ولې د دفتر په محلي شبکه کې VPN کلینټ هره ځواب له لاسه ورکوي
په دفتر محلي شبکه او په همدې فرعي شبکه کې د یوه تونل پر سر کمپیوټر له غلط برخې ځواب ورکوي۔ نرمو بېرته لارې فلټر کول دا خاموشي تشریح کوي۔
یو لیپ ټاپ د ایترنیټ له لارې د دفتر پر /24 ناست دی او همدارنګه د OpenVPN سرور سره یوځای کیږي چې په همدې /24 کې ژوند کوي۔ یو همکار د تونل پتې ته پنګ کوي؛ غوښتنه په روښانه ډول رسیږي، او هیڅ شی نه راستنیږي۔ د تونل لاګ پاک دی او براوزینګ لا هم کار کوي، نو تونل غلط شکمن دی۔ د ترلاسه کوونکي ماشین پر IPv4 سرچینې تصدیق بسته له دې مخکې غورځوي چې څه یې ولولي۔
غورځول د بستې له لوستلو مخکې پیښیږي
د سرچینې تصدیق د هرې راتلونکې بستې په اړه یوه پوښتنه کوي: که دا کوربه هغې سرچینې ته ځواب ورکړي، ایا ځواب به هماغه برخې ته چې بسته پرې همدا اوس راغله، ووځي؟ کله چې ځواب نه وي، کرنل بسته د راتلو په لحظه غورځوي۔ نه کومه ساکټ او نه کومه لېږدونکې لاره هغه کله هم ګوري، له همدې امله پر تونل یوه نیول بیا هم هغه غوښتنه ثبتوي چې غوښتنلیک یې کله هم نه ترلاسه کوي۔
دلته کلینټ پر خپل تونل 10.66.0.9 لري، او OpenVPN سرور د دفتر د پریفکس دننه له 192.168.80.10 څخه ځواب ورکوي۔ د 192.168.80.25 پر لوري یو همکار د تونل پتې ته پنګ کوي، نو غوښتنه محلي شبکه تېریږي، سرور هغه تونل ته استوي، او د دفتر د سرچینې پتې سره د کلینټ د تونل برخې ته رسیږي۔ د هغې ماشین د لارښوونې جدول کې د دفتر پریفکس د ایترنیټ وسیلې پورې اړه لري، نه تونل ته۔ تصدیق د راتلو برخه د لارې سره پرتله کوي، ناسم والی مومي او بسته غورځوي، نو همکار بشپړ زیان ویني، په داسې حال کې چې دواړه سرونه روغ تونل راپور ورکوي۔
د هندارې لوري هماغه بڼه لري: کله چې کلینټ دفتر ته مخه کوي، ځوابونه کولای شي د هماغې دلیل له امله د دفتر په لوري وغورځول شي۔ یوازې په یوه لوري ازمېښت شوی سمون معمولاً د دویم ټکټ په توګه بیرته راځي۔
د هر sysctl له لمس کولو مخکې د نافذ حالت ثبوت وکړئ
د ویش د ډیفالټ باور کولو پرځای ریښتیني ارزښتونه ولولئ، ځکه د هرې برخې تنظیم یوازې د پرېکړې نیمه برخه ده۔ نافذ حالت د برخې ارزښت او د all ارزښت ترمنځ لوړ دی، نو د تونل پر برخه صفر تر هغه پورې هیڅ معنا نه لري چې all یو وي۔ د سخت حالت پرېکړه د لارښوونې پرېکړه ده، نو هغه پلټنه چې کرنل یې کوي ترسره کړئ او ځواب یې له هغې برخې سره پرتله کړئ چې بسته په ریښتیا پرې راغله۔
tcpdump -ni tun0 icmp and host 192.168.80.25
ip route get 192.168.80.25
sysctl net.ipv4.conf.all.rp_filter net.ipv4.conf.tun0.rp_filterبیا پنګ تکرار کړئ او د تېروتنو شمارونکی وګورئ۔ د هغې غوښتنې ترڅنګ چې نیول یې لا هماغه ښیي، لوړیدونکی شمېر د دې غورځولو لاسلیک دی، نه د ورکې لارې۔ هلته اوسئ نو د مریخي بستو ثبت چالان کړئ، تر څو کرنل هغه سرچینه او برخه ونومي چې رد کړې یې ده۔ یوځای دوی سایفر، دیوال او نیمګړې iroute د تشریحو په توګه وباسي۔
له بدلون مخکې بنسټیزه کرښه ولیکئ: دواړه ارزښتونه، هغه وسیله چې پلټنې غوره کړه، او هغه شمارونکی چې تاسو ګورئ۔ هغه ثبت هماغه دی چې وروسته درته وایي بدلون هغه څه وکړل چې تاسو یې فکر کوئ۔
