ولې د VPN له بدلون وروسته د روټر اډمین ځواب نه ورکوي

تاسو د روټر په تونل ازموینه کولو لپاره لاره یا د اور وژنې قاعده بدله کړه، او اوس د اډمین پاڼه له هغه لپ ټاپ څخه ځواب نه ورکوي چې لس دقیقې مخکې سم کار کاوه۔ لومړنی غبرګون VPN ته تور لګول دي۔ ډېری وخت تونل جوړ وي او له درېیو نورو شیانو یو مات شوی وي: روټر خپل پتې ته د بېرته تلو لاره نشته، د ننوتلو تګلاره غوښتنه پرېږدي، یا کوم ویب خدمت په هغه پته نه اورېدل کېږي چې تاسو یې غږ کوئ۔ درې واړه په براوزر کې یو شان ښکاري، نو ځکه خلک یوه ساعت تونل بیا پیلوي او هېڅ نه زده کوي۔

لومړی هغه افسانه وژل غواړو: کار کوونکی تونل بېرته دننه تلو لاره نه ده۔ دا د خپلو باور پوښتنو سره نوی شبکوي تړاو دی، او کولی شي ستاسو زوړ مدیریتي مسیر په خاموشۍ کې لرې کړي او یو نوی پرانیزي چې چا نه دی کتلی۔

تونل هېڅکله د مدیریت لاره نه وه

لېږد او ننوتل بېلابېل کارونه دي۔ «ایا یو کلاینټ کولی شي د تونل له لارې NAS ته ورسېږي؟» دا د روټر له لارې تېرېدونکو بنډلونو په اړه د لېږد پوښتنه ده۔ «ایا زه کولی شم د روټر SSH پورټ پرانیزم؟» دا د روټر خپل ځان ته استول شويو بنډلونو په اړه د ننوتلو پوښتنه ده۔ د لېږد شوي ترافیک لپاره لیکل شوې اجازه قاعده دوهمې پوښتنې لپاره هېڅ نه کوي، او دا تر ټولو عام دلیل دی چې ولې تونل چې ترافیک په بشپړه توګه وړي بیا هم ستاسو د اډمین غونډه ردوي۔

د معکوس تېروتنه دا ده چې د انټرفیس نوم باور وکړو۔ تونل تر ملګري پورې کوډ شوی، نه تر هغې تر شا هر خدمت پورې، او د انټرفیس په لیبل کې VPN کلیمه هېڅ نه وایي چې کوم سرچینو ته د ننوتلو اجازه باید وي۔

لومړی پوړ: ایا د روټر خپلې پتې ته لاره شته؟

په کلاینټ کې پیل کړئ او له کرنل څخه وپوښتئ چې بنډل به چېرته لاړ شي۔ په Linux کې ip route get 10.6.0.1 غوره شوې لاره، وتونکی انټرفیس او د سرچینې پته چاپوي۔ که دا ستاسو د خدمت وړونکي په لور تګلاره راپور کړي، بنډل هېڅکله تونل ته نه ننوځي، او په روټر کې هېڅ قاعده نه شي ژغورلی۔

د تونل اړخ دې پوښتنې خپله نسخه لري۔ WireGuard د AllowedIPs لیست د کوډکلي رټنګ جدول په توګه ګڼي: په هر سر کې اعلانوي چې ملګری کومې سرچینې پتې کارولی شي او کوم منزلونه هغه ملګري ته لېږل کیږي۔ که د کلاینټ ننوتنه د روټر د تونل پته ونه لري، کلاینټ هغې ته لاره نه لري۔ که د هغه کلاینټ لپاره د سرور ننوتنه د کلاینټ د تونل پته ونه پټوي، سرور بنډل د هرې اور وژنې قاعدې له کتلو مخکې پرېږدي۔

له سیاست د نیمګړتیا موندنې مخکې هغه دقیقه پته تایید کړئ چې غواړئ هغې ته ورسېږئ۔ زوړ DNS ریکارډ یا د بدلون مخکې کاش شوې ګاونډي ننوتنه تاسو هغې پتې ته لېږي چې روټر هېڅکله نه درلوده۔

