VPN සේවාලාභීන් ටනලය හරහා එකිනෙකාට ළඟා වීම වළක්වන්න
සේවාවකට ළඟා වීම මාර්ගයකි, තවත් සේවාලාභියෙකුට ළඟා වීම ප්‍රතිපත්තියකි. සගයන් අතර ගමන් විස්තරය තීරණය කරන යැවීමේ ලක්ෂ්‍යය සොයා, පසුව සේවාලාභියෙකුගෙන් තහනම සනාථ කරන්න.
සේවාලාභීන් දෙදෙනෙකුටම පනින සත්කාරකය විවෘත කළ හැකි වුවත් එකිනෙකා විවෘත කිරීමට ඔවුන්ට කිසිදු කටයුත්තක් නොවිය යුතුය. සේවාවකට ළඟා වීම යැවීමේ තීරණයකි, එහෙත් සගයෙකුට ළඟා වීම ප්‍රතිපත්ති තීරණයකි, සහ බොහෝ VPN තට්ටු මේවා වෙන වෙනම වස්තුවල තබා ගනී. පළමුවැන්න සඳහා ඔබ වින්‍යාස කරන කිසිවක් දෙවැන්න බලාත්මක නොකරයි. එබැවින් කාර්යය නියමයක් එකතු කිරීම නොව, මෙම සේවාදායකයේ සගයන් අතර ගමන් විස්තරය තීරණය කරන වස්තුව සොයා, එහි තහනම ලියා සේවාලාභියෙකුගෙන් එය සනාථ කිරීමයි.
හවුල් සේවාවට යන මාර්ගය සගයන් අතර අවසරයක් නොවේ
සේවාලාභී උපජාලය ප්‍රකාශ කිරීම සගයෙකුට තවත් සේවාලාභියෙකුගේ ලිපිනය දෙසට පැකට්ටුව රැහැන මත තැබිය යුතු ආකාරය කියයි. එම පැකට්ටුව බෙදාහරින්නේද නැද්ද යන්න පසුව තීරණය වේ, එය යවන දෙයින්. Linux ද්වාරයේ එය FORWARD දාමයයි; පරිශීලක අවකාශයේ ඩීමන් තුළ එය ටනලයේම සැසි වගුවයි. මාර්ගය ළඟා විය හැකි බවට පිළිතුරු දෙන අතර අවසරය අස්පර්ශිව තබයි.
එබැවින් මාර්ග පමණක් කියවන හුදෙකලා පරීක්ෂාවක් කිසිවක් සනාථ නොකරයි. /24 එක සේවාලාභියාටම තල්ලු කළ හැකි අතර, සගයන් අතර සෑම පැකට්ටුවක්ම යැවීමේ කොක්කේ අතහැර දමයි. අනතුරුදායක අවස්ථාව ඊට විරුද්ධය: පැහැදිලි නියමයක් නැත, අවසර දෙන පෙරනිමියක් ඇත, සහ කිසිවෙකු එය පරීක්ෂා නොකළ නිසා පමණක් හුදෙකලාව පවතී.
ටර්මිනලය විවෘත කිරීමට පෙර අවශ්‍යතාව එක පේළියක ලියන්න. සේවා කොටස සහ පනින සත්කාරකයට ළඟා වන්න, සේවාලාභී කොටස තුළ වෙනත් කිසිවකට ළඟා නොවන්න.
සගයාගේ පැකට්ටුව ඇත්තටම යවන්නේ කවුරුන්දැයි සොයා ගන්න
සේවාදායකයේ හැසිරීම් දෙකක් සේවාලාභී පැත්තෙන් එකම ලෙස පෙනෙන අතර වෙනස් නියම අවශ්‍ය වේ. එක්කෝ කර්නලය පැකට්ටුව නැවත ටනල් අතුරුමුහුණතින් පිටතට යවයි, නැතහොත් ඩීමන් එය සැසි අතර පිටපත් කරන අතර කර්නලය එය කිසිදා නොදකී.
