ඔබේ පොදු Linux සේවාව VPN හරහා පිළිතුරු දෙන්නේ ඇයි

සොකට් තුළ කිසිවක් ඉල්ලීම ගෙන ගියේ කුමන අතුරුමුහුණතදැයි මතක නොතබයි, එබැවින් සම්පූර්ණ උමං VPN-ක සාමාන්‍ය මාර්ගය WAN-ට අයත් පිළිතුරක් අල්ලා ගත හැක. සේවාව ඇතුළට එන අතුරුමුහුණත නොසලකා හරින්නේ නැත; Linux දේශීයව ජනනය කළ පිළිතුර ගමනාන්තය සහ මූලාශ්‍ර ප්‍රතිපත්තිය අනුව මාර්ගගත කරයි. මූලාශ්‍ර පාදක නියමයකට ඒ වෙනුවට සේවාවේ පිළිතුරු පමණක් සම්පූර්ණ WAN වගුවක් හරහා යැවිය හැකි අතර සාමාන්‍ය පිටවීම උමං මත තබා ගත හැක. පිළිතුර වැරදි මාර්ගයෙන් පිටවන අතරතුරත් වරාය විවෘතව පවතී, එබැවින් රෝග ලක්ෂණය එක් පැත්තක් ලෙස පෙනේ.

වැරදි වැටහීම: පිළිතුරු ඒවා පැමිණි අතුරුමුහුණත අනුගමනය කරයි

eth0 මත පැමිණෙන පැකට්ටුව eth0 හරහාම පිටවිය යුතු යැයි තර්කානුකූලව පෙනේ. තත්ත්වයක් නොමැති පැකට් පෙරහන් එසේ ලිවිය හැක, සහ ඇතුළු වන පැත්තේ tcpdump ඉල්ලීම අපේක්ෂිත තැනම පෙන්වයි. සත්කාරකය විසින්ම නිපදවන ගමන් ප්‍රවාහය සඳහා මාර්ගගත කිරීම එසේ ක්‍රියා නොකරයි.

සේවාව සම්බන්ධතාවය පිළිගත් පසු එහි පිළිතුර නව දේශීයව ජනනය කළ පැකට්ටුවකි. කර්නලය පිළිතුරේ ගමනාන්තය සහ මූලාශ්‍රය සඳහා මාර්ගගත කිරීමේ නියම බලයි, සහ VPN-ක සාමාන්‍ය මාර්ගය සම්පූර්ණයෙන්ම වලංගු පිළිතුරකි. සොකට් තුළ කිසිවක් ඉල්ලීම ගෙන ගියේ කුමන අතුරුමුහුණතදැයි මතක නොතබයි.

එබැවින් රෝග ලක්ෂණය එක් පැත්තක් ලෙස පෙනේ: ඉල්ලීම් පැමිණේ, පිළිතුරු අතුරුදහන් වේ. එබැවින්ම ඇතුළු වන වරාය සඳහා ෆයර්වෝල් නියමයක් එකතු කිරීමෙන් කිසිවක් වෙනස් නොවේ. පැකට්ටුව ඇතුළට යන මාර්ගයේ අවහිර නොකෙරේ; එය පිටතට යන මාර්ගයේ වෙනත් තැනකට මාර්ගගත වේ. මූලාශ්‍රයෙන් සුදුසුකම් ලත් සෙවීමකින් පිළිතුර අනුගමනය කරන්න, වක්‍ර මාර්ගය පෙනෙන්නට පටන් ගනී.

කර්නලය ඇත්තටම මාර්ගගත කරන්නේ කුමක්ද: මූලාශ්‍ර ලිපිනය

ඔබට අවශ්‍ය අල්ලා ගැනීම යනු සේවාව පිළිතුරු සඳහා භාවිත කරන දේශීය ලිපිනයයි. eth0 ලිපිනය උදාහරණයක් ලෙස 192.0.2.10/24 සහ ද්වාරය 192.0.2.1 වන සත්කාරකයක එම ලිපිනය අතුරුමුහුණත මත පවතී. ක්ලවුඩ් VM-ක රාජ්‍ය ලිපිනය ඉහළින් පරිවර්තනය වී අමුත්තා තුළ නොතිබිය හැක, එබැවින් සත්කාරකයට ඇත්තටම ඇති ලිපිනය භාවිත කරන්න.

