WireGuard ආරක්ෂා කිරීමට IPv6 අවහිර කිරීමෙන් සත්කාරකය බිඳේ

ඉලක්කය සාධාරණයි: මෙම යන්ත්‍රයේ සේවා වෙතට පැමිණිය යුත්තේ ටනල් පරිශීලකයින් පමණි. මිනිසුන් තෝරාගන්නා ක්‍රියාත්මක කිරීම වන්නේ WireGuard හැර සියල්ල ඉවතට හෙළන IPv6 ආදාන දාමයයි, එය සත්කාරකය තමන්ගේම සබැඳියට බැඳ තබන රහස්‍ය ගමනාගමනය ද ඉවතට හෙළයි. අසල්වැසි සොයාගැනීම සහ මාර්ග නඩත්තු පණිවිඩ සේවා ප්‍රවේශය නොවේ, ඒවා ඉවත් කිරීමෙන් ඔබේ ප්‍රතිපත්තියට සම්බන්ධ නැති හේතූන් නිසා ළඟා විය නොහැකි යන්ත්‍රයක් සෑදේ. ටනලය ඉහළ එයි, සේවා නිවැරදිව සීමා කර ඇත, සහ සබැඳියේ වෙන කිසිවක් ක්‍රියා නොකරයි.

වගකීම් තුනක්, එක් රීති කට්ටලයක්

පළමු වගකීම වන්නේ බාහිර ජාලයේ ක්‍රියාකාරිත්වයයි: සත්කාරකය තම සබැඳියේ රැඳී සිටිය යුතුය, අසල්වැසියන් විසඳා ගත යුතුය, එම සබැඳියේ මාර්ග සීමා දැනගත යුතුය. දෙවැන්න ඔබ තෝරාගත් ලිපිනයේ සහ වරායේ UDP පිළිගන්නා සංකේතනය කළ ශ්‍රාවකයයි. තෙවැන්න ටනල් පරිශීලකයින් ළඟා විය යුතු විකේතනය කළ සේවා කට්ටලයයි.

මේවා වෙනස් ප්‍රතිපත්ති තුනකි, දෙවැන්න සහ තෙවැන්න පමණක් VPN සමඟ සම්බන්ධයි. මේවා එකක් ලෙස සලකන රීති කට්ටලයක්, යෙදුම් මායිම තද කිරීම සත්කාරකයේ සම්බන්ධතාවය නිශ්ශබ්දව බිඳ දමන අසාර්ථක ආකාරයක් උරුම කර ගනී.

ඒවා වෙන වෙනම දාමවල හෝ අවම වශයෙන් වෙන වෙනම අදහස් දැක්වීම්වල තබන්න, ඊළඟ පුද්ගලයාට කුමන පේළිය කුමන හේතුවක් නිසාදැයි පෙනෙන පරිදි.

ICMPv6 සත්කාරකය වෙනුවෙන් කරන දේ

IPv6, ප්‍රතිධ්වනියට වඩා බොහෝ දේ සඳහා ICMPv6 මත යැපේ. අසල්වැසි ඉල්ලීම සහ නිවේදනය ARP වෙනුවට පැමිණේ, දේශීය බෙදාහැරීමට අවශ්‍යය. Packet Too Big මාර්ගයේ MTU තොරතුරු රැගෙන යයි, එය නොසලකා හැරීමෙන් විශාල පැකට්වල නතර වන සම්ප්‍රේෂණ ඇති වේ. සබැඳිය ස්වයංක්‍රීය වින්‍යාසය භාවිතා කරන විට රවුටර නිවේදන පෙරනිමි මාර්ගය සහ උපසර්ග තොරතුරු රැගෙන යයි.

RFC 4890 සත්කාරක පෙරහන අනිවාර්යයෙන් අවසර දිය යුතු පණිවිඩ පරිපාලන තේරීමක් වන පණිවිඩවලින් වෙන් කරයි, එය ජාල අතර යවන රවුටරයේ රීතිවලින් වෙනස් සත්කාරක කොටසක කරයි. යැවීමේ කොටස පමණක් කියවීමෙන් ආරක්ෂා කරන සත්කාරකයට ඉතා දැඩි ආදාන ප්‍රතිපත්තියක් ලැබේ.

ප්‍රායෝගික රීතිය නම් අවශ්‍ය අතුරුමුහුණතේ අත්‍යවශ්‍ය දෝෂ සහ වින්‍යාස පණිවිඩවලට අවසර දීම, වේදිකාව අවසර දෙන තැන වර්ගය සහ මූලාශ්‍රය අනුව සීමා කිරීම, සහ ඉතිරිය ගැන පැහැදිලි තීරණයක් ගැනීමයි.

මේ සියල්ල සර්වව්‍යාපී ICMPv6 අවසරයකින් ප්‍රතිස්ථාපනය කිරීමෙන් ලබාගැනීමේ ගැටලුව විසඳේ, නමුත් පෙරහන අත්හැරේ. එය සර්වව්‍යාපී බැහැර කිරීමකින් ප්‍රතිස්ථාපනය කිරීමෙන් පෙරහන් ගැටලුව විසඳේ, නමුත් සත්කාරකය අත්හැරේ.

