VPN සම්බන්ධයි නමුත් ෆයර්වෝලය තවමත් අවහිර කරයි: කුමක්දැයි දැනගන්නේ කෙසේද
ටනලය ක්‍රියාත්මකයි, එක් පෝට් එකක් තවමත් අසාර්ථකයි. මුලින්ම මාර්ගය කියවන්න, පසුව එක් එක් ස්ථරයේ ප්‍රතිපත්තිය, සහ පාලන දෙකෙන් එකක් ක්‍රියා විරහිත කරනවාට වඩා පටුම නියමය වෙනස් කරන්න.
සේවාදායකයා සම්බන්ධයි කියයි, සම්පත් තවමත් ප්‍රතික්ෂේප කරයි, සහ ඊළඟ සුපුරුදු පියවර යමක් ක්‍රියා විරහිත කිරීමයි. එම වාක්‍යයේ පාලන දෙක වෙනස් කාර්යයන් කරයි: VPN ආවරණය වූ ගමනාගමනයට මාර්ගයක් ගොඩනඟයි, සහ ෆයර්වෝලය එක් එක් සම්බන්ධතාවය සඳහා ගමනාගමනයට යා හැකිද යන්න තීරණය කරයි. ප්‍රතික්ෂේප කරන ප්‍රතිපත්තියක් සහිත ක්‍රියාකාරී ටනලයක් පරිශීලකයාගේ පුටුවේ සිට හරියටම කැඩුණු ටනලයක් මෙන් පෙනේ, එබැවින් කාර්යය වන්නේ කුමන ස්ථරය පිළිතුරු දෙන්නේද යන්න සොයා ගැනීමයි. මා අනුගමනය කරන අනුපිළිවෙල මෙයයි, නවත්වන්නැයි කියන කියවීම සමඟ.
මාර්ගය ප්‍රතිපත්තියෙන් වෙන් කරන්න
අසාර්ථකත්වයේ හැඩයෙන් පටන් ගන්න, මන්ද එය නොමිලේ තොරතුරු වේ. පැකට් එකක් වැටීමෙන් කාල සීමාවක් ඇති වේ: සේවාදායකයා නැවත උත්සාහ කරයි, කිසිවක් ආපසු එන්නේ නැත, සහ විධානය අත්හැර දමන තෙක් එල්ලී තිබේ. ප්‍රතික්ෂේපයක් ප්‍රතික්ෂේපයක් හෝ නැවත සැකසීමක් ඇති කරයි: යමක් පිළිතුරු දී නැතැයි කීවේය. නොඅසන සේවාවක් සත්කාරකයේම ප්‍රතික්ෂේප කරයි, කිසිදු ෆයර්වෝලයක් නොමැතිව.
එම ප්‍රතිඵල තුන වෙනස් ස්ථර කරා යොමු කරයි. කාල සීමාව යනු කොහේ හෝ ප්‍රතිපත්තියක් නිශ්ශබ්දව ඉවතට දමනවා, නැතහොත් මාර්ගය කිසිදා යන්ත්‍රයෙන් පිටව නොයනවා. ප්‍රතික්ෂේප විය යනු ඔබ සත්කාරකයට ළඟා වූ අතර එහි තොගය හෝ දේශීය ෆයර්වෝලය ප්‍රතික්ෂේප කළා. සම්පූර්ණ නිශ්ශබ්දතාවය, ටනල අතුරුමුහුණත සක්‍රීයව හා ගමනාන්තයට මාර්ගයක් නොමැතිව, මාර්ගය වැරදි බවත් කිසිදු ෆයර්වෝල නියමයක් එය නොහරියන බවත් අදහස් කරයි.
මාර්ගය එක් ගමනකින් කියවන්න
එක් නියමයක් හෝ බැලීමට පෙර ටනලය ගමනාන්තය ආවරණය කරන බව තහවුරු කරන්න. කාර්යාල උපජාලය පමණක් ගෙන යන බෙදුණු ටනලයක් ඉල්ලීමක් වෙනත් පරාසයකට යොමු නොකරයි, එවිට අසාර්ථකත්වය ෆයර්වෝල අවහිරයක් මෙන් පෙනේ, එය එසේ නොවුවත්:
ip route get 10.20.4.15
ip -brief address show
wg show
sudo ipsec statusallමාර්ගයේ ප්‍රතිදානය පැකට්ටුව පිටවන අතුරුමුහුණත සහ එය රැගෙන යන මූලාශ්‍ර ලිපිනය නම් කරයි. එම අතුරුමුහුණත ටනලය නොව ඔබේ භෞතික ජාල කාඩ්පත නම්, ගැටලුව මාර්ගගතකිරීමේ හෝ ටනලයේ අවසර ලත් පරාසවල ඇත, සහ එය ෆයර්වෝලයට නොව VPN වින්‍යාසයට අයත් වේ.
