සියලුම වරායන් යොමු කරන නියමය ඔබේ WireGuard සවන්දෙන්නා ගිල දැමිය හැක
පුළුල් යොමු කිරීමේ නියමයක් ගේට්වේහිම WireGuard සහ SSH සවන්දෙන්නන් ගිල දැමිය හැක. පටු නියම හෝ වෙනම පොදු ලිපිනයක් තෝරා, පසුව පාලන මාර්ගය පරීක්ෂා කරන්න.
පොදු ගේට්වේ එකක් දැනටමත් UDP 51820 මත WireGuard, 22 මත SSH සහ අන්තර්ජාලයෙන් ළඟා විය යුතු එක් යෙදුමක් ධාවනය කරයි. ආකර්ෂණීය නියමය සෑම වරායක්ම සමානයා වෙත යොමු කර කාර්යය අවසන් යැයි කියයි. WireGuard ගේට්වේ එකක එවැනි නියමයක් උමංගේම ප්‍රවාහනය අල්ලා ගෙන එය අවසන් කරන යන්ත්‍රයෙන් ඔබව ඉවත් කළ හැක. ප්‍රකාශනය යනු පාලන තලයේ ව්‍යතිරේකයක් සහිත මාර්ගගත කිරීමේ තීරණයකි, එක් DNAT පේළියක් නොවේ.
පොදු පිවිසුම හෝ උමං පිවිසුම: එකක් තෝරන්න
සේවාවක් ප්‍රකාශයට පත් කිරීම අන්තර්ජාලයට නව පිවිසුම් ලක්ෂ්‍යයක් සාදයි. එය සමානයාට VPN සාමාජිකත්වය ලබා දීමට සමාන නොවේ, මන්ද අමුත්තා කිසි විටෙක උමං තුළට ඇතුළු නොවන අතර ගේට්වේ පසුතලයේ පොදු මුහුණ බවට පත් වේ. එම වෙනස නියමයේ ප්‍රේක්ෂකයින් සහ එහි සහතිකය තීරණය කරයි.
පරිපාලන අතුරුමුහුණත් එහි ඉතා අඩුවෙන් ගැලපේ. අනුමත VPN සේවාදායකයින් ළඟා වන පරිපාලක පිටුව ප්‍රහාරක මතුපිට උමං තුළ තබා ගනිමින් අහඹු ස්කෑන් කිරීම්වලට පිවිසුම් පෝරමය නිරාවරණය නොකරයි. පොදු යෙදුම් අන්ත ලක්ෂ්‍යවලට තමන්ගේම TLS සහතිකය, සත්‍යාපනය සහ අනුපාත සීමාව තවමත් අවශ්‍ය වේ; සංකේතනය කළ WireGuard පියවර අමුත්තාගේ කොටස ගේට්වේ දක්වා ආරක්ෂා නොකරයි.
සේවාව සැබවින්ම පොදු විය යුතු නම්, සත්කාරක නාමය, එය ආවරණය කරන සහතිකය සහ එයට ළඟා විය යුතු අමුත්තන්ගේ පරාස ලියා තබන්න. එම කරුණු තුන පසුව නියමයේ හැඩය සහ පෙරහන් ප්‍රතිපත්තිය තීරණය කරයි. ඒවාට පිටින් සියල්ල පොදු සවන්දෙන්නෙකු මත විෂය පථයේ පුළුල් වීමකි.
එක් වරායක් ඇතුළට, එක් පසුතලයක් පිටතට
එක් පොදු වරායක් සහ එක් පසුතල සේවාවක් භාවිත කරන්න. මෙම උදාහරණයේ eth0 පොදු ලිපිනය 198.51.100.20 දරයි, ගේට්වේහි උමං ලිපිනය 10.200.0.1 වන අතර සමානයා යෙදුම 10.200.0.7 මත ධාවනය කරයි. පොදු TCP 9443 සමානයාගේ TCP 8443 වෙත සිතියම් වේ:
iptables -t nat -A PREROUTING -i eth0 -d 198.51.100.20 -p tcp --dport 9443 -j DNAT --to-destination 10.200.0.7:8443
iptables -t nat -A POSTROUTING -o wg0 -d 10.200.0.7 -p tcp --dport 8443 -m conntrack --ctorigdst 198.51.100.20 --ctorigdstport 9443 -j SNAT --to-source 10.200.0.1SNAT නියමය පරිවර්තිත පසුතලය සහ මුල් පොදු ගමනාන්තය සමඟ ගැලපේ, එබැවින් එම පසුතල සේවාවට වෙනත් සම්බන්ධතාවයක් මෙම සිතියමෙන් පිටත රැඳේ. එය අමුත්තාගේ ලිපිනය සමානයාගෙන් සඟවයි, සහ මූලාශ්‍රය රැක ගන්නා මාර්ගගත ආපසු ඒම වෙනම නිර්මාණයක් කරන මාරුව එයයි. iptables දිගු කිරීම්වල යොමුව ඉලක්ක දෙකම සහ ඒවායේ ගැලපුම් විකල්ප විස්තර කරයි.