මුලින්ම ටනලයට අවසර දෙන්න, පසුව සේවාවට

අපේක්ෂිත බාහිර ලිපිනයේ සහ UDP වරායේ WireGuard ප්‍රවාහනය පිළිගන්න, නැවත එන ගමනාගමනය සම්බන්ධතා නිරීක්ෂණය හරහා පිළිගන්න. පසුව ටනල් අතුරුමුහුණත හරහා යෙදුම් සේවාවලට අවසර දෙන්න, ඔබ සැබවින්ම බලය පවරන මූලාශ්‍රවලින්.

බාහිර UDP වරායට දෙන අවසරය එහි ඇති විකේතනය කළ ඉල්ලීම්වලට බලය නොදේ. එම වෙනසම තමයි සේවා රීතිවල ටනල් අතුරුමුහුණත දිස්වීමට හේතුව.

ගොනුව විස්තර කරන ආකාරයට නොව, රීති කට්ටලය ඇති ආකාරයටම කියවන්න:

sudo nft list ruleset
ip -6 addr show
ip -6 route show default

භෞතික ලිපිනයක ශ්‍රාවකය ටනල් ලිපිනයේ එම සේවාවෙන් වෙන් වූ නිරාවරණයකි. යන්ත්‍රය වෙනත් යන්ත්‍රයකටත් ගමනාගමනය යවන්නේ නම්, එය මෙම ආදාන ප්‍රතිපත්තිය නොව යැවීමේ දාමයේ තීරණයකි, එයට තමන්ගේම තර්කයක් අවශ්‍යය.

ටනලය පමණක් නොව සබැඳිය පරීක්ෂා කරන්න

වෙනසට පසුව ක්‍රියා කරන ටනලය පෙනෙන තරමට වඩා අඩුවක් ඔප්පු කරයි, මන්ද දැනටමත් ඇති අසල්වැසි සටහනක් සහ ස්ථාපිත සම්බන්ධතාවයක් දැන් ප්‍රතිපත්තිය ඉවතට හෙළන පාලන පණිවිඩයක් සඟවා තැබිය හැක.

සම්බන්ධතාවය සෘජුවම පරීක්ෂා කරන්න, පසුව බැහැර කළ මාර්ගය තවමත් අසාර්ථක වන බව පරීක්ෂා කරන්න:

ip -6 neigh show
ping -6 -c 3 2001:db8:1::1
sudo nft -c -f /etc/nftables.conf

නැවත ආරම්භ කිරීමෙන් පසුවත් අසල්වැසි වගුව සම්පූර්ණව පවතිනවා නම් සොයාගැනීම තවමත් ක්‍රියා කරන බවට සංඥාවකි. හිස් වී නැවත නොපිරෙන වගුවක් එය ඔබ පෙරහන් කළ බවට සංඥාවකි. තෙවන විධානය රීති කට්ටලය යෙදීමකින් තොරව එහි වාක්‍ය ව්‍යූහය තහවුරු කරයි, සැසියක් ඇති විට එය කිරීම වටී.

ඔබ ඔබවම ඇතුළෙන් අගුළු දැමූ සත්කාරකය ප්‍රතිසාධනය කරන්න

ඔබේම පරිපාලන සැසිය රැගෙන යන ෆයර්වෝල් රීති වෙනස් කිරීමට පෙර දෙවන නාලිකාවක් තබා ගන්න: කොන්සෝලයක්, අනුක්‍රමික සම්බන්ධතාවයක්, නැතහොත් අවලංගු නොකළහොත් නව රීති ඉවත් කරන නියමිත ආපසු හැරවීමක්.

වෙනසක් ඔබව සැබවින්ම අගුළු දැමුවහොත්, ප්‍රතිසාධනය එම නාලිකාව හරහා සිදු වේ, ඔබ දැන් ඉවත් කළ ජාලය හරහා නොවේ. සුරකින ලද පිටපතකින් පෙර රීති කට්ටලය ප්‍රතිස්ථාපනය කරන්න, සත්කාරකය නැවත ළඟා විය හැකි බව තහවුරු කරන්න, ඉන්පසුව පමණක් අපේක්ෂිත ප්‍රතිපත්තිය කුඩා කැබලිවලට යොදන්න.

අවසාන ප්‍රතිපත්තිය සර්වත්‍ර නොවේ. ලිපිනකරණය, මාර්ගකරණය සහ ෆයර්වෝල් ක්‍රියාත්මක කිරීම යෙදවීමේ ආදාන වේ, නමුත් මායිම සෑම තැනකම එකමය: අනුමත ටනලය රැගෙන යන පාලන ගමනාගමනය තබාගෙන අනපේක්ෂිත යෙදුම් ප්‍රවේශය ප්‍රතික්ෂේප කරන්න.