VPN සඳහා විශේෂිත එක් උගුලක් වෙනම පරීක්ෂාවක් වටී. WireGuard හි සමානයකුගේ AllowedIPs එකම වේලාවේ මාර්ගයක් සහ ගුප්තකේතන පෙරහනක් වේ: මූලාශ්‍ර ලිපිනය සමානයාගේ අවසර ලත් කුලකයට නොගැලපෙන පැකට්ටුව කිසිදු ෆයර්වෝල නියමයක් බැලීමට පෙර ඉවතට දමනු ලැබේ. එබැවින් සම්පූර්ණයෙන්ම නිවැරදි සත්කාරක ෆයර්වෝලයක් ප්‍රතිපත්තියක් මෙන් පෙනෙන නිශ්ශබ්ද ඉවත් කිරීමක පිටුපස සිටිය හැක, සහ නිවැරදි කිරීම නියමයක් නොව යතුරු වින්‍යාස පේළියකි.
පිළිතුරු දෙන ස්ථරයේ ප්‍රතිපත්තිය කියවන්න
මාර්ගය නිවැරදි වූ පසු, සත්කාරකයේ සිට පිටතට ප්‍රතිපත්තිය හරහා ගොස්, කවුන්ටර චලනය වන එකම ස්ථරය නිරීක්ෂණය කරන්න:
ss -ltn | grep ':443'
sudo nft list ruleset
sudo iptables -S INPUT
sudo ufw status verboseඅසන සොකට් නියමවලට වඩා වෙනස් ප්‍රශ්නයකට පිළිතුරු දෙයි. පෝට් එකේ කිසිවක් නොඅසන්නේ නම්, කර්නලය සම්බන්ධතාවය ප්‍රතික්ෂේප කරන අතර කිසිදු ඇතුළු නියමයක් අදාළ නොවේ. සොකට් එක තිබේ නම් සහ දුරස්ථ සේවාදායකයෙකුගෙන් සම්බන්ධතාවය කාලය ඉකුත් වේ නම්, මාර්ගයේ කොහේ හෝ ඉවත් කිරීමක් සිදුවෙමින් පවතී, සහ නියමවල කවුන්ටර එය මෙහි සිදුවේදැයි කියයි.
පිටතින් අනුමාන කරනවාට වඩා සැක සහිත පැතිකඩ හෝ දාමය සඳහා ලොග් කිරීම සක්‍රීය කරන්න. මූලාශ්‍රය, ගමනාන්තය සහ පෝට් එක නම් කරන එක් වාර්තාගත ඉවත් කිරීමක් ස්ථරය සහ නියමය හඳුනා ගනී, සහ පැකට්ටුව පැමිණි බවද සනාථ කරයි, එය සේවාදායක පැත්තේ කිසිදු පරීක්ෂණයකින් ස්ථාපිත කළ නොහැක.
ටනලය එහිදී අවසන් වන විට දොරටුවේ තීරණය කියවන්න
අඩවි-සිට-අඩවි හෝ දුරස්ථ ප්‍රවේශ දොරටුවක, VPN පරිශීලකයා සත්‍යාපනය කරන අතර ප්‍රතිපත්තිය සම්පතක් අවසර දෙයි, සහ ඒවා වෙනස් අවසරයන් වේ. ටනලයට ඇතුළු කරන ලද පරිශීලකයාට සෑම අභ්‍යන්තර සත්කාරකයකටම ස්වයංක්‍රීයව ඇතුළු වීමට අවසර නැත, සහ ප්‍රතික්ෂේපය බොහෝ විට ටනලයම සුවයෙන් පවතින විට යැවීමේ නියමයකින් පැමිණේ. එම වෙන්වීම IPsec හි ද දක්නට ලැබේ, එහිදී ගමනාගමනය තෝරන ආරක්ෂක ප්‍රතිපත්තිය එය ඇතුළු කරන පෙරහනට වඩා වෙනස් වේ, එබැවින් දෙකම වෙනස් යාන්ත්‍රණ ලෙස RFC 4301.