دوهم پوړ: د ننوتلو تګلاره، نه د لېږد تګلاره

اور وژونکي قاعدې په هغه انټرفیس ارزوي چې بنډل پرې راځي۔ په pfSense او OPNsense کې د انټرفیس ټب او د قاعدو ترتیب فیصله کوي چې د اور وژنې خپلو خدمتونو ته ترافیک اجازه لري که نه؛ هغه قاعده چې LAN کلاینټان انټرنیټ ته باسي هغه قاعده نه ده چې د تونل ملګري ته د ویب GUI پرانیستل اجازه ورکوي۔ په OpenWrt کې د firewall4 سره هر زون د ننوتلو تګلاره لري، option input 'ACCEPT' یا 'REJECT'، او په هغه زون کې چې ننوتل یې REJECT وي د تونل انټرفیس مدیریتي تړاوونه ردوي، خو که لېږد اجازه ولري ترافیک بیا هم لېږدوي۔

د نوي مسیر د کار کولو لپاره د ضد قلف قاعده بنده نه کړئ۔ هغه قاعده بدې قاعدې ته اجازه نه ورکوي چې د LAN مدیریتي پته قلف کړي؛ دا د LAN فرعي شبکه ساتي، نه هغه د تونل فرعي شبکه چې تاسو همدا اوس جوړه کړه۔ د مدیر سرچینې لپاره یوه تنګه قاعده ورزیاته کړئ او د امنیت جال پرېږدئ۔ د pfSense د اډمین لاسرسي اسناد تشریح کوي چې هغه کنټرولونه چېرته دي۔

# on the router: bind addresses and the loaded ruleset
ss -ltnp | grep -E ':(22|80|443)\b'         # Linux / OpenWrt
sockstat -4 -l | grep -E ':(22|80|443)\b'   # FreeBSD / pfSense
nft list ruleset | grep -A6 'chain input'    # firewall4
pfctl -sr | head -40                         # pf / pfSense

درېیم پوړ: ایا په هغه پته کې څه اورېدل کیږي؟

خدمت کولی شي روان وي او بیا هم نه رسېدونکی وي، ځکه چې یوې پتې ته تړل شوی۔ په OpenWrt کې uhttpd په /etc/config/uhttpd کې روښانه اورېدلو ننوتنې ساتي، لکه list listen_http '0.0.0.0:80'؛ هغه جوړونه چې یوازې LAN پتې ته تړل کیږي په تونل پته هېڅ نه مني، او هغه محصولات چې د اورېدلو انټرفیس تنظیم ښیي همداسې چلند کوي۔ پورتنۍ اورېدلو لارښوونې پرې مستقیم ځواب ورکوي۔

بیا رد کول له خاموشۍ جلا کړئ۔ nc -vz 10.6.0.1 443 چې رد شوې تړاو بېرته راوړي مانا دا ده چې بنډل روټر ته ورسېد او یو څه یې رد کړ، یا بند پورټ یا روښانه د رد قاعده۔ تر وخت پای ته پورې ځړېدل مانا دا ده چې بنډل پرېښودل شو یا هېڅکله رټ نه شو۔ دا توپیر درته وایي چې بل کوم پوړ وګورئ، او پنځه ثانیې لګښت لري۔

VPN انټرفیس یوه پوله ده، نه د بیا رغېدو لاره

کوډ کول تار ساتي؛ د دې په اړه هېڅ نه وایي چې څوک د اډمین پاڼه پرانیستلی شي۔ کله چې تونل کار وکړ، د تونل انټرفیس باندې هر څه اجازه کولو سره د لاسرسي ستونزه حل کولو هوس ته مقاومت وکړئ۔ مدیرانو ته هغه قاعده ورکړئ چې د دوی خپلې تونل پتې سره تړلې وي یا جلا یوازې-مدیر تونل، او عادي کاروونکي، NAS، کامرې او د کورنۍ لپ ټاپونه د مدیریت پورټ څخه لرې وساتئ۔ هغه ملګری چې د فایل شریکولو ته اړتیا لري باید د روټر د ننوتلو څخه یوې قاعدې ته واټن کې نه وي۔

