VPN-න් පිටතට එක් දේශීය වෙබ් සේවයක් පමණක්, පෝට් අනුව යොමු කරන්න

එක් සත්කාරක සේවයක් භෞතික උඩු සබැඳිය හරහා අන්තර්ජාලයට පිළිතුරු දිය යුතු අතර යන්ත්‍රයේ අනෙක් සියල්ල උමඟ භාවිත කරමින් සිටියි. ප්‍රතිපත්ති පාදක මාර්ගකරණයට එම බර දරාගත හැකිද යන්න කොන්දේසි තුනක් තීරණය කරන අතර, නියමයක් ලිවීමට පෙර එක් එක් කොන්දේසිය පරීක්ෂා කිරීම ලාභදායීය. සේවය DNAT එකක් හෝ ඉදිරියට යවන ලද පෝට් එකක් පිටුපස නොව මෙම සත්කාරකයේම අවසන් විය යුතුය, VPN හිම ප්‍රතිපත්තිවලින් ව්‍යතිරේකයට අවසර දිය යුතුය, ඔබ ඉල්ලීම නොව පිළිතුර ගළපා බැලිය යුතුය. තුනෙන් එකක් හෝ අසාර්ථක වුවහොත් පහත විධාන දෝෂයකින් තොරව පූරණය වේ, නමුත් ප්‍රයෝජනවත් කිසිවක් නොකරයි.

නියමයක් ලිවීමට පෙර කොන්දේසි තුන පරීක්ෂා කරන්න

DNAT හරහා පෝට් එකක් ප්‍රකාශයට පත් කරන බහාලුමක් හෝ පෝට් ඉදිරියට යැවීමක් පිටුපස සිටින සේවාදායකයක්, මෙම සත්කාරකයේ නොහටගන්නා පැකට් නිපදවයි. එම පැකට් ඉදිරියට යවනු ලැබේ, එබැවින් සත්කාරක-දේශීය ආදානය මත පදනම් වූ නියමයක් ඒවා කිසිදා නොදකී අතර රථවාහනය දෙෆෝල්ට් මාර්ගය ගනිමින් සිටී. ඉදිරියට යාමට පෙර සේවය ඇත්තටම ධාවනය වන්නේ කොහේදැයි තහවුරු කරන්න, මන්ද මිනිසුන් වැඩිපුරම වැරදි කරන්නේ මෙම කොන්දේසියේය.

දෙවන කොන්දේසිය යාන්ත්‍රිකය නොව ප්‍රතිපත්තියයි. උමඟ වටා යන ඕනෑම මාර්ගයක් උමඟේ අරමුණට ව්‍යතිරේකයකි, කළමනාකරණය කරන සත්කාරකයක එම තීරණය ප්‍රතිපත්තිය හිමි අයට අයත් වේ, කාල සීමාවක් නිරාකරණය කරන පුද්ගලයාට නොවේ.

පිළිතුර ගළපන්න, සේවාලාභියාගේ ගමනාන්ත පෝට් එක නොව

TCP 443 මත සවන් දෙන සේවාදායකයක පිළිතුර මූලාශ්‍ර පෝට් 443 සමඟ සත්කාරකයෙන් පිටවේ. එම සත්කාරකයේම බ්‍රවුසරයක් දුරස්ථ HTTPS අඩවියකට සම්බන්ධ වන විට තාවකාලික මූලාශ්‍ර පෝට් එකක් සහ ගමනාන්ත පෝට් 443 යවයි. දෙකම පෝට් 443 රථවාහනය වන අතර ඉන් එකක් පමණක් WAN වගුව ගත යුතුය, එබැවින් ගමනාන්ත-පෝට් ගැළපීම වැරදි අර්ධය අල්ලා ගනු ඇත.

පිළිතුරේ දිශාව ඔබට වෙන්කර හඳුනාගත හැකි දෙයයි. මූලාශ්‍ර පෝට් එක ගළපන්න, නියමය දේශීයව ජනිත පැකට්වලට සීමා කරන්න, එවිට නියමය බ්‍රවුසරයේ ඉල්ලීම්වලට හානි නොකර සේවයේම පිළිතුරු ආවරණය කරයි.

නියමය එයට යොමු වීමට පෙර සම්පූර්ණ ආපසු වගුවක් ගොඩනඟන්න

හිස් වගුවක් යනු මාර්ගයක් නැත යන්නයි, එය කැඩුණු ප්‍රතිපත්තියකට වඩා කැඩුණු සේවයක් ලෙස පෙනේ. පළමුව එය පුරවන්න, සත්කාරකයේ වෙනත් කිසිවක් ඉල්ලා නොසිටින වගු අංකයක් සහ ප්‍රමුඛතාවක් සමඟ:

ip -4 route add table 100 192.0.2.0/24 dev eth0
ip -4 route add table 100 default via 192.0.2.1 dev eth0
ip -4 rule add priority 1000 iif lo ipproto tcp sport 443 lookup 100

අංක පිටපත් නොකර සජීවී සත්කාරකයෙන් කියවන්න. ip -4 rule show කුමන ප්‍රමුඛතා ගෙන ඇත්දැයි කියයි, දැනටමත් ඇති ප්‍රමුඛතාවකට නියමයක් එකතු කිරීම වෙන වෙනම නිවැරදි ලෙස පෙනෙන නියම දෙකක අනුපිළිවෙල නිහඬව වෙනස් කරයි.