වගු අංකයක් හෝ නියම ප්‍රමුඛතාවක් වෙන් කිරීමට පෙර වර්තමාන තත්ත්වය පරීක්ෂා කරන්න. පවතින ප්‍රතිපත්ති නියම නව එකක් සෙවණ කළ හැක, සහ එම අංකයම ඇති පැරණි වගුවක් දැනටමත් සම්බන්ධයක් නොමැති මාර්ග රැගෙන සිටිය හැක:

ip -4 addr show dev eth0
ip -4 rule show
ip -4 route show table all

ඉන්පසු මූලාශ්‍රය අනුව වගුවක් තෝරන්න. නියමය දැනටමත් 192.0.2.10 රැගෙන යන පිළිතුරු සමඟ ගැලපේ, එනම් ඔබ බැහැර කිරීමට අවශ්‍ය දේශීයව අවසන් වූ ප්‍රවාහයයි. ඉදිරියට යවන ලද ප්‍රවාහය සහ වෙනත් දේශීය ලිපිනවලින් එන පැකට්ටු ගැලපෙන්නේ නැත.

අඩක් සාමාන්‍ය නොව, සම්පූර්ණ ආපසු වගුවක් ගොඩනගන්න

සාමාන්‍ය මාර්ගයක් පමණක් ඇති වගුවක් ප්‍රමාණවත් නොවේ. කර්නලය තවමත් ද්වාරය විසඳිය යුතු අතර, එම විසඳුමට එම වගුවේම සම්බන්ධිත උපසර්ගය අවශ්‍ය වේ. එම උපසර්ගය නොමැති වගුවක් සාමාන්‍ය මාර්ගය නිවැරදිව පෙනුනත් ද්වාර විසඳුමේදී අසාර්ථක වේ. දෙකම එකතු කර, පසුව මූලාශ්‍ර නියමය වගුව දෙසට යොමු කරන්න:

ip -4 route add table 100 192.0.2.0/24 dev eth0 src 192.0.2.10
ip -4 route add table 100 default via 192.0.2.1 dev eth0
ip -4 rule add priority 1000 from 192.0.2.10/32 lookup 100

උදාහරණය පිටපත් කරනවාට වඩා සැබෑ උපසර්ගය සහ ද්වාරය භාවිත කරන්න. on-link ද්වාරය සමඟ /32 ලෙස වින්‍යාස කළ ක්ලවුඩ් අතුරුමුහුණතට වෙනත් සම්බන්ධිත මාර්ගයක් අවශ්‍ය වේ, සහ වැරදි උපසර්ගයෙන් ගොඩනගන ලද වගුවක් පළමු පනිනවාතැනේදී අසාර්ථක වේ. src ගුණාංගය එම මාර්ගය සඳහා කැමති මූලාශ්‍රය දක්වයි; එය මූලාශ්‍ර නියමය ආදේශ නොකරයි.

අනුපිළිවෙලද වැදගත් වේ. අඩු ප්‍රමුඛතා අංකයක් ඇති පුළුල් නියමයක් මුලින්ම ඇගයේ, එබැවින් මෙම ප්‍රවාහය නැවත ප්‍රධාන වගුවට යවන ඕනෑම නියමයකට පෙර මූලාශ්‍ර නියමයට ළඟා විය යුතුය. එකතු කළ පසු ip rule show සමඟ ප්‍රමුඛතා පරීක්ෂා කරන්න, ආරම්භයේදී පමණක් නොව.

