tun0 නැද්ද? nftables හි විග්‍රහ කළ IPsec meta ipsec සමඟ ගළපන්න

ඔබ උමං අතුරුමුහුණතක් බලාපොරොත්තු වෙනවා, එය සොයනවා, නමුත් ගිනිපවුරේ ගළපන්නට කිසිවක් නැහැ. ප්‍රතිපත්ති පාදක ගේට්වේ එකකට මෙය සාමාන්‍යයි: සංකේතනය කළ හුවමාරුව භෞතික අතුරුමුහුණතට එන අතර, පසුව ඉදිරියට යවන විග්‍රහ කළ අභ්‍යන්තර පැකට් එකද එම අතුරුමුහුණතට එන ලෙස නිරීක්ෂණය වේ. tun0 නැහැ, මන්ද කිසිවක් එය සාදා නැති නිසා.

අභ්‍යන්තර ඉල්ලීම තවමත් තමන්ගේ මූලය, ගමනාන්තය සහ සේවාව සහිත වෙනම පැකට් එකක් වන අතර, එය කුමන ආරක්ෂක සංගමයෙන් පිට වුණාද කියා කර්නලය දන්නවා. ගිනිපවුරු නියමයකට ගළපන්නට හැකි වන්නේ මේ දැනුමයි.

පැකට් දෙකක්, අතුරුමුහුණතක්

එන දිශාව සිතන්න. ESP හෝ UDP තුළ ඔතන ලද පැකට් එකක් එනවා, කර්නලය ගැළපෙන ප්‍රතිපත්තිය සොයා එය විග්‍රහ කර පැහැදිලි පැකට් එක ඉදිරියට යැවීමේ මාර්ගයට දෙනවා. අතුරුමුහුණතේ නම පමණක් බලන නියමයකට එම පැකට් එක එකම කම්බියෙන් එන වෙනත් ඕනෑම ගමනාගමනයකින් වෙන් කරන්න බැහැ.

එය වෙන් කරන්නේ පැකට් එකට සම්බන්ධ එන ආරක්ෂක මාර්ගයේ සන්දර්භයයි. nftables එය meta ipsec exists ලෙස පෙන්වනවා, පැකට් එක IPsec ආරක්ෂක මාර්ගයකින් පැමිණි විට එය සත්‍ය වේ. එය සේවාලාභී තටාකය, ගමනාන්තය සහ සේවාව සමඟ එකතු කරන්න, නියමය ආරක්ෂිත වීමට තරම් නිශ්චිත වේ.

සන්දර්භය ඉවත් කිරීම සාමාන්‍ය වැරැද්දක් වන අතර, එය අලංකාරයේ නොව ආරක්ෂාවේ වැරැද්දක්. සේවාලාභී තටාකයෙන් එන සියල්ල පිළිගන්නා නියමයක් දේශීය ජාලයෙන් එන ව්‍යාජ පැකට් එකක්ද එම සතුටින්ම පිළිගනී, මන්ද මූල ලිපිනය තමන් විසින්ම කිසිවකට සාක්ෂියක් නොවේ. මූලය අර්ථවත් කිරීමට ඇති ලාභම මාර්ගය ආරක්ෂක මාර්ගයේ සන්දර්භයයි. විගණනයකින් පසු එකතු කරනවාට වඩා මුල සිටම එය සමඟ නියමය ලියන්න.