ආපසු මාර්ගය යන මාර්ගය තරම්ම සැලකිල්ලෙන් පරීක්ෂා කරන්න. තත්ත්ව පෙරහනට පිළිතුර දැකිය යුතුය, එබැවින් ටනලය හරහා එක් දිශාවකට සහ එය වටා අනෙක් දිශාවට අසමමිතික මාර්ගගතකිරීම අහඹු ලෙස පෙනෙන සහ සමහර සේවාදායකයන්ගෙන් පමණක් නැවත ඇතිවන ඉවත් කිරීම් ඇති කරයි. ගමනාගමනය දොරටුවට ළඟා වී නතර වුවහොත්, යමක් පුළුල් කිරීමට පෙර යැවීමේ නියමය සහ ආපසු මාර්ගය එකට කියවන්න.
දොරටුව යනු NAT හෝ ආවරණ නියමයක් සැබෑ මූලාශ්‍රය සඟවා තැබිය හැකි ස්ථානයද වේ. අභ්‍යන්තර සත්කාරක සේවාදායකයා වෙනුවට දොරටුවේ ලිපිනය දකින්නේ නම්, සේවාදායක සමූහයට ගැලපිය යුතු ඔවුන්ගේ සත්කාරක ෆයර්වෝල නියම කිසිදා නොගැලපේ, සහ නිවැරදි කිරීම සෑම සේවාදායකයකටම නොව දොරටුවට අයත් වේ.
පටුම ස්ථරය වෙනස් කරන්න, පසුව තහවුරු කරන්න
පුළුල් අලුත්වැඩියාවට විරුද්ධ වන්න. සත්කාරක ෆයර්වෝලය ක්‍රියා විරහිත කිරීම, සියල්ලට අවසර දෙන නියමයක් එකතු කිරීම, හෝ සෑම අතුරුමුහුණතක්ම විශ්වාසනීය පැතිකඩකට තල්ලු කිරීම — එක් එක් එය තම කාර්යය කරමින් තිබූ පාලනය ඉවත් කරයි, සහ වෙනස සිද්ධියෙන් පසුවද පවතී. මූලාශ්‍ර පරාසය සහ අදාළ පෝට් එකට සීමා වූ නියමයක් සමාලෝචනය කිරීම පහසුය, ඉවත් කිරීම පහසුය, සහ යන්ත්‍රයේ ඉතිරි ප්‍රතිපත්තිය නොවෙනස්ව තබයි.
අසාර්ථක වූ එම පරීක්ෂණයෙන්ම, එම සේවාදායකයාගෙන්ම තහවුරු කරන්න, පසුව නැවත සම්බන්ධ වූ පසු තවත් වරක්, මන්ද ටනලය නැවත සාකච්ඡා කිරීමට පෙර ගැලපුණු නියමයක් පසුව නොගැලපිය හැකි බැවිනි:
nc -vz 10.20.4.15 443
curl -v --max-time 5 https://10.20.4.15/එය වසා දැමීමට පෙර:
- ගමනාන්තයට මාර්ගය ටනල අතුරුමුහුණත හරහා පිටවේ, සහ මූලාශ්‍ර ලිපිනය ප්‍රතිපත්තිය අපේක්ෂා කරන දෙයට ගැලපේ.
- පෝට් එකේ යමක් අසමින් සිටී, සහ ප්‍රතික්ෂේපය හෝ කාල සීමාව අනුමානයක් නොව නම් කළ නියමයකට ආරෝපණය වේ.
- දොරටුව දෙපැත්තටම යවයි, සහ ගමනාන්තය ඔබේ නියම ලියූ මූලාශ්‍රය දකී.
- පරීක්ෂණය සමත් වීමට කිසිදු පාලනයක් ක්‍රියා විරහිත කර නැත, සහ ඔබ කළ වෙනස්කම් එක් මූලාශ්‍ර පරාසයක් සහ එක් පෝට් එකක් නම් කරයි.