බ්ලැක්හෝල් මාර්ගය සහ VPN කිල් ස්විචය: එකින් එක කරන්නේ කුමක්ද
බ්ලැක්හෝල් මාර්ගය ගැලපෙන ගමනාගමනය ඉවතලා අසාර්ථක විට වසා ඇති මාර්ගයක් බලාත්මක කරයි. එහි විශාලත්වය සහ අන්ධ ස්ථාන පැකට් පෙරහන මත පදනම් වූ කිල් ස්විචයක් සමඟ සසඳන්න.
පැකට්ටුවක් ලැප්ටොප් එකකින් පිටවෙයි, VPN ගේට්වේට කිසිදා ළඟා නොවේ, කිසිදු ෆයර්වෝල් ගණකයක් චලනය නොවේ. මාර්ග වගුව දැනටමත් පැකට්ටුවේ ඉරණම තීරණය කර ඇත: බ්ලැක්හෝල් ඇතුළත් කිරීමක් එයට ගැලපුණු අතර කිසිදු අතුරුමුහුණතක් එය දකින්නට පෙර කර්නලය එය ඉවතලන ලදී. ගමනාන්තයක් වසා ඇති ලෙස අසාර්ථක විය යුතු විට මෙම හැසිරීම ප්‍රයෝජනවත් වේ, නමුත් එය පටු විශාලත්වයේ මාර්ගගත ක්‍රියාවකි. එය සම්පූර්ණ කිල් ස්විචයක් ලෙස සැලකීම නිර්මාණ වැරදි වන තැනය.
ඉවතලන ක්‍රියාව ඇත්තටම ගැලපෙන්නේ කුමකටද
මාර්ග සෙවීමක් වගුවක් තෝරාගෙන, පසුව එහි ඇතුළත දිගම ගැලපෙන උපසර්ගය තෝරයි. බ්ලැක්හෝල් මාර්ගය යනු ක්‍රියාව ඉවතලීම වන සාමාන්‍ය ඇතුළත් කිරීමකි, එබැවින් සම්පූර්ණ තීරණයෙන් පසු එම ඇතුළත් කිරීම තෝරාගනු ලබන පැකට්ටුවලට පමණක් බලපායි. ප්‍රතිපත්ති රීතියකින් වගුව වෙනස් කරන්න, නැතහොත් වඩාත් නිශ්චිත උපසර්ගයක් එක් කරන්න, ඉවතලීම තවදුරටත් අදාළ නොවේ.
එබැවින් බ්ලැක්හෝල් විශාලත්වය නිවැරදි හා පැවසීමට පහසුය: එය උපසර්ගය, වගුවේ, එම ලිපින පවුල සඳහා ආවරණය කරයි. වෙනත් වගුවක් දිනාගන්නා ගමනාන්තයක් එය ආවරණය නොකරයි, IPv4 උපසර්ගය ඉවතලන නිසා පමණක් IPv6 ආවරණය නොකරයි.
ip route get යමක් යෙදවීමට පෙර තීරණය පෙන්වයි, වගුව සහ මාර්ග වර්ගය ඇතුළුව. එම ප්‍රතිදානය කියවීම අසාර්ථක ඉල්ලීමකින් කුමන රීතිය හෝ උපසර්ගය ක්‍රියාත්මක වූයේද යන්න අනුමාන කිරීමට වඩා වේගවත්ය.
බ්ලැක්හෝල් unreachable හෝ prohibit වලට සමාන නොවේ
Linux ඉවතලීමට සමාන මාර්ග වර්ග තුනක් ලබා දෙන අතර, ඒවා යවන්නා නිරීක්ෂණය කරන දෙයින් වෙනස් වේ. බ්ලැක්හෝල් පැකට්ටුව පිළිතුරකින් තොරව හෙළයි, එබැවින් සේවාලාභියා කාලය ඉකුත්වීමක් දකී. unreachable මාර්ගය ICMP unreachable පණිවිඩයක් ආපසු දෙයි, එබැවින් සම්බන්ධතාවය සත්කාරක හෝ ජාල දෝෂයක් සමඟ ඉක්මනින් අසාර්ථක වේ. prohibit මාර්ගය පරිපාලන තහනම් දෝෂයක් ආපසු දෙයි, එය හිතාමතා ප්‍රතිපත්ති ප්‍රතික්ෂේපයට වඩා සමීපය.
