UFW හි before.rules තුළ VPN NAT තැබිය යුත්තේ කොහේද සහ එය පරීක්ෂා කරන්නේ කෙසේද

ෂෙලයක ටයිප් කරන විට ක්‍රියා කරන NAT රීතියක් before.rules වෙත අලවන විට අසාර්ථක වේ, මන්ද එම ගොනුව ස්ක්‍රිප්ටයක් නොවේ. එය වගු කොටස්, දාම ප්‍රකාශන සහ එක් එක් වගුව සඳහා COMMIT සලකුණක් සහිත ප්‍රතිසාධන ආකෘති ලේඛනයකි. වැරදි තැනක ඇති පේළියක් සම්පූර්ණ ප්‍රතිසාධනය නවත්වයි නැතහොත් ඔබ එහි ඇතැයි සිතූ රීති නිහඬව ඉවත් කරයි. පහත රන්බුක් කොටස රාමුව එය අපේක්ෂා කරන තැන තබා ඊළඟ නැවත පූරණයට පෙර ප්‍රතිඵලය ඔප්පු කරයි.

ෂෙල් විධානය ප්‍රතිසාධන ගොනුවක් නොවේ

iptables -t nat වලින් ආරම්භ වන පේළිය iptables බයිනරියට උපදෙසක් වන අතර, UFW කියවන ගොනුව සම්පූර්ණ රීති කට්ටලයක විස්තරයකි. වෙනස දෘශ්‍යමය නොවේ: ප්‍රතිසාධන ආකෘතිය දැනගත යුත්තේ එය කුමන වගුවක ඇත්ද, කුමන දාම පවතීද සහ වගුව කොහෙද අවසන් වන්නේද යන්නයි. එම ලේඛනයට අලවන ලද විධානය ව්‍යාකරණ දෝෂයක් හෝ, ඊටත් වඩා නරක ලෙස, වැරදි වගුවට සම්බන්ධ කළ රීතියක් වේ. රාමුව මෙම ගොනු ප්‍රතිසාධන මෙවලම් හරහා පූරණය කරන්නේ ඒවා අනුක්‍රමික නොව ප්‍රකාශනාත්මක බැවිනි.

ලේඛනය සමස්තයක් ලෙසද පූරණය වේ, එබැවින් එක් විකෘති කොටසක් ඉතිරි ගොනුව යෙදීම නවත්වා ලිය හැක. එබැවින් NAT කොටසේ කුඩා දෝෂයක් පෙරහන් රීති ද සමඟ පහළට ඇද දමයි, එලෙසින්ම firewall වෙනසක් බාධාවක් බවට පත් වේ.

කොටස දැනට ඇති වගු කොටස තුළ තබන්න

NAT කොටසකට හැඩයක් ඇත, සහ හැඩය එහි ඇති රීති පෙළට වඩා වැදගත් වේ. වගු ශීර්ෂය කොටස විවෘත කරයි, දාම ප්‍රකාශන ගණන් කරන යන්ත්‍ර ස්ථාපිත කරයි, රීති අනුගමනය කරයි, සහ COMMIT කොටස වසා දමයි.

*nat
:POSTROUTING ACCEPT [0:0]
-A POSTROUTING -s 10.55.0.0/24 -o ens3 -j MASQUERADE
COMMIT

ඉහත සමූහය සහ අතුරුමුහුණත ඔබේ අගයන් සඳහා ආදේශක වේ; පිටපත් කිරීම වටිනා කොටස ව්‍යුහයයි. ගොනුවේ දැනටමත් *nat කොටසක් තිබේ නම්, දෙවැන්නක් විවෘත කරනු වෙනුවට එම කොටස තුළම රීතිය එක් කරන්න, මන්ද ආකෘතිය එක් එක් වගුව සඳහා එක් COMMIT එකක් අපේක්ෂා කරන අතර එකම වගුව සඳහා කොටස් දෙකක් සිදුවීමට බලා සිටින අලුත්වැඩියාවකි. බෙදාහැරීමේ දාම නිර්වචන නොසැලී තබන්න, සැපයුම්කරු තම ස්වකීය ඒකාබද්ධතාව සඳහා එක් කළ ඒවාද ඇතුළුව. UFW රාමු අත්පොත before, user සහ after ගොනු සහ ගැළපෙන COMMIT අවශ්‍යතාව ලේඛනගත කරයි.