د روټر رول ځواب بدلوي۔ هغه روټر چې تونل پای ته رسوي کولی شي له هغې مدیران په قانوني ډول ومني، خو هغه روټر چې تونل یوازې د انټرنیټ وتلو په توګه کاروي معمولاً باید داسې ونه کړي۔ په دواړو حالتونو کې فرعي شبکې اجازه ننوتل نه دي، نو د حساب تصدیق او د لېږد امنیت دواړه فعال پرېږدئ۔

هغه جبراني ګام چې خلک د قلف وروسته اخلي بدتر دی: د WAN مدیریت فعالول یا پورټ د ویب GUI ته لېږدول۔ دا لنډه خنډ په دايمي ښکاره کېدو بدلوي، او د ننوتلو پاڼه بیا د انټرنیټ هر سکینر ته د لاسرسي وړ کیږي۔ د اجازه شوې خوا په څېر رد شوې خوا هم ازموئ، تر څو هغه ملګری چې باید اډمین لاسرسی ونه لري د ننوتلو غوښتنې پرځای وخت پای یا رد ترلاسه کړي۔

په نوي تړاو هم ازموئ۔ حالت لرونکی اور وژونکی خپل روان بهیرونه په خپل حالت جدول کې ساتي، نو هغه SSH غونډه چې تاسو دمخه پرانیستې ده کولی شي هغه بدلون ژوندی پاتې شي چې هر نوی تړاو بندوي۔ همداسې قلف تر بل ریبوټ یا د لپ ټاپ بل خوب پورې پټ پاتې کیږي۔

له سیاست لاس وهلو مخکې د بېرته تلو لاره چمتو کړئ

له لومړي بدلون مخکې څلور شیان ولیکئ: که تونل مړ شو، تاسو وسیلې ته څنګه رسېږئ، لکه سریال کنسول، د خدمت وړونکي کنسول یا په LAN کې ماشین؛ اوسنی ترتیب چېرته صادرېږي؛ کومه یوه قاعده یا لاره چې تاسو یې بدلوئ؛ او هغه توکی به څنګه دقیقاً بېرته راوړئ۔ په OpenWrt کې sysupgrade -b /tmp/backup.tar.gz ترتیب نیسي، او بدلونونه تر uci commit پورې په تمه پاتې کیږي، چې په وخت پام کولو سره ارزانه بېرته اخیستل درکوي۔ pfSense د ترتیب تاریخ ساتي، او AutoConfigBackup یوازې هغه وخت مرسته کوي چې دمخه فعال شوی وي۔ که روټر د fail-closed قاعدو ټولګه چلوي، تایید کړئ چې ستاسو پلان شوې ساتنې لاره د هغې قاعدې بند شوي ترافیک دننه نه ده، او په یاد ولرئ چې ریبوټ تلپاتې قاعدې بیا پلي کوي نه یې پاکوي۔

په هر هڅه کې یوه پوله بدله کړئ، بیا د پرانیستي شل پرځای له نوي تړاو څخه ازموئ۔ که ازموینه ناکامه شوه، له بل پوړ لاس وهلو مخکې هغه یو بدلون بېرته وګرځوئ۔ تونل کولی شي ټول وخت پورته پاتې شي، خو شنه حالت نښه یې دلیل نه دی چې تاسو لا هم دننه کېدلی شئ۔

له تلو مخکې چټکه څېړنه:

• ایا تاسو له هغې سرچینې روټر ته رسېدلی شئ چې ستاسو همدا اوس سمون شوې قاعدې ته تړلې نه ده؟
• ایا د تونل انټرفیس د ننوتلو تګلاره یوازې د مدیر سرچینې ته اجازه ورکوي؟
• ایا مدیریتي خدمت هغې پتې ته تړل شوی چې په تونل کې شته؟
• ایا یو رد شوی ملګری او یوه نوې غونډه مو ازموېلې ده؟
• ایا د WAN مدیریت سطحه لا هم بنده ده؟