මූලාශ්‍රයෙන් සුදුසුකම් ලත් සෙවීමකින් තහවුරු කරන්න

සේවා ලිපිනයෙන් පරීක්ෂණ ගමනාන්තයකට මාර්ගගත කරන ලෙස කර්නලයට කියන්න. පිළිතුරේ උමං නොව, eth0 සහ WAN ද්වාරය නම් කළ යුතුය:

ip -4 route get 198.51.100.25 from 192.0.2.10

ඉන්පසු නව අවසරලත් සම්බන්ධතාවක් ඇති කර දෙපැත්තම නිරීක්ෂණය කරන්න. නිවැරදි වගුව තෝරන සෙවීමක් තබා ජීව සම්බන්ධතාවය තවමත් අසාර්ථක නම්, එය වගුව නොව ප්‍රතිලෝම මාර්ග පෙරහන හෝ ෆයර්වෝල් නියමයක් දෙසට යොමු කරයි. ලෝකයේ ඕනෑම දෙයක් අක්‍රීය කිරීමට පෙර එම පාලන පරීක්ෂා කරන්න.

අවසන් මාර්ග සහ නියමය අතුරුමුහුණත හිමි ජාල කළමනාකරු යටතේ තබන්න. ලිපින වෙනස්වීම්, DHCP අලුත් කිරීම් සහ VPN නැවත සම්බන්ධ වීම් සියල්ලම කර්නල තත්ත්වය නැවත ලියයි, සහ අතින් එකතු කළ නියමයක් ඊළඟ සිදුවීමෙන් පසු අතුරුදහන් වේ හෝ කල් ඉකුත් වූ ද්වාරයකට යොමු කරයි.

මෙම ව්‍යතිරේකය නතර වන්නේ කොහේද

නියමය එක් මූලාශ්‍ර ලිපිනයකින් දේශීයව අවසන් වූ ප්‍රවාහය නිදහස් කරයි. එය Docker විසින් ප්‍රකාශිත වරාය, DNAT හෝ සත්කාරකය හරහා ඉදිරියට යවන සේවා ආවරණය නොකරයි, මන්ද එම පැකට්ටු ඉදිරියට යවන ප්‍රවාහය ලෙස මාර්ගගත වන අතර කිසි විටෙකත් එකම ආකාරයෙන් සත්කාරකයේ දේශීය මූලාශ්‍රය රැගෙන නොයයි. එවැනි නිර්මාණ සාමාන්‍යයෙන් ආගමනයේදී තබන ලද සලකුණක් සහ එම සලකුණට ගැලපෙන නියමයක් අවශ්‍ය කරයි.

එය සත්කාරකයේ රාජ්‍ය ලිපිනය අතුරුමුහුණත මත දිස්වීමටද සලසන්නේ නැත. ඉහළ NAT-ක් එම ලිපිනය හිමිකර ගත් විට, පිළිතුර තවමත් එම NAT බලාපොරොත්තු වන මාර්ගයෙන්ම පිටවිය යුතුය, එබැවින් WAN වගුව අනුමාන කළ රාජ්‍ය පරාසය වෙනුවට මුල් ද්වාරය සහ උපසර්ගය පිළිබිඹු කළ යුතුය.

ව්‍යතිරේකය එහි වගු අංකය, නියම ප්‍රමුඛතාව සහ නිශ්චිත මූලාශ්‍ර ලිපිනය සමඟ ලේඛනගතව තබා ගන්න. VPN හෝ අතුරුමුහුණතෙහි ඊළඟ වෙනස එය නිහඬව කඩා දැමිය හැක, සහ අගයන් තුන නම් කරන සටහනක් පාරිභෝගික වාර්තාවකින් රෝග ලක්ෂණය නැවත සොයා ගැනීමට වඩා ඉක්මනින් පරීක්ෂා කළ හැක.

මූලාශ්‍රයෙන් සුදුසුකම් ලත් සෙවීම සාර්ථක වූ පසුවත් සේවාව වැරදි මාර්ගයෙන් පිළිතුරු දෙන්නේ නම්, ජීව සොකට්කයේ මූලාශ්‍ර ලිපිනය නියමයේ ඇති ලිපිනය සමඟ සසඳන්න. වයිල්ඩ්කාඩ් ලිපිනයකට බැඳුණු සේවාවක් ඔබ පරීක්ෂා කළ ලිපිනයට වඩා වෙනත් මූලාශ්‍රයක් තෝරා ගත හැක, සහ එම නොගැලපීම ඉතිරි පරතරයයි.