WireGuard පළමු කණ්ඩායමට අයත් වේ: එහි සගයන් අතර ස්විචයක් නැත, එබැවින් 10.8.0.4 සිට 10.8.0.5 දක්වා පැකට්ටුවක් wg0 මතට පැමිණ, යැවීමේ කොක්කට වැදී, AllowedIPs ලිපින දෙකම ආවරණය කරන විට නැවත wg0 මතින් මාර්ගගත වේ. OpenVPN දෙවන කණ්ඩායමයි, සේවාදායක වින්‍යාසයේ client-to-client සකසන විට, එම උපදෙස පැකට්ටුව පරිශීලක අවකාශයේ සැසි අතර භාර දෙන බැවින්. කිසිවක් ලිවීමට පෙර පූරණය වූ වින්‍යාසයේ එම උපදෙස පරීක්ෂා කරන්න. කිසිදා ගමන් විස්තරය නොදකින කර්නල නියමයක් ක්‍රියා කරන නියමයකින් වෙන් කළ නොහැක, එලෙසම යෙදවීමක් කිසිදු හුදෙකලාවකින් තොරව අවසන් වේ.
පූරණය වී ඇතැයි ඔබ උපකල්පනය කරන ගොනුව වෙනුවට ඵලදායී වින්‍යාසය කියවන්න, මන්ද බෙදාහැරීම් පැකේජ තමන්ගේම ඇතුළත් කිරීම් ගෙන එයි. ඩීමන් යවන්නේ නම්, තහනම එහිම සේවාලාභී-එකකට පාලනවල පවතී, සහ සත්කාරක ගිනිපවුර සත්කාරකයට යැවූ ගමන් විස්තරය පමණක් පෙරහනය කරයි. කර්නලය යවන්නේ නම්, යැවීමේ කොක්ක පමණක් වැදගත් වේ.
මාර්ගගත සහ පරිවර්තිත යෙදවීම් තවත් එක් පරීක්ෂාවක් අවශ්‍ය වේ: දුර සේවාලාභියෙකු දකින මූලාශ්‍රය ඔබ බලාපොරොත්තු වන එක නොවිය හැක. එවිට සේවාලාභී උපජාලයට ගැළපෙන නියමය කිසිවකට නොගැළපේ. ගැළපීම ලිවීමට පෙර පරිවර්තනයෙන් ඉතිරි වන ලිපිනය සටහන් කරන්න, සහ NAT ලිපින අනුමාන කිරීමට වඩා අතුරුමුහුණත් යුගලය ගැළපීමට මුල්තැන දෙන්න.
සෑම ලිපිනයකටම තනිවම අවලංගු කළ හැකි අනන්‍යතාවක් දෙන්න
උපාංග දෙකක් එකම සත්‍යාපනයක් බෙදා ගත් විට හුදෙකලාව කඩා වැටේ. එම අනන්‍යතාවට බැඳුණු නියමයකට ඒවා වෙන් කළ නොහැක, සහ නැති වූ ලැප්ටොප් එකක් අවලංගු කිරීම මුළු කණ්ඩායමම අවලංගු කරයි. උපාංගයකට සහතික හෝ සගයෙකුට යතුරු අවලංගු කිරීම දේශීයව සහ ප්‍රතිපත්තිය කියවිය හැකි ලෙස තබයි, මන්ද සෑම ලිපිනයක්ම හරියටම එක් පුද්ගලයෙකුට හෝ යන්ත්‍රයකට ගැළපේ. නිර්මාණයට එය කළ නොහැකි තැන, නියමය සියුම් ලෙස විස්තර කරනවාට වඩා ධාවන පොතේ එය පවසන්න.
ලිපින වෙන් කිරීම ප්‍රතිපත්තිය සමඟ එකඟ විය යුතුය. සේවා සඳහා කොටසක්, සේවාලාභීන් සඳහා කොටසක් වෙන් කර, සේවාලාභී ලිපින ඔබ පාලනය කරන තටාකයකින් ලබා දෙන්න, පළමුව එන අයට ලැබෙන පරාසයකින් නොව. සේවාදායකය පරිවර්තනය හෝ සේතුවක් කරන්නේ නම්, සිතියම් වගුව වින්‍යාසය අසල තබන්න, මන්ද ඊළඟ පාඨකයාට නියමය නැවත ව්‍යුත්පන්න කිරීමට අවශ්‍ය වන්නේ එම වගුවයි.
පැකට්ටුව ටනලය තරණය කරන තැන තහනම තබන්න
WireGuard ගමන් විස්තරය යවන ද්වාරයේ නියම දෙකක් මෙම අවස්ථාව ආවරණය කරයි: සේවා කොටසට අවසර දෙන්න, පසුව සේවාලාභී කොටසේ ඉතිරිය අතහරින්න. අතුරුමුහුණත් යුගලය ලිපින තරම්ම වැදගත් වේ, මන්ද ගමනාන්තය පමණක් ගැළපීමෙන් LAN වලින් එන ගමන් විස්තරයද අල්ලා ගනී. අවසරය පළමුව ඇගයීමට ලක් වන පරිදි ඒවා එම අනුපිළිවෙලින් පූරණය කරන්න.
