ولې د VPN له وتنې وروسته د پورټ سکن پایلې بدلېږي؟
وتنه بدله کړئ او پورټ کولای شي بېل ځواب ورکړ پرته له دې چې خدمت وخوځېږي. د لارې کتنه له هغه لیست څخه جلا کړئ چې تاسو ته ریښتیا ورته اړتیا ده.
هماغه د پورټ کتنه له دفترۍ کرښې او د VPN له وتنې څخه چل کړئ، او دوه ځوابونه کولای شي د هغه پتې په اړه سره اختلاف ولري چې چا نه ده بدله کړې۔ دا توپیر له لارې او له دې څخه راځي چې کوم کوربه ځواب ورکړ، نه له دې چې خدمت روان دی که نه۔ درې پوښتنې هغه تشریحات بېلوي: کتنې په رښتیا څه وپوښتل، کوم کوربه ځواب ورکړ، او ستاسو خپل سرور څه ثبت کړل۔ دوی په همدې ترتیب بشپړ کړئ او د بل ته له تګ مخکې هر ځواب ولیکئ۔
له دوه چلندونو پرتله کولو مخکې کتنه سمه کړئ
د حالت کلمه یوازې هغه وخت له بلې حالت کلمې سره پرتله کېدای شي چې دواړه له یوه ګډې تجربې څخه راغلي وي۔ پنځه ډګرونه دا ټینګوي: هغه سرچینه پته چې لرې اړخ لیدلې، حل شوې منزل، پورټ، د سکن ډول او وخت۔ له دوی څخه هر یو بدل کړئ او تاسو دوهمه تجربه کړې ده نه دا چې لومړی دوه ځله اندازه کړی وي۔
له هر څه مخکې سرچینه وګورئ، ځکه چې VPN کلاینت کېدای شي روان وي او ټرافیک لا هم د فزیکي انټرفیس له لارې وځي۔ له لرې اړخه وپوښتئ چې څه ویني، بیا له کرنل څخه وپوښتئ چې کوم انټرفیس یې غوره کړ:
curl -s https://ifconfig.me
ip route get 203.0.113.20په بېلو شبکو کې دوه پتې مانا دا ده چې تشریح لا دمخه په لاس کې ده، او پاتې کتنې به یې یوازې تایید کړي۔ کله چې سره سمون وخوري، کتنه د دلیل بیرغ روان ثبت کړئ، ترڅو حالت د یوې تشریح سره تړلی بیرته راشي نه دا چې یوازې د لوڅې کلمې په څېر ودرېږي۔ د سکن ډول هم هماغه ریکارډ ته اړه لري، ځکه چې دا بیانوي چې څه پوښتل شوي، نه هغه څه چې بیرته راغلي۔ پرته له سرچینې، میتود او وخت نښې یو حالت له هیچا سره پرتله کېدای نه شي:
nmap -sT -p 443,8443 --reason 203.0.113.20هماغه پایله د ریکارډ ترڅنګ وساتئ، نه په هغه سکرول بفر کې چې بل کس یې نه شي لیدلای۔ دوه صادقې سکنې چې سره اختلاف لري یوازې هغه وخت جنجال دي چې چا شرطونه نه وي لیکلي۔ شرطونه ټینګ شي، یا پایلې سره سمون خوري او پوښتنه بندېږي، یا توپیر لري او توپیر د لارې په اړه یو حقیقت دی۔
ومومئ کوم کوربه لاس ورکول بشپړ کړل
بشپړ شوي لاس ورکول ثابتوي چې یو کوربه هغه بشپړ کړی، او هغه کوربه اړ نه دی چې ستاسو په ذهن کې پروسه وي۔ د بار برابرونکی، برعکس پراکسي یا SYN پراکسي کولای شي له ریښتیني سرور د شاملېدو مخکې ځواب ورکړي، چې دا عادي ډیزاین دی، نښه نه ده۔ د تمه شوي نوم لپاره معتبر سند هم دا نه تنګوي، ځکه چې سند د خدمت اړیکه بیانوي او د دې په اړه هیڅ نه وایي چې کومه ماشین اړیکه پای ته ورسوله۔
د Nmap د پورټ حالتونو مرجع دا بنسټي ګڼي: حالت ثبتوي چې کتنې د خپل لېږلو ځای څخه څه کتلای شو، نه د پورټ ځانګړتیا۔ د حالت کلمه همداسې ولولئ او هغه دوه چلندونه چې سره یې اختلاف درلود په دوامداره توګه ښکاري نه په متضاد ډول، پداسې حال کې چې پوښتنه له دې چې پورټ خلاص دی که نه، هغې ته ځي چې د هغه مخې ته څوک ولاړ و۔
د دوهمې پوښتنې ځواب په بیک انډ کې ورکړئ نه له بهر۔ هغه فرنټ انډ چې اړیکې مني او بیا خپل اپسټریم ته نه رسېږي، د یو روغ خدمت چې ورو اپلیکیشن لري په بشپړه توګه بیرونی انځور جوړوي۔ یوازې د اپسټریم خپل ریکارډ دوه حالتونه بېلوي:
tail -n 5 /var/log/nginx/access.log