යොමු කිරීම තවමත් සක්‍රීය කළ යුතු අතර පෙරහන් දාමයට පරිවර්තිත ගමනාන්තය සහ වරාය සඳහා මෙන්ම ස්ථාපිත පිළිතුරු සඳහා අවසරයක් අවශ්‍ය වේ. FORWARD දාමය DNATට පසු පරිවර්තිත ගමනාන්තය දකියි, එබැවින් පොදු ලිපිනයට එරෙහිව ලියන ලද නියමය යොමු කළ පැකට්ටුවට නොගැලපේ. අවසරය පසුතල ටියුපලයට එරෙහිව ලියන්න, පොදු එකට එරෙහිව නොවේ.
සමානයා සේවා සම්බන්ධතාවය ගේට්වේහි උමං ලිපිනයෙන් පිළිගෙන පිළිතුර උමං හරහා ආපසු යැවිය යුතුය. එහි AllowedIPs එය සැබවින්ම ලබන මූලාශ්‍රයට අවසර දිය යුතු අතර මූලාශ්‍ර පරිවර්තනය යටතේ එය ගේට්වේහි උමං ලිපිනය වේ, එමෙන්ම සෑම සමානයෙකු මත පුළුල් 0.0.0.0/0 සටහනක් මෙම නිර්මාණයට අවශ්‍ය නොවේ. ආපසු ප්‍රවාහය වැටෙන්නේ එම ලිපිනය තම ලැයිස්තුවෙන් ඉවත් වන සමානයා, නැතහොත් අමුත්තාගේම ලිපිනය වෙනුවට යවන මූලාශ්‍ර-රැකවරණ නිර්මාණය නිසාය, එබැවින් ඔබේ නියමයේ ඇති එක නොව සමානයා සැබවින්ම දකින මූලාශ්‍රය පරීක්ෂා කරන්න.
ගේට්වේහිම සවන්දෙන්නන් නියමයෙන් පිටත තබන්න
වරාය ගැලපුම සියලු TCP සහ UDP ගමනාන්ත ආවරණය කරන නියමයකට මාරු කරන්න, එවිට ගේට්වේහිම WireGuard සොකට්ටුව එහි වැටේ. යන්ත්‍රය පැකට්ටුවක් දේශීය යැයි තීරණය කිරීමට පෙර ගමනාන්ත පරිවර්තනය සිදු වේ, එබැවින් UDP 51820 සියලු සමාන සම්බන්ධතා රඳවන ක්‍රියාවලිය වෙත නොව සමානයා වෙත අවසන් විය හැක. නියමය සාර්ථකව පූරණය වන අතර උමං මිය යයි, එය සමානයාගේ පැත්තෙන් කියවීමට අපහසු අසාර්ථකත්වයකි.
SSH, අධීක්ෂණ නියෝජිතයින් සහ ගේට්වේ මත සත්කාරක සියලුම වෙනත් සේවා එකම නිරාවරණය ඇත. සියල්ල යොමු කරන නියමය පාලන තලය ප්‍රකාශිත යෙදුමෙන් වෙන් නොකරයි, සහ වෙනසෙන් පසු පළමු නැවත ඇරඹීම අගුළු දැමීම පැහැදිලි වන මොහොතයි. සියල්ල ආවරණය කරන නියමය එය නිහඬව භාර ගන්නා සේවාව ගැන අනතුරු නොඅඟවයි. ඔබ එය සොයා ගන්නේ ඊළඟ සම්බන්ධතාවය අසාර්ථක වූ විටය.
පුළුල් යොමු කිරීම සැබවින්ම අවශ්‍ය නම්, සියල්ල ආවරණය කරන නියමයට පෙර පාලන වරායන් වෙන් කරන්න හෝ ප්‍රකාශනයට වෙනම පොදු ලිපිනයක් භාවිත කරන්න. දෙවන විකල්පය වඩා පිරිසිදුය, මන්ද පාලන ලිපිනය තමන්ගේම ප්‍රතිපත්තිය රඳවා ගනී, නමුත් සැපයුම්කරු එම ලිපිනය ලබා දිය යුතුය; DNS වාර්තාවක් එකතු කිරීමක් වෙන් කරන්නේ නැත.