මෙහි සැබෑ කාර්යය කරන්නේ තේරීම්කරුවන් දෙදෙනෙකි. iif lo යනු සත්කාරකය විසින්ම ජනිත කළ පැකට් කර්නලය වාර්තා කරන ආකාරයයි, එබැවින් නියමයට පිටතින් පැමිණෙන ඉදිරියට යවන ලද රථවාහනය අහම්බෙන් අල්ලා ගත නොහැක. ipproto tcp sport 443 එය එක් ප්‍රවාහනයකට සහ එක් පෝට් එකකට පටු කරයි, එය අවශ්‍යතාවය ඉඩ දෙන තරම් තදය. ප්‍රොටෝකෝල තේරීම්කරු ඉවත් කළහොත් නියමය UDP 443 ද අල්ලා ගනී, එය වෙනත් හැසිරීමක් ඇති වෙනත් සේවයකි.

පෞද්ගලික පිළිතුරු උමඟ තුළම තබා ගන්න

එකම සවන්දෙන්නා පෞද්ගලික පැත්තේ සේවාලාභීන්ටද පිළිතුරු දෙන්නේ නම්, වගුව 100 හි සියල්ල අල්ලා ගන්නා WAN දෙෆෝල්ට් එම පිළිතුරු උඩු සබැඳිය හරහා ආපසු යැවීමට උත්සාහ කරයි. WAN දෙෆෝල්ට් අනුගමනය නොකළ යුතු පෞද්ගලික උපසර්ග එකතු කරන්න, නැතහොත් ඒවා ඊළඟ ප්‍රතිපත්ති නියමයට වැටීමට ඉඩ දෙන්න:

ip -4 route add table 100 throw 10.90.0.0/24

throw මාර්ගය මෙම වගුවේ සෙවීම අවසන් කර පැකට් එක නියම ලැයිස්තුවට ආපසු දෙයි, එබැවින් පසුව එන VPN ප්‍රතිපත්තියට එහි අවස්ථාව ලැබේ. එයම උමඟට කිසිවක් මාර්ගගත නොකරයි, පසුව එන කිසිදු නියමයකට ගැළපෙන මාර්ගයක් නොමැති නම් පැකට් එක තවමත් අසාර්ථක වේ; throw යනු නිවැරදි කිරීමක් යැයි උපකල්පනය නොකර ඊළඟ ප්‍රතිපත්තිය සත්‍යාපනය කරන්න.

ප්‍රතිලෝම මාර්ග පෙරහන සහ සත්කාරක ගිනිපවුරු නියම පැමිණෙන ඉල්ලීමට තවමත් අදාළ වේ. වලංගුතාව ලිහිල් කිරීමට පෙර ඒවායේ සැබෑ තීන්දු දෙස බලන්න, මන්ද මාර්ගකරණ ව්‍යතිරේකයක් rp_filter අසාධ්‍ය යැයි සලකන ආපසු මාර්ගයක් පිළිගැනීමට සලස්වන්නේ නැත.

TCP, පසුව QUIC, පසුව නැවත ඇරඹීම පරීක්ෂා කරන්න

බලයලත් බාහිර සේවාලාභියෙකුගෙන් එකක් සහ පෞද්ගලික පැත්තෙන් එකක් සම්බන්ධතා විවෘත කර, පසුව සැබෑ ලිපින සහ පෝට් සමඟ පිළිතුරු සෙවීම පරීක්ෂා කරන්න. බාහිර පිළිතුර වගුව 100 ගන්නා අතර පෞද්ගලික පිළිතුර නොගන්නේ නම්, ප්‍රතිපත්තිය ඔබ ඉල්ලූ දේම කරයි.

HTTP/3 UDP හරහා සපයනු ලබන අතර TCP නියමයකින් ගැළපෙන්නේ නැත, එබැවින් QUIC සවන්දෙන්නෙකුට තමන්ගේම තේරීම්කරුවෙකු අවශ්‍ය වේ, නැතහොත් HTTPS ක්‍රියාත්මක වන අතරතුර එය උමඟ භාවිත කරමින් සිටී. ඔබ තීරණය කරන නියම අතුරුමුහුණත හිමි සංරචකය සමඟ සුරකින්න, නැවත සම්බන්ධ වීමකින් හෝ DHCP අලුත් කිරීමකින් පසු ඒවා තහවුරු කරන්න. නැවත ඇරඹීමෙන් පසු තරඟකාරී කළමනාකරුවෙකු ධාවන කාල මාර්ගයක් ඉවත් කරන්නේ නම්, එය මූලයේදී නිවැරදි කළ යුතු හිමිකාරිත්ව ගැටලුවකි, උඩින් පුළුල් NAT නියම එකතු කිරීමට හේතුවක් නොවේ.