ගොනුව හිස් බව පෙනී යන්නේ නම්, එය නිබන්ධනයකින් පුරවන්න එපා. එය කුමන පැකේජයට අයත්ද සහ සැබෑ ක්‍රියාකාරී ප්‍රතිපත්තිය කුමක්ද යන්න තහවුරු කරන්න, මන්ද හිස් ස්ථිර ගොනුවක් කර්නලයේ රීති නොමැති බව ඔප්පු නොකරයි, සහ පූරණය කළ රීති කට්ටලයක් ඊළඟ නැවත පූරණයට කියවීමට සම්පූර්ණ ගොනුවක් ඇති බව ඔප්පු නොකරයි. පළමුව ආධාරක මූලික රේඛාව ප්‍රතිසාධනය කරන්න, පසුව අඩවි වෙනස්කම් එය මත නැවත යොදන්න.

යෙදීමකින් තොරව අපේක්ෂකයා පරීක්ෂා කරන්න

ප්‍රතිසාධන මෙවලමට රීති කට්ටලයක් යෙදීමකින් තොරව විග්‍රහ කර ගොඩනගා ගත හැක, එය ලබා ගත හැකි ලාභම පරීක්ෂණයයි. එය සක්‍රීය ගොනුව වෙනුවට ආරක්ෂිත පිටපතක් මත ධාවනය කරන්න, සහ පිටවීමේ තත්ත්වය පමණක් නොව දෝෂ පෙළ කියවන්න. විග්‍රහ අසාර්ථකත්වය පේළියක් සහ සාමාන්‍යයෙන් වගුවක් නම් කරයි, එය අසාර්ථක නැවත පූරණයක් ඔබට කියන දෙයට වඩා වැඩිය.

sudo cp /etc/ufw/before.rules /root/before.rules.bak
sudo iptables-restore --test < /root/before.rules.bak
echo "exit: 0"

එම පරීක්ෂාව සමත් වීම ඔප්පු කරන්නේ ලේඛනය විග්‍රහ වන බව පමණක් වන අතර තවත් කිසිවක් නොවේ. එය අපේක්ෂකයා තවදුරටත් UFW රඳා පවතින සෑම දාමයක්ම අඩංගු බව, ඔබ අදහස් කළ මූලාශ්‍රවලට පමණක් ඉඩ දෙන බව, හෝ දුරස්ථ පරිපාලනය ළඟා විය හැකිව පවතින බව ඔප්පු නොකරයි. මේවා වෙන් වෙන් සමාලෝචන වන අතර, අවසාන එක ආරම්භ කිරීමට පෙර විවෘත කරන දෙවන සැසියක් ලැබීමට සුදුසුය.

ස්ථාපිත බැකෙන්ඩ් සහ ලිපින පවුලට ගැළපෙන මෙවලම තෝරන්න. අනුකූලතා ස්තරය හරහා nft බැකෙන්ඩ් ධාවනය කරන සත්කාරකයට අදාළ විධානය අවශ්‍ය වන අතර, IPv6 රීති සම්පූර්ණයෙන්ම වෙනත් ගොනුවක ජීවත් වේ.

