ولې nftables نشي کولی په OpenVPN کې د کلینټانو ترمنځ ترافیک وویني
د همکارانو ترمنځ ترافیک د VPN د بهیر په داخل کې سپارل کیږي، نو د لېږد شمېرونکي هېڅکله نه خوځي۔ د هغه شمېرل پدې معنا دي چې د کرنل لار او د بهیر لار ترمنځ انتخاب وکړئ۔
په یوه سرور کې دوه کلینټان فایلونه تبادله کوي، لېږد بریالی کیږي، او هره لېږد قاعده چې تونل ته یې اشاره کوئ صفر پاکټونه راپور کوي۔ قواعد خراب نه دي او زنځیر په غلط ځای کې نه دی۔ کله چې د همکارانو ترمنځ لېږد فعال وي، پاکټ د سرور د بهیر په داخل کې سپارل کیږي او د کوربه سټیک هېڅکله روټر نه کیږي، نو د کرنل د اور دېوال لپاره د شمېرلو څه نه پاتې کیږي۔ د دې وېش پوهېدل هغه څه دي چې معلوموي ایا لنډه لار ساتئ که لار د کرنل له لارې بیا جوړوئ۔
له سرور څخه یو پاکټ تعقیب کړئ
په روټ شوې تونل کې ډیمون د هر کلینټ ډیکریپټ شوی پاکټ تونل وسیلې ته ورکوي۔ له هغه ځایه کوربه یې روټ کوي، د لېږد کنډک چلیږي، او هغه قاعده چې له تونل وسیلې سره سمون لري کولی شي ترافیک وشمېري یا یې وغورځوي۔ دا هغه لار ده چې ډېری د اور دېوال بېلګې یې فرض کوي۔
| Forwarding path | Who decides | What the host firewall sees |
|---|---|---|
| Kernel routing between clients | Host routing table and forward rules | Every inner packet, with interface names |
| Peer forwarding inside the server process | The VPN daemon's own peer table | Only the outer encrypted transport |
لنډه لار کوربه له منځه وړي۔ د یوې ناستې ډیکریپټ شوی پاکټ د ډیمون په داخل کې بلې ناستې ته ورکول کیږي، او داخلي پاکټ هېڅکله په تونل وسیله نه خارجیږي او نه کوربه یې روټ کوي۔ انکپسول شوی ترافیک بیا هم فزیکي انټرفېس تېروي، نو بیرونی نیول بوخت ښکاري پداسې حال کې چې داخلي قواعد غلی پاتې کیږي۔ په تونل وسیله اخیستل شوی نیول هېڅ هم نه ښیي، کوم چې هر هغه څوک حیرانوي چې هلته د لېږد لیدو ته تمه لري۔ دا نابرابري له ډیمون څخه د باندې لنډه لار پېژندلو تر ټولو ګړندې لاره ده۔
د شمېرونکي هغه ازموینه چې معلوموي کومه لار تېره شوه
هغه قاعدې ته چې باید پلي شي یو شمېرونکی وتړئ، د دوو کلینټانو ترمنځ لېږد وچلوئ چې هغه قاعده باید بند کړي، او بیا شمېرونکی ولولئ۔
sudo nft list ruleset
sudo nft add rule inet filter forward iifname "tun0" oifname "tun0" counter accept
sudo nft list chain inet filter forwardکه لېږد بریالی شي او شمېرونکی پر صفر پاتې شي، کرنل هغه پاکټونه هېڅکله نه دي پروسس کړي، او د قواعدو هېڅ سمون به دا نه بدلوي۔ هماغه ازموینه پر سرور پخپله یوه خدمت په وړاندې تکرار کړئ، ځکه هغه جریان د کوربه سټیک تېروي او شمېرونکی یې خوځي۔ د دوو پایلو پرتله کول هغه څه دي چې ځواب ورکوي۔
دوه تفصیلات د غلط لوستلو مخه نیسي۔ د انټرفېس نوم چې په زنځیر لیبل کې لیکل شوی وي پخپله هېڅ نه فلټروي، ځکه سمون د قواعدو په داخل کې د انټرفېس په برخو کې کیږي۔ او د طبقې 2 پله شوې طرحه بیا بل ډول چلند کوي: هلته کلینټان یو خپرېدو ډومېن شریکوي، نو د همکارانو موندل تمه کیږي، د روټینګ تېروتنه نه۔
