع هغه تړل بیانوي، او د اورېدونکو له لیست څخه د پایلې اخیستلو دمخه یې لوستل ارزښت لري۔ د عام نوم ننوتنه د ساکټ په اړه حقیقت دی، نه د لاسرسي وړتیا په اړه ادعا۔
لاندې دوه کرښې د یو خدمت دوه بېل تړل دي، او توپیر د دې پوښتنې بشپړ ځواب دی چې آیا انټرفیس مهم دی۔ له هر څه دمخه ولولئ چې ساکټ پر کومه پته ناست دی۔
ss -lntp "sport = :22"
LISTEN 0 4096 0.0.0.0:22 0.0.0.0:* users:(("sshd",pid=812,fd=3))
LISTEN 0 4096 10.8.0.6:22 0.0.0.0:* users:(("sshd",pid=812,fd=4))هغه ترتیب ونوموئ چې کولای شي پورټ ته ورسیږي
درې ترتیبه بسته پر هغه انټرفیس ږدي او بېل مالکان لري۔ د سم ترتیب نومول پرېکړه کوي چې څوک باید پالیسي بدله کړي۔
| Arrangement | What reaches the port | Where the decision lives |
|---|---|---|
| Another permitted VPN peer | A packet from the same tunnel subnet | Gateway forwarding policy and host input rules |
| A deliberate public forward | Traffic the gateway publishes on purpose | Gateway service definition |
| A subnet routed behind the gateway | Client traffic from the far side | Gateway route and host input rules |
د براوزر هغه پایله چې عامه وتلو پته ښیي د درېیو له هیچا په اړه څه نه وایي، ځکه بیانوي چې وتونکی ترافیک څنګه وځي نه دا چې ننوتونکي ترافیک ته څه اجازه ده۔ پرځای یې له اورېدونکي او د خدمت په لاګ کې د سرچینې پتې څخه شاته کار وکړئ۔ که سرچینه بل تونل همکار وي، د ګیټوی پالیسي په زړه پورې سند دی۔ که ژباړل شوې پته وي، د قاعده بدلولو دمخه ژباړه پیدا کړئ۔
خدمت هغې لارې ته محدود کړئ چې په نظر کې مو درلوده
که SSH یوازې د مدیریت له لارې اړین وي، هغه لاره د سرچینې حد او یو انټرفیس په توګه ولیکئ۔ بیا د هوسټ د ننوتلو قواعد د انټرفیس، منزل او سرچینې له مخې محدود کړئ نه د شبکې نوم له مخې، ځکه چې خصوصي ښکارېدونکی نوم کولای شي هرې پتې استازیتوب وکړي۔ د هغه چا لپاره چې بل ستونزه به حل کوي یوه لاره پرېږدئ۔
nft add rule inet filter input iifname "tun0" ip saddr 10.8.0.0/24 tcp dport 22 accept
nft list chain inet filter inputهغه قاعده چې د تونل انټرفیس او د مدیریت حد نوموي، نیت په یو ځای بیانوي۔ له هغې قاعدې سره یې پرتله کړئ چې د Wi-Fi شبکې لپاره لیکل شوې، کومه چې د خلاص شوي تونل ترافیک په اړه څه نه وایي۔ کله چې دوه طبقې سره نه جوړیږي، د هوسټ پالیسي هغه ده چې بسته ورسره مخ کیږي۔
ننوتل او پیچونه سم هغه ځای کې پرېږدئ چې دي؛ پورټ ته رسېدل هېڅکله د هغه د کارولو اجازه ترلاسه کولو سره یو شان نه وو۔ د هر ناپېژاندې سرچینې لپاره د پتې کورنۍ او وخت ثبت کړئ، او د یوې ځانګړنې یا زیانمنونکي اړخ تورنولو دمخه څیړنه وکړئ۔ هغه قاعده چې هر تونل همکار مني بل ډول ډیزاین دی له هغې چې د مدیریت فرعي شبکه مني، او هیڅ د لاګ کرښه به ونه وایي چې کوم یو په نظر و۔
اصلاح د یوې بریالیتوب او یوې ردولو سره ومنئ
دواړه نیمې ثابتې کړئ: یوه تصویب شوې اړیکه بریالۍ کیږي او یوه ایستل شوې لاره رد کیږي۔ ردول هغه نیمه ده چې خلک یې پرېږدي، او همدا ده چې ښیي قاعده کار کوي نه دا چې د یوې اجازه ورکوونکې تلواله ارزښت ترڅنګ ولاړه ده۔ له ایستل شوې خوا ازموینه وکړئ نه دا چې پرې فکر وکړئ۔
جوړه بیا له نښلېدو وروسته تکرار کړئ، ځکه هغه تونل چې د بل انټرفیس نوم سره راستنیږي کولای شي په غلې کې د زوړ لپاره محدودې قاعده څخه تېر شي۔ هغه پوله چې اهمیت لري هغه ده چې هوسټ پر هغو بستو پلي کوي چې واقعاً یې ترلاسه کوي۔