هر rp_filter حالت په ریښتیا څه مني
کرنل پر هرې برخې درې ارزښتونه ښیي، او دا د یوې قاعدې درې سیوري نه دي۔ صفر تصدیق بندوي۔ یو سخت دی او غواړي چې سرچینه د راتلو برخې له لارې بیرته لارښوونه شي۔ دوه نرم دی او یوازې غواړي چې په جدول کې سرچینې ته کومه لار وي، چېرې چې اشاره وکړي۔
| Value | Name | Accepts | Still rejects |
|---|---|---|---|
| 0 | off | any source at all | nothing on this check |
| 1 | strict | a source routed back out the arrival interface | a source whose route points elsewhere |
| 2 | loose | a source with any route in the table | a source with no route at all |
هلته مهمه کرښه نرمه ده، او هغه څه چې لا یې ردوي۔ په ستاسو جدول کې هر چېرې لارښوونکې جعلي سرچینه تېریږي، خو هغه سرچینه چې هیڅ لار نه لري لا هم رد کیږي۔ پر لیپ ټاپ دا تنګ امتیاز دی؛ پر هغه روټر چې د نورو ترافیک لېږدوي دا پراخ دی۔ حالت کوربه پورې اړه لري، نو هماغه شمېره په دوو ځایونو کې بېل وزن لري۔
دا ټوپولوژي کومه کرښه غواړي له جدول څخه راځي، نه له عادت۔ بسته قانوني ده او سرچینه یې لارښوونکې ده، نو نرمه یې مني او سخته یې نه مني۔ په دې قضیه کې هیڅ شی صفر نه غواړي، او د صفر غوره کول به هغه تصدیق لرې کړي چې دلته هیڅ لګښت نه لري۔
هغه لږترین بدلون غوره کړئ چې ابهام لرې کوي
نرم حالت هغه لږترین سم بدلون دی، او دا د سختۍ ریښتینی کموالی دی، نه بې زیانه سوئیچ۔ غوره انتخاب هر کله شته چې ټوپولوژي اجازه ورکړي: همپوشاني لرې کړئ، او ابهام ورک کیږي۔
چېرې چې د دفتر پریفکس یوازې د ایترنیټ له لارې اړین دی، له هغو لارو چې پروفایل یې کش کوي وباسئ، پته به یوې لارې ته د رسېدو وړ شي۔ کله چې دواړه لارې په ریښتیا باید یوځای وي، د هرې برخې پر تصدیق نرمولو پرځای له تګلارې قاعدې سره سرچینه او وسیله ټینګ کړئ۔ دا پر ماشین د نورو هر څه لپاره سخت فلټر ساتي او استثنا هغه ځای مستند کوي چې بل انجینر به یې وګوري۔
هره لار چې غوره کړئ، د ژوندي حکم پرځای په sysctl drop-in کې یې ولیکئ۔ د all او default کیلي یوځای وټاکئ، تر څو بیا نښلول سخت حالت په خاموشۍ بیرته نه شي راوړلای۔
# /etc/sysctl.d/99-rp-filter.conf
net.ipv4.conf.default.rp_filter = 2
net.ipv4.conf.all.rp_filter = 2
sysctl --systemنرم حالت څه پریږدي، او چېرته
نرم حالت لا هم هغه سرچینه ردوي چې هیڅ لار ورته نه رسیږي، او د هغې جعلي سرچینې ردول بندوي چې ناڅاپه لارښوونکې ده۔ پر لیپ ټاپ دا تنګ امتیاز دی۔ پر هغه وسیله چې خپل نه وي ترافیک لېږدوي، هماغه انتخاب ډېر پراخ دی۔ نو هماغه تنظیم د دې پورې اړه لري چې چېرته ځي، دوې ډېرې بېلې معناوې لري۔
پر هغه کوربه چې د نورو لپاره ترافیک لېږدوي، تصدیق په بشپړه توګه بندول یوازینی سمون دی چې باید ترې ډډه وشي۔ صفر هغه تصدیق غورځوي چې نرم حالت یې په احتیاط ساتي۔ که کوربه د نورو لپاره لېږدوي، د هغې پرځای د پخواني برخې د تګلارې قاعدې انتخاب ته ملاتړ وکړئ۔
یوه یادښت پرېږدئ چې دواړه برخې، همپوشانه پریفکس او هغه دقیقه ازموینه ونومي چې اوس بریالۍ کیږي۔ دا د بل انجینر لپاره له هغې کرښې څخه ګټورتر دی چې وایي فلټر تنظیم شو۔