ඉදිරියට යැවීමේ නියමය ලියන්න

10.90.0.0/24 තුළ සේවාලාභීන් සහිත සත්‍යාපිත IPv4 දුරස්ථ ප්‍රවේශ සේවාවක් සහ 203.0.113.40 හි අනුමත ගමනාන්තයක් ඇතැයි සිතන්න. එම ප්‍රවාහය සඳහා නියමයේ කොටසක් මෙසේ පෙනේ.

meta ipsec exists ip saddr 10.90.0.0/24 \
  ip daddr 203.0.113.40 tcp dport 443 \
  oifname "eth0" counter accept

ලිපින සහ අතුරුමුහුණත ප්‍රතිස්ථාපනය කළ යුතු උදාහරණ. සමාලෝචිත සමානය ඉදිරියට යැවීමේ ප්‍රතිපත්තියේ, ප්‍රවාහය වෙනත් ආකාරයකින් ප්‍රතික්ෂේප කරන නියමයට පෙර තබන්න, සහ එය ස්ථාපනය කිරීමට පවත්නා නියම කට්ටලය හිස් නොකරන්න; ගේට්වේ පිරිසිදු කාමර පරීක්ෂණයක් නොවේ.

oifname යන පදය තබා ගැනීම වටී. එය පිටවීමේ තීරණය වාර්තා කරන අතර නියමය ඔබ අදහස් නොකළ දිශාවකට ගැළපීම වළක්වයි, අන්තර්ජාලයට මාර්ග කිහිපයක් ඇති ගේට්වේ එකක මෙය වැදගත් වේ. එක් උඩු සබැඳියක් ඇති පරීක්ෂණ පෙට්ටියක පදය අනවශ්‍ය ලෙස පෙනෙන අතර, පෙට්ටියට දෙවන සබැඳිය ලැබීමට පෙර එය ඉවත් කරන්නේ එලෙසමයි.

බාහිර හුවමාරුව සඳහා අවසර වෙනමයි. ගේට්වේයේ ආදාන මාර්ගයට එය සැබවින්ම භාවිතා කරන IKE සහ ESP හෝ UDP ඔතන වරාය අවශ්‍ය වන අතර, එම අවසර ඇතුළත විග්‍රහ කළ පැකට් ගැන කිසිවක් අවසර නොදේ. දෙකම මිශ්‍ර කිරීම යනු ක්‍රියාත්මක උමං මාර්ගයක් සියල්ල ඉදිරියට යවන ගිනිපවුරක් සමඟ අවසන් වන මාර්ගයයි.

එන සන්දර්භය යන සන්දර්භය නොවේ

එම ප්‍රකාශන පවුල අනෙක් දිශාව rt ipsec මගින් ආවරණය කරයි, එය පැකට් එකක් භාවිතා කරන යන ආරක්ෂක සංගමය විස්තර කරයි. එය වෙනත් ප්‍රශ්නයකට පිළිතුරු දෙයි: මෙම පැකට් එක පැමිණියේ කොහෙන්ද යන්න නොව, එහි ඊළඟ කොටසේදී එය ආරක්ෂා වේද යන්න.

එක් උමං මාර්ගයක් අවසන් කර තවත් එකකට ඉදිරියට යවන ගේට්වේ එකක මෙම වෙනස වැදගත් වේ. පැකට් එකක් විග්‍රහ වී පැමිණ තවමත් සංකේතනය වී පිටවිය යුතු විය හැක, සහ එන සන්දර්භය සඳහා පමණක් ලියූ අවසරයක් යන අවශ්‍යතාව ගැන කිසිවක් නොකියයි. ප්‍රතිපත්තිය එම ආරක්ෂාව ඉල්ලා සිටින්නේ නම්, මාර්ගකරණය සම්භාවිතා කරයි යැයි උපකල්පනය කරනවාට වඩා නියම කට්ටලය එය ප්‍රකාශ කළ යුතුය.

ප්‍රශ්න දෙකම වෙනම නියමවල තබන්න, පාඨකයාට කුමක් බලාත්මක වේද යන්න පෙනේ. දෙකම පරීක්ෂා කරන එකම දක්ෂ නියමයක් සමාලෝචනය කිරීම අපහසු වන අතර එහි අඩක් ගැළපීම නතර වූ විට නිදොස් කිරීම වඩාත් අපහසුය. කවුන්ටර සහිත නියම දෙකක් කුමන අවශ්‍යතාව අසමත් වේද යන්නද කියයි, එකම ඒකාබද්ධ නියමයක් කිසිදා නොකරන දෙයක්.