යෙදුමට දැකිය යුතු හැසිරීම තෝරන්න. ප්‍රතිපත්තිය හෙළිදරව් කිරීමට අවශ්‍ය නැති විට නිශ්ශබ්ද ඉවතලීම සුදුසුය, ගමනාන්තයක් ඇයි නොමැති දැයි පරිශීලකයින්ට තේරුම් ගැනීමට අවශ්‍ය විට ක්ෂණික දෝෂය වඩා හොඳය. ජාලය පුරා වර්ග මිශ්‍ර කිරීම එකම ප්‍රතිපත්තිය තුනක් වෙනස් විශේෂයේ දෝෂ ලෙස විස්තර කරන ආධාරක ටිකට්පත් සාදයි.
සම්බන්ධතාවයක් රෝග විනිශ්චය කරන විට සෑම ඉවතලන ඇතුළත් කිරීමක්ම හුවමාරු කළ හැකි යැයි නොසිතන්න. දෝෂ පෙළ, වේලාව සහ පැකට් ග්‍රහණය වෙනස් වන අතර, වගුවේ මාර්ග වර්ගය ඔබ බලන එක පවසයි. ip-route අත්පොත වර්ග සහ ඒවායේ දෝෂ හැසිරීම ලැයිස්තුගත කරයි.
කිල් ස්විචය සමඟ එය සසඳන්නේ කෙසේද
කිල් ස්විචය යනු පැකට් පෙරහනයි: උමඟින් පිටතට යන පිටවීම් ගමනාගමනය ඉවතලන ෆයර්වෝල් රීතියකි. බ්ලැක්හෝල් මාර්ගය යනු ගොඩගැස්ම තුළ කලින් ගන්නා යැවීම් තීරණයකි. දෙකටම ගමනාගමනය නැවැත්විය හැක, නමුත් ඒවා වෙනස් දේ දකින අතර වෙනස් අවස්ථා මඟහරියි.
| Mechanism | What it blocks | What it misses | How failure looks |
|---|---|---|---|
| Blackhole route | Destinations matching the prefix and table | Other tables, other address families, traffic with a different route | Silent timeout |
| Firewall kill switch | Egress not bound to the tunnel interface | Rules that are too broad can break the endpoint or DHCP | Dropped packets with counters |
| WireGuard AllowedIPs | Destinations not routed into the interface | Traffic that never enters the interface at all | No tunnel route, direct egress |
සංසන්දනය වැදගත් වන්නේ ආවරණයේදීය. ෆයර්වෝලයකට හිමිකරු, වරාය හෝ අතුරුමුහුණත ගැලපිය හැකි අතර අවසන් ලක්ෂ්‍යය ළඟා විය හැකි ලෙස තබා යෙදුමක් අවහිර කළ හැක; මාර්ගයකට එය නොහැක. විරුද්ධ ලෙස, මාර්ගයකට කිසිදු පැකට් පෙරහනක් පූරණය නොකර මුළු උපසර්ගයම ඉවතලීමට යැවිය හැක, එය අවම පද්ධතියක ප්‍රයෝජනවත් වේ.
WireGuard හි AllowedIPs යනු ගුප්තකේතන යතුරු මාර්ගගත කිරීමයි, ෆයර්වෝල් නොවේ. කුමන ගමනාන්ත උපසර්ග අතුරුමුහුණතට පිළිගන්නේද යන්න එය තීරණය කරයි, උමඟ උපජාලය පමණක් ලැයිස්තුගත කරන පැතිකඩක් අනෙක් ගමනාන්ත සාමාන්‍ය පෙරනිමි මාර්ගයට භාර කරයි. එබැවින් සම්පූර්ණ උමඟ පැතිකඩ 0.0.0.0/0 භාවිතා කරයි, එබැවින් wg-quick ද හැකි විට ෆයර්වෝල් රීති ස්ථාපනය කරයි.
