OpenVPN සම්බන්ධ වුවත් කිසිවක් ගලා නොයයි: පැකට් වැටෙන ස්ථරය සොයා ගන්න

OpenVPN සම්බන්ධයි කියන අතර කිසිදු රථවාහනයක් චලනය නොවේ, මෙම වාක්‍යය අවම වශයෙන් සම්බන්ධයක් නැති දෝෂ පහක් ආවරණය කරයි. කුමන ස්ථරය අසාර්ථක වේද යන්න දැනගැනීමට පෙර ෆයර්වෝල් නීති සංස්කරණය කිරීම නොදන්නා දේ ගුණ කර ඊළඟ ඉංජිනේරුවාට අවුල් ජාලයක් ඉතිරි කරයි. ඒ වෙනුවට ක්‍රියාවලියෙන් පිටතට වැඩ කරන්න, මන්ද පහත සෑම පියවරක්ම එක් අදියරක් පිරිසිදු කරයි නැතහොත් පැකට්ටුව මිය යන තැන පටු කරයි. මෙහි පිළිවෙළ වැදගත් ය: කුමන ලිපිනය බැඳී ඇත්දැයි දැනගැනීමට පෙර ගන්නා ලද ග්‍රහණයක් යමක් ඔප්පු කරනු ඇත, නමුත් ඔබට අවශ්‍ය දේ නොවේ.

සොකට් එක බැඳී හෝ නොබැඳී

සක්‍රීය බව වාර්තා කරන සේවාවක් ඔබ කිසිදා අදහස් නොකළ ලිපිනයකට හෝ ප්‍රවාහනයකට තවමත් බැඳී තිබිය හැක. සොකට් එකෙන්ම අසන්න: ss -lunp UDP සවන් දෙන්නන් ලැයිස්තුගත කරන අතර ss -ltnp TCP ලැයිස්තුගත කරයි, සහ කියවීමට වටිනා තීරුව වන්නේ දේශීය ලිපිනයයි, තත්වය නොවේ.

හිස් පිළිතුරක් සාමාන්‍යයෙන් අදහස් කරන්නේ තුනෙන් එකකි: ක්‍රියාවලිය ආරම්භයෙන් පසු පිටව ගියා, එය තවත් වින්‍යාස ගොනුවක් පූරණය කළා, නැතහොත් අමතන ලිපිනයට වඩා වෙනස් ලිපිනයක සවන් දෙයි.

ss -lunp | grep 1194
ss -ltnp | grep 1194

local උපදෙස සවන් දෙන්නා එක් ලිපිනයකට ඇමිණුම් කරයි, එබැවින් එකම සත්කාරකයේ වෙනත් තැනකට ඉලක්ක කරන සේවාදායකයා ප්‍රතික්ෂේප වන අතර සේවාව පිටතින් තවමත් නිරෝගී ලෙස පෙනේ. අවස්ථා නාමයකට ද ඔබ කිසිදා සංස්කරණය නොකළ ගොනුවක් වෙත යොමු විය හැක, එය පැතිකඩ දෙකක් එකට ධාවනය කරන සත්කාරකවල සිදු වේ.

පිටත පැකට්ටුව අල්ලා ගන්න, උමං මාර්ගය නොවේ

භෞතික අතුරුමුහුණත සහ සැබෑ තොටුපළෙහි පෙරහන් කරන්න, ඔබේ අතුරුමුහුණත ආදේශ කර: tcpdump -ni eth0 udp port 1194. නැවත කිසිවක් නොඑන පිටතට යන පැකට්ටු ඉහළින් සිටින දෙසට යොමු කරයි: සැපයුම්කරු පෙරහන, NAT උපාංගයක්, හෝ ඔබ සිතන දෙයට වඩා වෙනස් දුර ලිපිනයක්. දෙපැත්තේම නිශ්ශබ්දතාව සේවාදායක යොමුකිරීම හෝ දේශීය ෆයර්වෝල් වෙත යොමු කරයි. උමං මාර්ගයේ දියුණුවකින් තොරව පැමිණෙන පිළිතුරු පාලන නාලිකාව වෙත යොමු කරයි, එනම් යතුරු හෝ සයිෆර් නොගැලපීම, පෙරහනට නොවේ.

දිශා දෙකම අල්ලා ගන්න සහ ගොනුව කෙටියෙන් තබන්න. දිගු ග්‍රහණයක් සිත්ගන්නා තත්පර තුන වළලා දමන අතර පිළිතුර සෑම විටම පාහේ පළමු හුවමාරුවේ ඇත.