nftables සමඟ යුගලය පවතින inet filter වගුවට යයි, පළමුව අවසරය සහ පසුව අතහැරීම. ගැළපීම් දෙකම ලිපින සමඟ අතුරුමුහුණත් යුගලය තහවුරු කරයි.
nft add rule inet filter forward iifname "wg0" oifname "wg0" ip saddr 10.8.0.0/24 ip daddr 10.8.2.0/24 accept
nft add rule inet filter forward iifname "wg0" oifname "wg0" ip saddr 10.8.0.0/24 ip daddr 10.8.0.0/24 dropපූරණය කිරීමෙන් පසු පිටවන තත්ත්වය විශ්වාස කරනවාට වඩා දාමය නැවත කියවා, නියම දෙකම ඔබ අදහස් කළ අනුපිළිවෙලින් ඇති බව තහවුරු කරන්න. IPv6 තටාකය සඳහා ගැළපෙන ip6 නියම එකතු කරන්න, එසේ නොමැති නම් ද්වි-ස්ටැක් ටනලයේ v4 යුගලය අලංකරණයක් පමණි. සේවාදායකයට දැනටමත් අවසර දෙන යැවීමේ ප්‍රතිපත්තියක් තිබේ නම්, දාමය සම්පූර්ණයෙන්ම ප්‍රතිස්ථාපනය කරනවාට වඩා අතහැරීම එකතු කරන්න.
OpenVPN හි client-to-client සක්‍රීය වූ විට, මෙම යැවීමේ නියම සගයන් අතර ගමන් විස්තරයට කිසිදා නොගැළපේ, සහ තහනම ඩීමන්ගේම පාලනවල පැවතිය යුතුය. සත්කාරකයට යැවූ ගමන් විස්තරය සඳහා කර්නල නියම තබා ගන්න, නමුත් ඒවා හුදෙකලා පාලනය ලෙස නොගණන් කරන්න.
තහනම සේවාදායකයෙන් නොව සේවාලාභියෙකුගෙන් සනාථ කරන්න
ද්වාරයෙන් පරීක්ෂා කිරීම කිසිවක් සනාථ නොකරයි, මන්ද දේශීයව ජනනය වූ ගමන් විස්තරය පිටවන මාර්ගය ගන්නා අතර යැවීමේ කොක්ක කිසිදා තරණය නොකරයි. සැබෑ සේවාලාභීන් දෙදෙනෙකු භාවිත කරන්න: සේවාවට ළඟා විය යුතු එකක් සහ ප්‍රතික්ෂේප විය යුතු එකක්. පළමුව අවසර අවස්ථාව ධාවනය කරන්න, බිඳුණු ටනලයක් ක්‍රියා කරන ප්‍රතිපත්තියක් ලෙස නොසැලකෙන පරිදි.
අවසර ලත් සේවාලාභියාගෙන් සේවාව එහි තොටුපොළේ පිළිතුරු දෙන බව තහවුරු කරන්න. එම සේවාලාභියාගෙන්ම සගයාගේ ලිපිනය උත්සාහ කර ප්‍රතික්ෂේපයක් වෙනුවට නිහඬ අතහැරීමක් බලාපොරොත්තු වන්න:
ping -c 3 -W 2 10.8.0.5
nc -z -w 2 10.8.0.5 22
nft list chain inet filter forward
iptables -vnL FORWARD
ping -6 -c 3 -W 2 fd00:8::5අතහැර දැමූ පැකට්ටුවක් සහ නොබැඳි සගයෙක් දෙදෙනාම කාලය ඉකුත් වීමක් ලෙස පෙනේ, එබැවින් කිසිදු නිගමනයකට එළඹීමට පෙර ගණන් කරන යන්ත්‍ර පරීක්ෂා කරන්න. සගයා පැහැදිලිව ක්‍රියාත්මක වන අතරතුර අතහැරීමේ නියමයේ ගණකය වැඩි වන බව තහවුරු කරන්න. IPv6 හරහා පුනරාවර්තනය කරන්න, එහිදී නොමැති ip6 නියමය v4 තහනම ඵලදායී ලෙස පෙනීමට ඉඩ දෙයි. පිළිගත් සහ ප්‍රතික්ෂේප කළ ප්‍රතිඵල දිනය සමඟ ධාවන පොතේ සටහන් කරන්න, මන්ද ඊළඟ සංක්‍රමණය නියමය නැවත ව්‍යුත්පන්න කරනු ඇත.