FORWARD, OUTPUT සහ IPv6 ආවරණය කරන රවුටර් කිල් ස්‍විචය
FORWARD තුළ පමණක් ඇති කිල් ස්‍විචයක් රවුටරයටම කාන්‍දු වීමට ඉඩ දෙන අතර, IPv4 සඳහා පමණක් වන නීති IPv6 විවෘතව තබයි. දාම ක්‍රමානුකූල කර ටනලය පහළ ඇති විට පරීක්‍ෂා කරන්න.
ඔබ රවුටරයට ලොග් වී, සංසද පෝස්‍ටුවකින් කිල් ස්‍විච් නීති කට්‍ටලයක් අලවන විට, ටනලය වැටෙන මොහොතේ LAN බ්‍රවුස් කිරීම නවතී. දින දෙකකට පසුවත් රවුටරය සාමාන්‍ය WAN හරහා තම ගතික DNS වාර්‍තාව යාවත්‍කාලීන කරමින් සිටින අතර, අමුත්‍තන්‍ගේ ලැප්‍ටොප් තවමත් IPv6 අඩවි වෙත ළඟා වෙයි. දෙකම සාමාන්‍ය දෙයකි, මන්‍ද අලවන ලද නීති එක් දාමයක් සහ එක් ලිපින පවුලක් පමණක් ආවරණය කළ අතර, ඒ දෙකෙන් එකක්‍වත් මුළු රවුටරය නොවේ. පැකට් මාර්‍ග පිළිවෙලින් ගමන් කිරීමෙන් අතහැරුණේ කුමක්‍දැයි හරියටම පෙනේ.
ලැප්‍ටොප් එකෙන් නොව රවුටරයෙන් පටන් ගන්‍න
රවුටර මට්‍ටමේ ප්‍රතිපත්‍තියක් කුඩා කාර්‍යාලයකට ආකර්‍ෂණීයයි, මන්‍ද එයට පිටුපස ඇති සෑම උපාංගයක්‍ම එකම හැසිරීම උරුම කර ගන්‍නා අතර සේවාලාභී ස්‍විචයක් සක්‍රීය කිරීම කිසිවෙකුට අමතක විය නොහැක. සෑම ෆර්‍ම්‍වෙයර් යාවත්‍කාලීනයකට පසු පරීක්‍ෂා කිරීමට එක් තැනක්‍ද එය ලබා දෙයි. නමුත් රවුටරයේම ගමනාගමනය හෝ දෙවන ලිපින පවුල ස්‍වයංක්‍රීයව ආවරණය කිරීම එය ලබා නොදෙයි, බොහෝ අසාර්‍ථක යෙදවුම් පිටුපස ඇති පරතරයන් දෙක ඒවාය.
කිසිවක් සංස්‍කරණය කිරීමට පෙර කඩදාසියේ කරුණු තුනක් සටහන් කරන්න: WAN අතුරුමුහුණතේ නම, LAN පාලමේ නම, සහ VPN අන්‍ත ලක්‍ෂ්‍යයේ ලිපිනය සහ වරාය. නීතිවල මේ තුනම අවශ්‍ය වන අතර, අතුරුමුහුණතේ නම් අනුමාන කිරීම නිවැරදි පෙනුමක් ඇති නීති කට්‍ටලයක් කිසිවක් නොකරන වඩාත් පොදු හේතුවයි.
පැකට්‍ටුවකට ගත හැකි මාර්‍ග තුන හරහා ගමන් කරන්න
ලැප්‍ටොප් එකක සිට අන්‍තර්‍ජාලයට යන ගමනාගමනය යොමු වේ, එබැවින් එය FORWARD දාමය හරහා ගමන් කරයි. රවුටරය විසින්‍ම ජනනය කරන ගමනාගමනය, උදාහරණයක් ලෙස DNS යොමු කිරීම, NTP විමසුම්, DDNS යාවත්‍කාලීන සහ VPN පාලන නාලිකාව, OUTPUT හරහා ගමන් කරයි. රවුටරයට යොමු කරන කළමනාකරණ ගමනාගමනය INPUT හරහා පැමිණේ.