පුළුල් TCP සහ UDP යොමු කිරීමද සියලුම ප්‍රොටොකෝල නොවේ. ICMP, IPv6, මාර්ග MTU ප්‍රතිපෝෂණය සහ VPNහි බාහිර ප්‍රවාහනයට තමන්ගේම ප්‍රතිපත්තියක් අවශ්‍ය වන අතර TCP සහ UDP ආවරණය කරන නියමය එම අවස්ථා පෙරනිමි දාමයට භාර කරයි.
නියම ලිවීමට පෙර ආකෘතිය තෝරන්න
හැඩ හතරක් බොහෝ ගේට්වේ ප්‍රකාශන ආවරණය කරන අතර, තේරීම ඔබ ධාවනය කරන සේවා ගණන සහ ඔබට ඉවසිය හැකි පාලන තල අවදානම මත රඳා පවතී. පහත වගුව ඒවා පටුම සිට පුළුල්ම දක්වා අනුපිළිවෙලට තබයි.
| Model | What it protects | Cost | Use when |
|---|---|---|---|
| Narrow port forward | Every other listener, including the VPN | One rule per service | Few services, stable ports |
| Catch-all with reserved ports | Ports named in the exception list | Rule order becomes critical | Many services and disciplined review |
| Separate public address | Control address fully isolated | Provider must supply the address | High-value publication |
| VPN-only access | No public entry at all | Visitors need the tunnel | Admin interfaces and internal tools |
පසුව තවත් සේවා බලාපොරොත්තු වුවත් පටු ආකෘතියෙන් ආරම්භ කරන්න. එය විග්‍රහ කිරීමට පහසුම වන අතර, පටු නියම කට්ටලයක් සමාලෝචිත සියල්ල ආවරණය කරන නියමයකට පත් කිරීම පුළුල් නියමයක් කුමන සවන්දෙන්නා අල්ලා ගත්තේදැයි සොයා ගැනීමට වඩා සරලය. ඔබ තෝරන ආකෘතිය කුමක් වුවත්, නියම ගිනිපවුරේ හිමිකරු ළඟ තබන්න. එකම දාම කළමනාකරණය කරන UFW හෝ nftables වින්‍යාසයක් අසල iptables පේළි යෙදීම ඇරඹුම් අනුපිළිවෙල අනුව වෙනස් වන ප්‍රතිපත්තියක් සාදයි.
ප්‍රකාශනය සහ පාලන මාර්ගය යන දෙකම ඔප්පු කරන්න
අනුමත සත්කාරක නාමය සහ ඒ සඳහා වලංගු සහතිකයක් සමඟ අනුමත බාහිර සේවාදායකයකින් පරීක්ෂා කරන්න. කුමන පසුතලය පිළිතුරු දුන්නේදැයි තහවුරු කර, පසුව සම්බන්ධ නොවන පොදු වරායන් තවමත් ප්‍රතික්ෂේප වී ඇත්දැයි පරීක්ෂා කරන්න. අක්‍රීය සහතික පරීක්ෂාවක් සාර්ථක HTTPS පරීක්ෂණයක් නොවන අතර වැරදි පසුතලයකට ළඟා වන සම්බන්ධතාවය අසාර්ථක එකකට වඩා නරකය.
ඉන් පසු ගේට්වේම සත්‍යාපනය කරන්න: WireGuard සමානයෙකු සම්බන්ධ කර, SSH සැසියක් විවෘත කර අධීක්ෂණය තවමත් වාර්තා කරන බව තහවුරු කරන්න. පාලන තලය කැඩී ඇති අතරතුර ප්‍රකාශිත සේවාව ක්‍රියා කළ හැක, එබැවින් පරීක්ෂා දෙකම එකම වෙනස්කම් කවුළුවේ තිබිය යුතුය. නියම අපේක්ෂිත අනුපිළිවෙලින් නැවත යෙදෙන බව ඔප්පු කිරීමට එක් වරක් නැවත අරඹා, පසුව ප්‍රකාශනය ඉවත් කර ඉවත් කිරීම එකතු කිරීමට සැබවින්ම ගැලපෙන බව තහවුරු කරන්න. ආරම්භයේ බොහෝ එකතු කිරීම් සහ අසම්පූර්ණ ඉවත් කිරීම් නිසා තාවකාලික පරීක්ෂණයක් ස්ථිර විවරයක් බවට පත් වේ.