NAT ගිනිපවුරු තීරණයක් නොවේ

පෞද්ගලික සේවාලාභී තටාකයකින් අන්තර්ජාලයට යන ගමනාගමනයට සාමාන්‍යයෙන් මූල පරිවර්තනය අවශ්‍ය වන්නේ පිළිතුරට ආපසු මාර්ගය සොයා ගැනීමටයි. නමුත් තවත් යන IPsec ප්‍රතිපත්තියක් සඳහා තෝරාගත් ගමනාගමනය එහි අවශ්‍ය නිදහස තබා ගත යුතු අතර, ඊළඟ ආරක්ෂණ තීරණය ගැන නොසිතා සෑම පෞද්ගලික මූලයක්ම වසා දැමීම එය කඩා දමයි.

NAT දාමයක් තුළ අවසරයද සාමාන්‍ය අවසරයක් නොවේ. NAT සහ පෙරහනට වෙනස් කාර්යයන් ඇත, සහ NAT දාමයක් ස්ථාපිත ප්‍රවාහයක සෑම පසු පැකට් එකක්ම පරීක්ෂා නොකරයි, එබැවින්ම ආරක්ෂාව සඳහා එය මත රැඳීම පරීක්ෂණයේ ක්‍රියා කරන ලෙස පෙනී බර යටතේ අසමත් වන නියම ඇති කරයි.

ප්‍රතිවිරුද්ධයද සත්‍ය වන අතර මිනිසුන් පුදුමයට පත් කරයි: එක් පෙරහන් මූල දාමයක කොහේ හෝ ඇති අවසරයකට තවත් අදාළ දාමයක පසු ප්‍රතික්ෂේපයට එරෙහිව කිසිදු බරක් නැත. ප්‍රතිඵලය තීරණය කරන්නේ අනුපිළිවෙල සහ දාමයේ විෂය පථයයි, ගොනුවේ අවසරයක් තිබීම නොවේ.

නිශ්චිත අභ්‍යන්තර සේවාව සත්‍යාපනය කරන්න

ඔබ අවසර දුන් නිශ්චිත ගමනාන්තය සහ වරාය සැබෑ සේවාලාභියෙකුගෙන් පරීක්ෂා කර පිළිතුර ආපසු එන බව තහවුරු කරන්න. පසුව ඔබ අවසර නොදුන් දෙයක් පරීක්ෂා කර එය ඉදිරියට නොයන බව බලන්න, මන්ද ඉතා පළල් නියමයක්ද පළමු පරීක්ෂණය නිවැරදි නියමයක් තරම් හොඳින් සමත් වේ. සේවාලාභියා කිසිදා නොහැර යන ඉල්ලීමක්ද ගිනිපවුරු ප්‍රතිඵලයක් නොවේ, එබැවින් පැකට් එක කිසිසේත් ඇගයුම් කළේද යන්න බැලීමට කවුන්ටර කියන්න. පරීක්ෂණ දෙකක් සහ එක් කවුන්ටර කියවීමක් නියම කට්ටලය කියවමින් ගත කළ මුළු සවසකට වඩා ඔබට කියනු ඇත.

nftables යොමුව meta ipsec, rt ipsec සහ දිශාවට නිශ්චිත ප්‍රකාශන ලේඛනගත කරයි, සහ ඔබ ස්ථාපනය කළ අනුවාදය සමඟ වාක්‍ය ව්‍යූහය පරීක්ෂා කරන ස්ථානය එයමයි. විෂය පථය පැහැදිලිව තබන්න: මෙය IPv4 උදාහරණයක්, එය IPv6 ගැන කිසිවක් නොකියයි, සහ අත්තනෝමතික පොදු වරාය යැවීම VPN සේවාවේ කොටසක් නොකරයි.