එබැවින් FORWARD තුළ පමණක් ගොඩනගන ලද කිල් ස්‍විචයක් සේවාලාභීන් ආරක්‍ෂා කරයි, වෙන කිසිවක් නොවේ. ආරම්‍භයේ දර්‍ශනයේ ඇති කාන්‍දුව අද්‍භූත නොව අනාවැකි කළ හැකි ඇයිද යන්‍න වගුව පෙන්‍වයි.
| Packet path | Example | Chain that sees it |
|---|---|---|
| LAN client to WAN or tunnel | Browser request | FORWARD |
| Router-originated | DDNS update, NTP | OUTPUT |
| Addressed to the router | SSH from the LAN | INPUT |
බොහෝ නිර්‍මාණවල INPUT මත කිල් ස්‍විචයක් අවශ්‍ය නොවේ, නමුත් ටනලය පහළ ඇති විට කළමනාකරණ ප්‍රවේශය ක්රියාත්මකව තැබිය යුතුය. එසේ නොමැති නම්, VPN පළමු වරට අසාර්‍ථක වන විට, කොන්‍සෝල කේබලයක් රැගෙන කාර්‍යාලයට රිය පැදවීමට සිදු වේ.
ටනලය තවමත් ඉහළට එන පරිදි නීති පිළිවෙලට සකසන්‍න
ක්රියාත්මක වන කිල් ස්‍විචයක් යනු ප්‍රතික්‍ෂේපයකින් අවසන් වන අවසර ලැයිස්‍තුවකි, එය ගඩොලක් නොව කිල් ස්‍විචයක් කරන්‍නේ අනුපිළිවෙලයි. මුලින්‍ම ලූප්‍බැක්, VPN අන්‍ත ලක්‍ෂ්‍යය, ස්‍ථාපිත ගලායාමවල ප්‍රතිචාර සහ ටනල අතුරුමුහුණත අවසර දෙන්‍න; ඉතිරිය අවසානයේ ප්‍රතික්‍ෂේප කරන්න.
iptables -A OUTPUT -o lo -j ACCEPT
iptables -A OUTPUT -d 198.51.100.7 -p udp --dport 51820 -j ACCEPT
iptables -A OUTPUT -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -o wg0 -j ACCEPT
iptables -A OUTPUT -o eth0 -j REJECTමෙම අවස්‍ථාවේදී අන්‍ත ලක්‍ෂ්‍යය ලිපිනයක් විය යුතුය, සත්‍කාරක නාමයක් නොවේ. අවසාන ප්‍රතික්‍ෂේපය DNS අවහිර කළ පසු, සැපයුම්‍කරුගේ සත්‍කාරක නාමය නම් කරන නීතියක් තවදුරටත් විසඳිය නොහැකි අතර, නැවත ඇරඹීමෙන් පසු ටනලය නැවත කිසිදා ආරම්‍භ නොවේ. සැපයුම්‍කරු අන්‍ත ලක්‍ෂ්‍ය මාරු කරන්‍නේ නම්, ප්‍රතිපත්‍තිය යෙදීමට පෙර නාමය විසඳා එම නීතිය එම ස්‍ක්‍රිප්‍ටයෙන්‍ම නැවුම් කරන්න.
සේවාලාභී ගමනාගමනය සඳහා FORWARD තුළ එම හැඩයම පිළිබිඹු කරන්න, සහ ප්‍රතික්‍ෂේපයට ඉහළින් පැහැදිලි කළමනාකරණ නීතියක් තබන්‍න. එම කළමනාකරණ නීතිය පටු නමුත් ළඟා විය හැකි ලෙස තබා ගන්‍න, සහ පළමු SSH සැසිය වැසීමට පෙර දෙවන සැසියක් විවෘත කර එය තහවුරු කරන්න. කිල් ස්‍විචයක් වෙනස් කිරීමේදී තමන්‍ම අගුළු දැමීම සැලසුම් කිරීමට තරම් පොදුය. WireGuard ධාවනය වන රවුටරයක, සමඟියාගේ allowed-ips ටනලයට ඇතුළු වන දේ තීරණය කරයි, නමුත් මෙම නීති එය නොමැතිව පිටවීමට අවසර ඇති දේ තීරණය කරයි.