යොමු කිරීම, NAT සහ ප්‍රවේශ ප්‍රතිපත්තිය වෙන් කර තබන්න

මූලාශ්‍ර පරිවර්තනය ලිපින ගැටලුවක් විසඳන අතර කිසිවක් ලබා නොදේ. යොමු කිරීම sysctl සහ පෙරහන් වගුව මගින් පාලනය වන වෙනම අවසරයක් වන අතර, උමග මාර්ගගත වුවත් ගමන් ප්‍රවාහය ගෙන යා නොහැකි විට මිනිසුන්ට අමතක වන්නේ එයයි. ප්‍රවේශ ප්‍රතිපත්තිය යනු කුමන මූලාශ්‍රවලට කුමන සේවා වෙත ළඟා විය හැකිද යන්න පිළිබඳ තෙවන තීරණය වන අතර, කිසිදු NAT රීතියක් එය ප්‍රකාශ නොකරයි. මේ තුන වෙන් කර තැබීම තමයි එක් අපැහැදිලි රෝග ලක්ෂණයක් වෙනුවට අසාර්ථකත්වය රෝග විනිශ්චය කළ හැකි කරන්නේ.

sysctl net.ipv4.ip_forward
sudo iptables -t nat -S POSTROUTING
sudo iptables -S FORWARD

ඒ තෙවන ප්‍රතිදාන එකට වඩා එකට කියවන්න, එකින් එක නොවේ. යොමු කිරීම අක්‍රීය කළ masquerade රීතියක් සම්බන්ධ වන නමුත් කොහේවත් නොළඟා වන සේවාදායකයක් නිපදවයි, එය සේවාදායකයාගේ පැත්තෙන් හරියටම මාර්ග දෝෂයක් ලෙස පෙනෙන අතර මිනිසුන් වැරදි ගොනුව වෙත යවයි. පෙරහන් වගුව යනු ඉතා පුළුල් accept සැඟවෙන ස්ථානයද වේ, එබැවින් එහි සිටින අතරතුර එහි පෙරනිමි ප්‍රතිපත්තිය පරීක්ෂා කරන්න.

නැවත පූරණය, ප්‍රතික්ෂේපය සහ VPN නැතිවීම තහවුරු කරන්න

නිරීක්ෂණ තුනක් සම්පූර්ණ පිළිගැනීම් පරීක්ෂණයක් සාදයි: නැවත පූරණය සාර්ථක වේ, අවසර ලත් සේවාදායක මෙහෙයුමක් ක්‍රියා කරයි, සහ ප්‍රතික්ෂේප කළ යුතු ඉල්ලීමක් සැබවින්ම ප්‍රතික්ෂේප වේ. තුන්වැන්න මඟ හරින එක වන අතර, ප්‍රතිපත්තිය කිසිවක් කරන බවට ඇති එකම සාක්ෂිය එයයි.

sudo ufw reload
sudo ufw status verbose
sudo iptables -t nat -L POSTROUTING -n -v

පසුව ඔබ නිර්මාණය කළ අසාර්ථකත්වය පරීක්ෂා කරන්න. උමග හෙළන්න සහ සත්කාරකයා කුමක් කරන්නේද බලන්න, මන්ද VPN ක්‍රියාත්මකව ඇති තාක් පමණක් ක්‍රියා කරන ප්‍රතිපත්තියක් නොකියූ යැපීමක් සහිත ප්‍රතිපත්තියකි. ඉන් පසු තවත් වරක් නැවත පූරණය කරන්න, ක්‍රියාකාරී ප්‍රතිඵලය ඉතිරි වූ ධාවන තත්ත්වයක් නොව ගොනුව ලබා දෙන බව ඔප්පු කිරීමට.

IPv4 හි NAT IPv6 ගැන කිසිවක් නොකියයි, එබැවින් රීතිය සමඟ එකම සටහනේ පවුල් දෙකටම අදහස් කළ ආවරණය සඳහන් කරන්න. ඉලක්කය සුසංගත කළමනාකරණ ප්‍රතිපත්තියක් වන අතර, අහම්බෙන් විග්‍රහ වූ කොටසක් එයට සාක්ෂියක් නොවේ.