ss -ltnp 'sport = :443'د لاګ کرښه هغه کلاینت پته ښیي چې اپلیکیشن په رښتیا لیدلې، او دوهمه کمانډ ښیي چې د 443 پورټ نیوونکی پروسه ستاسو اپلیکیشن دی که د هغه مخې ته یو څه۔ که دواړه په دې کې اختلاف ولري چې کومه پته وتړله، تاسو د یوې غوښتنې دوه پښې ګورئ او ټکټ باید همداسې ووایي۔
له تونل تورنولو مخکې خپل قواعد وګورئ
قصدي پالیسي د دې ترټولو عام دلیل دی چې پورټ په یوه شبکه ځواب ورکوي او په بله نه، او دا د موجودو تشریحاتو ترټولو لږ په زړه پوري ده۔ د لاسرسي قواعد د دې لپاره دي چې یوه سرچینه اجازه ورکړي او پاتې نور رد کړي، نو د وتنې بدلون هماغه پېښه ده چې دوی ورته لیکل شوي۔ له همدې امله د VPN له لارې بېل حالت نه ښیي چې چمتو کوونکی ټرافیک ګوري۔ دا ښیي چې ستاسو سرچینه پته اوس بېله ده، چې د پام وړ کوچنی ادعا ده۔
هغه قواعد په سرور لوستل کېدای شي، نو هغه ولولئ نه دا چې د شبکې په منځ کې اټکل وکړئ۔ هغه د فلټر قواعد لیست کړئ چې له دوو پتو سلسلو څخه یوه ته اشاره کوي، بیا وګورئ چې اړیکه اصلاً ډیمون ته ورسېده که نه:
nft list ruleset | grep -n -e 203.0.113 -e 198.51.100
journalctl -u sshd -n 50 | grep 203.0.113خالي دوهمه پایله معلوماتي ده، ځکه چې ډیمون ته څه نه دي رسېدلي او پوښتنه د یو فلټر، امنیتي ګروپ یا خود لارې ده۔ یو ټک وهل مانا دا ده چې خدمت ستاسو سرچینه ولیدله او خپل ځواب یې غوره کړ، او هغه پرېکړه معمولاً په هغه قاعده کې لیکل شوې ده چې تاسو یې لوستلای شئ۔ دواړه پایلې د چمتو کوونکي په اړه کیسه نه تاییدوي، او دواړه د پاکټ نیولو څخه ارزانه کتل کېدای شي۔
ترانسپورت، سند او ځواب جلا ولولئ
درې طبقې درې کتنې جوړوي، او هغه کتنه چې یو له دوی څخه ازموي د نورو دوو په اړه راپور نه شي ورکولای۔ دوی په ریکارډ کې د جلا کرښو په توګه وساتئ نه دا چې په یوه پرېکړه کې یې ټوله کړئ، ځکه چې هره کرښه په خپله طریقه ناکامېږي او د ناکامۍ طریقه وایي چې بل ځل چېرته وګورئ۔
| Observation | What it settles | What it leaves open |
|---|---|---|
| Connection completed | A host on the path accepted the handshake | Which host, and whether its upstream is reachable |
| Certificate valid for the name | The endpoint holds a credential for that name | Whether the process behind it is the one you meant |
| Expected response body | The application handled the request | Anything about other ports or other paths |
| Connection refused | A host replied and nothing was listening | Whether a filter sits ahead of the refused port |
| Timeout | No reply arrived before the deadline | Drop, blackhole route or an overloaded host |
یوه کمانډ ستاسو تر کنټرول لاندې خدمت په وړاندې لومړنۍ درې کرښې جوړوي۔ د هغې پایله په چیټ پیغام کې نه، د سکن ترڅنګ په ریکارډ کې کېږدئ:
curl -v --resolve office.example:443:203.0.113.20 https://office.example/پایله په ترتیب ولولئ: لاس ورکول د ترانسپورت پوښتنې ته ځواب ورکوي، د سند موضوع د نوم پوښتنې ته، او د ځواب بدن د اپلیکیشن پوښتنې ته۔ کله چې د لاس ورکولو کرښه بریالۍ شي او د ځواب کرښه نه، تاسو مات شوي اپسټریم لرونکی فرنټ انډ لرئ، نه بند شوی پورټ۔ هغه له هغه ټکټ څخه بېل ټکټ دی چې تاسو پرانیستی و، او دا د روښانه ویلو وړ ده۔
په ټکټ کې څلور حقایق ولیکئ او پای ته یې ورسوئ: سرچینه پته، د سکن ډول، هغه کوربه چې ځواب یې ورکړ، او وخت۔ هر هغه څه چې وروسته پرتلې ته اړتیا لري په همدغو څلورو کې ژوند کوي، او څوک چې قضیه بل ځل پورته کړي ستاسو د ټرمینل تاریخ به نه لري۔ که څلور واړه نه شئ ډکولای، چلند بشپړ شوی نه دی۔