මුලින්ම ගණන් කරන්නන්, හෝඩිය ඔවුන් බොරු කියන විට පමණක්

ගණන් කරන්නන්ගෙන් ආරම්භ කරන්න, මන්ද ඔවුන් කිසිවක් වැය නොකරයි. nft list ruleset හෝ iptables -L -n -v මෙහි වැදගත් එකම ගැටලුවට පිළිතුරු දෙයි: නීතිය ගැලපුණාද? පිළිවෙළ ප්‍රතිඵලය තීරණය කරයි, මන්ද පළමු ගැලපීම ජය ගනී, එබැවින් පසුව එන ACCEPT ට පෙර පුළුල් DROP එම ACCEPT මළ මෙන් තබයි සහ එබැවින් නීතියක් එකතු කිරීම කොතරම් කලාතුරකින් යමක් නිවැරදි කරයිද.

හිමිකම ද මිනිසුන් ගැටෙයි. කර්නලය දේශීයව ජනනය කළ පැකට්ටු තොටුපළ විවෘත කළ ක්‍රියාවලියට ආරෝපණය කරයි, සහ OpenVPN සාමාන්‍යයෙන් root ලෙස ක්‍රියා කරයි, එබැවින් සාමාන්‍ය පරිශීලක ID එකකට බැඳුණු නීතියක් උමං මාර්ගයේම රථවාහනය කිසිදා නොදකී. නීතිය වැරදි බව තීරණය කිරීමට පෙර හිමිකරු UID පරීක්ෂා කරන්න.

ගණන් කරන්නන් අපැහැදිලිව පවතින විට පමණක් ලොගය ශබ්දයට වටින අතර, එවිට පවා පටු කොටසකට පමණි: වේගය සීමා කර තම ලොග් පේළිවලට උපසර්ගයක් එකතු කරන iptables නීතියක්, නැතහොත් nft monitor trace ක්‍රියාත්මක වන අතර meta nftrace set 1 දරන nftables නීතියක්. හෝඩිය පැකට්ටුව පිළිගත් හෝ ඉවත දැමූ දාමය සහ නීතිය නම් කරයි. පසුව දෙකම ඉවත් කර පැටවුම් ලොග් කිරීමෙන් පිටත තබන්න.

ප්‍රවාහනය ද පරීක්ෂා කරන්න. TCP ට සීමා වූ ෆයර්වෝල් සේවාවක් එම අංකයේ UDP සවන් දෙන්නෙකු ගැන කිසිවක් නොකියයි, එබැවින් නිවැරදිව කියවන නීතියක් තවමත් සෑම පැකට්ටුවක්ම ඉවත දැමිය හැක.

යොමුකිරීම සහ ආපසු මාවත

පිළිගත් පැකට්ටුවක් තවමත් අතුරුදහන් වේ නම් එහි ගමනාන්ත මාවත පරීක්ෂා කළ යුතුය. ip route get එක් ලිපිනයකට තෝරාගත් මාර්ගය වාර්තා කරයි, සහ ප්‍රතිලෝම මාවත පෙරහන ප්‍රධාන වගුව කිසිදා තෝරා නොගන්නා අතුරුමුහුණතකින් පැමිණෙන පිළිතුරක් ඉවත දැමිය හැක. රෝග ලක්ෂණ ෆයර්වෝල් ඉවත දැමීමක් ලෙසම පෙනේ, එබැවින් මෙම පරීක්ෂාව තවත් NAT නීතියකට පෙර පැමිණේ.

ගේට්වේ එකක input දාමය වෙනුවට යොමු කිරීම සහ forward දාමය පරීක්ෂා කරන්න. පසුව දුර පැත්ත මූලාශ්‍ර ලිපිනයට ළඟා වන ආකාරය දන්නා බව තහවුරු කරන්න, මන්ද ක්‍රියාත්මක වන පිටතට යන මාවතක් නැවත කිසිවක් නොඑන්නේ නම් අවස්ථා දෙකේදීම නිශ්ශබ්දතාවයි.

වාර්තාව පැවසිය යුත්තේ කුමක්ද

සෑම වෙනසකටම, ඔබ පරීක්ෂා කළ අදියර, ඔබ කියවූ සාක්ෂිය සහ එහි දෙපැත්තේ ගණන් කරන්නාගේ අගය සටහන් කරන්න. එම සටහන තමයි "දැන් එය ක්‍රියා කරයි" ඊළඟ සමාලෝචනයේදී ජීවත් කරවන්නේ.

කෙටි මාර්ග දෙකක් සටහන අවංකව තබා ගනී. සත්කාරකය කිසිදා අත් නොහැරි පැකට්ටුවක් වෙනත් තැනක නීතියකින් ඉවත දැමිය නොහැකි විය, දුර පැත්තේ වින්‍යාසය කොතරම් ඒත්තු ගන්වන ලෙස පෙනුණත්. පිටත් වී නැවත පැමිණි පැකට්ටුව ගැටලුව ජාල ස්ථරයට ඉහළින් ගෙන යයි, එහිදී ෆයර්වෝල් ගණන් කරන්නන්ට ඔබට කීමට තවත් කිසිවක් නැත.