سویچ د لاسرسي لیست نه دی
دا هغه برخه ده چې نیمه ورځ خوري۔ د همکارانو ترمنځ لېږد یوازې یو روښان یا مړ تنظیم دی، او تر هغه چې روښان وي ډیمون یوازینی لېږد ټکی دی۔ د کوربه اور دېوال نشي کولی ووایي چې څوک چاته رسېدلی شي، او د هر کلینټ فایلونه سویچ په یوه پالیسي ماتریس نه بدلوي۔
که تاسو ته د هر همکار لپاره قواعد غواړئ، انتخاب د لنډې لارې پرېښودلو او د کنټرول په توګه د کوربه اور دېوال پرېښودلو ترمنځ دی۔ د هغه مړول د کرنل لېږد بېرته راولي، کوم چې په سرور کې د IP لېږد فعالول او ستاسو د غوښتل شوو جریانونو لپاره څرګند قواعد غواړي۔ روښان ساتل یې معنا دا ده چې پالیسي د ډیمون په ترتیباتو کې ژوند کوي، کوم چې په عمل کې ټول همکاران یا هېڅ همکار نه دی۔
جلا سرور بهیرونه چې خپل پته حوضونه او پورټونه لري د منځنۍ لارې د کار وړ بڼه ده۔ هر بهیر دقیقاً یو د لاسرسي پرېکړه لري، نو دوه ډلې کولی شي بې د پالیسي ماتریس مختلف قواعد ولري۔ کوربه کولی شي د حوضونو ترمنځ روټ وکړي کله چې دا مقصود وي، او بیا اور دېوال هغه جریانونو ته ویني ځکه هغوی کوربه تېروي۔ لګښت اضافي پورټونه، اضافي سندونه او د هرې ډلې لپاره یو پروفایل دی۔
د لېږد ټکي غوره کول
د کرنل لېږد غوره کړئ کله چې اور دېوال د پالیسي ماشین وي، کله چې تاسو ته د هر جریان لپاره ثبت غواړئ، یا کله چې حساب مهم وي۔ لګښت د کوربه سټیک له لارې تېرېدونکی ظرفیت او د ساتلو لپاره ډېر قواعد دي۔ ګټه دا ده چې هره موجوده وسیله، له شمېرونکو څخه تر جریان صادروونکو پورې، بیا ترافیک تشریح کوي۔ په کوچني سرور کې دا لګښت نه ښکاري؛ په بوخت ریلې کې نه۔
د بهیر داخل لېږد غوره کړئ کله چې د همکارانو ترمنځ ترافیک یا ټول اجازه لري یا ټول بند دي او سرور پر هغه اندازه شوی وي۔ لګښت دا دی چې شمېرونکي، د کتار نظم او د اړیکو تعقیب نور داخلي جریانونو ته تشریح نه کوي؛ دا یوازې هغه وخت منل کېدای شي چې وروسته هیڅوک پر هغوی تکیه ونکړي۔
هر څه چې غوره کوئ، هغه د اور دېوال د قواعدو ترڅنګ ولیکئ۔ د قواعدو ټولګه چې د همکارانو ترمنځ ترافیک ته اجازه ورکوونکې ښکاري پداسې حال کې چې ډیمون هرومرو پرېکړه کوي، بل هغه څوک تېربایي چې ناکام لېږد ډیبګ کوي۔ هر څوک چې یوازې قواعد لولي به فکر وکړي چې کرنل دروازه ده۔
د قواعدو بدلولو دمخه څه وګورئ
هغه ترتیبات ولولئ چې سرور واقعاً بار کړي، نه هغه فایل چې تاسو یې د سمون یاد لرئ، او تایید کړئ چې د همکارانو اختیار شته که نه۔ که یې بدل کړی وي، ډاډه شئ چې خدمت بیا بار شو نه یوازې په ډیسک کې فایل بیا ولیکل شو۔
بیا ازموینه د کلینټ څخه سرور ته د جریان سره تکرار کړئ ترڅو ثابت شي چې قاعده بالکل سمون لري، او لېږل شوې لارې وګورئ، ځکه ورکه لار د کلینټ له اړخه بالکل د اور دېوال بندېدو په څېر ښکاري۔ د قواعدو ترتیب یوازې هغه وخت بدل کړئ چې پوه شئ کوم د لېږد ټکی پرېکړه لري۔