IPv6 ට තමන්‍ගේම ඉදිරිපස දොරක් අවශ්‍යයි
ඉහත සියල්‍ල IPv4 ය. ඔබේ LAN හි ක්රියාත්මක IPv6 ඇත්‍නම් සහ ටනලය IPv4 පමණක් රැගෙන යන්‍නේ නම්, ආවරණය වූ සෑම උපාංගයකටම ඔබේ නව නීති කිසිදා නොදකින අන්‍තර්‍ජාලයට සෘජු මාර්‍ගයක් තවමත් ඇත. ද්‍වි-තට්‍ටු ලැප්‍ටොප් එකක් එය සතුටින් තෝරා ගනු ඇත, සහ IPv4 සමඟ පරීක්‍ෂා කරන පුද්‍ගලයාට පමණක් කිල් ස්‍විචය කැඩී ඇති ලෙස පෙනේ.
ip6tables -A FORWARD -i br-lan -j REJECT
ip6tables -A OUTPUT -o eth0 -j REJECT
ip6tables -A OUTPUT -o lo -j ACCEPTමෙහිදීද අනුපිළිවෙල වැදගත්‍ය: ලූප්‍බැක් අවසරය WAN ප්‍රතික්‍ෂේපයට පෙර තිබිය යුතුය, එසේ නොමැති නම් රවුටරයේ දේශීය සේවා අමුතු ආකාරයෙන් අසාර්‍ථක වීමට පටන් ගනී. ජාලය IPv6 කිසිසේත් භාවිතා නොකරන්‍නේ නම්, WAN සහ LAN මත එය අබල කිරීම සරල වන අතර අමතක කිරීමට කිසිවක් ඉතිරි නොවේ.
සමහර VPN සේවාලාභීන් IPv4 සඳහා පමණක් පෙරනිමි මාර්‍ගයක් ස්‍ථාපනය කර පවතින IPv6 පෙරනිමිය ස්‍පර්‍ශ නොකර තබයි. සේවාලාභියා එය හසුරුවා ඇතැයි උපකල්‍පනය නොකර ටනලය සම්බන්ධ වූ පසු මාර්ගගත කිරීමේ වගුව පරීක්‍ෂා කරන්න.
ටනලය පහළ ඇති විට එය ඔප්‍පු කරන්න
රවුටරයෙන් ටනලය නවත්‍වා මෙම අනුපිළිවෙලින් ස්‍ථාන තුනකින් පරීක්‍ෂා කරන්න:
# systemctl stop wg-quick@wg0
# ip route get 203.0.113.1
# curl -m 5 -sS http://example.com || echo blocked
# iptables -vnL OUTPUT | head
# ip6tables -vnL OUTPUT | headමාර්‍ග සෙවීම පැකට්‍ටුවක් යන්‍නේ කොහේදැයි කියයි, ගණන් කරන්‍නන් ඔබේ නීති කිසිදා ගැළපුණාදැයි කියයි. අසාර්‍ථක පරීක්‍ෂණයකින් පසු පැකට්‍ටු නොමැති නීතියක් කිසිවක් ආරක්‍ෂා නොකරයි, සහ සාමාන්‍ය හේතුව ඔබ ටයිප් කළ එකට වඩා වෙනස් අතුරුමුහුණත් නාමයකි. LAN පැත්‍තේ පරීක්‍ෂණයකට OUTPUT ක්රියාත්මක කළ නොහැකි බැවින්, රවුටරය ජනනය කරන ගමනාගමනය පැහැදිලිව පරීක්‍ෂා කරන්න.
අවශ්‍ය වීමට පෙර අසාර්‍ථකතා ආකාරය තීරණය කරන්න. fail-closed ටනලය ආපසු එන තෙක් සේවාලාභීන් නොබැඳිව තබයි; fail-open සාමාන්‍ය WAN ප්‍රවේශය නැවත දෙන අතර ඔබ ගැන සැලකූ ගමනාගමනයේ අරමුණ පරාජය කරයි. ඉහළ මෙට්‍රිකයක් සහිත VPN තටාකයට යන කළු කුහර මාර්‍ගය fail-closed නිර්‍මාණ සඳහා ප්‍රයෝජනවත් දෙවන ස්‍ථරයකි, මන්‍ද ටනල මාර්‍ගය අතුරුදහන් වූ විට පෙරනිමියට ආපසු නොවී එය නොනැසී පවතී.
LAN සේවාලාභියෙකු, රවුටරය ජනනය කළ ඉල්‍ලීමක් සහ IPv6 ඉල්‍ලීමක් යන තුනම ටනලය පහළ ඇති විට අසාර්‍ථක වී, ටනලය ඉහළ ගිය පසු තුනම නැවත ක්රියාත්මක වූ විට පමණක් වින්‍යාසය පිළිගන්‍න.