උමඟ අවසන් ලක්ෂ්‍යය ඉවතලීමෙන් පිටත තබන්න
අවසන් ලක්ෂ්‍යයේ බාහිර ලිපිනය භෞතික අතුරුමුහුණත හරහා ළඟා විය හැකි ලෙස පවතින්නට ඕනෑ. එම ලිපිනයද අල්ලා ගන්නා ඉවතලීමක් අත්වැල් ගැසීම පිටවීම වළක්වයි, උමඟ කිසිදා ඉහළ නොයයි, එය මාර්ග ප්‍රතිපත්තියක් නොව VPN දෝෂයක් ලෙස පෙනේ. වෙනසට පෙර සහ පසු අවසන් ලක්ෂ්‍යයට මාර්ගය පරීක්ෂා කරන්න.
කළමනාකරණ ප්‍රවේශයද එම සමාලෝචනයට අයත් වේ. රවුටරයට හෝ සේවාලාභියාට ඇති එකම මාර්ගය උමඟ නම්, අතිශය පුළුල් ඉවතලීමක් එය ඉවත් කිරීමට ඉඩ දෙන යන්ත්‍රයෙන් ඔබව අගුළු දැමිය හැක. ලේඛනගත බෑන්ඩ් පිටත මාර්ගයක්, කොන්සෝලයක් හෝ කාලගත කළ ආපසු හැරවීමක් තබා ගන්න.
IPv6 ට තමන්ගේ ඇතුළත් කිරීමක් සහ තමන්ගේ සමාලෝචනයක් අවශ්‍යයි. IPv4 බ්ලැක්හෝල් එකකට දමා IPv6 පෙරනිමි මාර්ගයේ තබන නිර්මාණයක් ප්‍රතිපත්තිය නැවැත්වීමට අදහස් කළ ගමනාගමනයම කාන්දු කරයි, එම දෝෂය IPv4 පමණක් ඇති පරීක්ෂණයක නොපෙනේ.
ටයිමරයක් සහ ආපසු හැරවීමක් සමඟ අදියර වශයෙන් ක්‍රියාත්මක කරන්න
කෙටි ස්වයංක්‍රීය ඉවත් කිරීමක් සමඟ මාර්ගය යොදන්න, එවිට දෝෂයක් නැවත ආරම්භයෙන් පසු නොපවතී. පහත විධාන ලේඛන පරාසයක් භාවිතා කරයි; එය ඔබේ නිර්මාණය ඇත්තටම ඉවතලන උපසර්ගය සමඟ ප්‍රතිස්ථාපනය කරන්න:
sudo ip route replace blackhole 10.0.0.0/8
ip route get 10.1.2.3
sudo systemd-run --on-active=60 /sbin/ip route del blackhole 10.0.0.0/8දෙවන විධානය බ්ලැක්හෝල් මාර්ගය සහ එය පැමිණි වගුව වාර්තා කළ යුතුය. තෙවන විධානය විනාඩියකින් ඉවත් කිරීම නියම කරයි, එය ප්‍රතිපත්තිය තහවුරු කිරීමට ප්‍රමාණවත් කාලයක් සහ දුරස්ථ සත්කාරකයක දෝෂයකින් යථා තත්ත්වයට පත්වීමට ප්‍රමාණවත් කෙටි වේ. හැසිරීම තහවුරු වූ පසු, අනෙක් මාර්ගවල හිමිකරු වන එම වින්‍යාස කළමනාකරණය හරහා ඇතුළත් කිරීම ස්ථිර කරන්න.
උපසර්ගය, වගුව, ලිපින පවුල සහ ආපසු හැරවීමේ ක්‍රමය සටහන් කර වෙනස අවසන් කරන්න. ඉවතලීම මාර්ග නිර්මාණයේ හිතාමතා කළ ව්‍යතිරේකයකි, එය තවමත් එහි ගැලපේද යන්න තීරණය කිරීමට පෙර ඊළඟ ඉංජිනේරුවා එය කුමන ගමනාගමනය නැවැත්වීමටද යන්න දැනගත යුතුය.