කාර්යාල LAN එකේ VPN සේවාලාභියා සෑම පිළිතුරක්ම අහිමි වන්නේ ඇයි
කාර්යාල LAN එකේ සහ එකම උපජාලයේ ටනලයක ඇති ලැප්ටොපය වැරදි අතුරුමුහුණතින් පිළිතුරු දෙයි. ලිහිල් පසුපස මාර්ග පෙරහන මෙම නිහඬතාව පැහැදිලි කරයි.
ලැප්ටොපයක් ඊතර්නෙට් හරහා කාර්යාලයේ /24 ජාලයේ වාඩි වී සිටින අතර එම /24 තුළම ජීවත් වන OpenVPN සේවාදායකයකටද එකතු වේ. සගයෙකු ටනල් ලිපිනයට පිංග් කරයි; ඉල්ලීම පැහැදිලිව පැමිණෙන නමුත් කිසිවක් ආපසු යන්නේ නැත. ටනල් ලොගය පිරිසිදුය, බ්‍රවුස් කිරීම තවමත් ක්‍රියා කරයි, එබැවින් ටනලය වැරදි සැකකරුවාය. ලබා ගන්නා යන්ත්‍රයේ IPv4 මූලාශ්‍ර වලංගු කිරීම කිසිවක් කියවීමට පෙර පැකට්ටුව ඉවත දමයි.
කිසිවක් පැකට්ටුව කියවීමට පෙර ඉවත දැමීම සිදු වේ
මූලාශ්‍ර වලංගු කිරීම සෑම එන පැකට්ටුවක් ගැනම එක් ප්‍රශ්නයක් අසයි: මෙම සත්කාරකය එම මූලාශ්‍රයට පිළිතුරු දෙන්නේ නම්, පිළිතුර පැකට්ටුව දැන් පැමිණි අතුරුමුහුණතින්ම පිටවේද? පිළිතුර නැත නම්, කර්නලය පැකට්ටුව පැමිණෙන විටම ඉවත දමයි. කිසිම සොකට් එකක් හෝ යොමු කිරීමේ මාර්ගයක් එය කිසිදා නොදකී, එබැවින් ටනලයේ ගත් ග්‍රහණයක් තවමත් යෙදුමට කිසිදා නොලැබෙන ඉල්ලීමක් සටහන් කරයි.
මෙහි සේවාලාභියා තම ටනලයේ 10.66.0.9 තබා ගනී, OpenVPN සේවාදායකය කාර්යාල උපසර්ගය තුළ 192.168.80.10 න් පිළිතුරු දෙයි. 192.168.80.25 හි සගයෙකු ටනල් ලිපිනයට පිංග් කරයි, එබැවින් ඉල්ලීම LAN හරහා ගොස්, සේවාදායකය එය ටනලයට යොමු කරයි, එය කාර්යාල මූලාශ්‍ර ලිපිනය දරමින් සේවාලාභියාගේ ටනල් අතුරුමුහුණතට පැමිණේ. එම යන්ත්‍රයේ යොමු කිරීමේ වගුවේ කාර්යාල උපසර්ගය ඊතර්නෙට් උපාංගයට අයත් වේ, ටනලයට නොවේ. වලංගු කිරීම පැමිණීමේ අතුරුමුහුණත මාර්ගය සමඟ සසඳා, නොගැලපීමක් සොයා පැකට්ටුව ඉවත දමයි, එබැවින් දෙකෙළවරම සුවපත් ටනලයක් වාර්තා කරද්දී සගයා සම්පූර්ණ අලාභයක් දකී.
කැඩපත දිශාවටද එම හැඩයම ඇත: සේවාලාභියා කාර්යාලය දෙසට ආරම්භ කරන විට, එම හේතුව නිසාම කාර්යාල පැත්තේ පිළිතුරු ඉවත දැමිය හැක. එක් දිශාවකින් පමණක් තහවුරු කළ අලුත්වැඩියාවක් සාමාන්‍යයෙන් දෙවන ටිකට්පතක් ලෙස ආපසු එයි.
කිසිම sysctl එකක් ස්පර්ශ කිරීමට පෙර බලපවත්වන මාදිලිය ඔප්පු කරන්න
බෙදාහැරීමේ පෙරනිමිය විශ්වාස කිරීමට වඩා සැබෑ අගයන් කියවන්න, මන්ද අතුරුමුහුණත අනුව සැකසුම තීරණයේ අඩක් පමණි. බලපවත්වන මාදිලිය අතුරුමුහුණත් අගය සහ all අගය අතරින් ඉහළ එකයි, එබැවින් all එකක් වන තාක් ටනල් අතුරුමුහුණතේ බිංදුවක් කිසිවක් අදහස් නොකරයි. දැඩි මාදිලියේ තීරණය යොමු කිරීමේ තීරණයකි, එබැවින් කර්නලය කරන සෙවීම කර එහි පිළිතුර පැකට්ටුව ඇත්තටම පැමිණි අතුරුමුහුණත සමඟ සසඳන්න.
tcpdump -ni tun0 icmp and host 192.168.80.25
ip route get 192.168.80.25
sysctl net.ipv4.conf.all.rp_filter net.ipv4.conf.tun0.rp_filterපසුව දෝෂ ගණකය බලමින් පිංගය නැවත කරන්න. ග්‍රහණය දැනටමත් පෙන්වන ඉල්ලීමක් අසල ඉහළ යන ගණන මෙම ඉවත දැමීමේ අත්සනයි, නැති වූ මාර්ගයක එක නොවේ. එහි සිටියදී අඟහරු ලෝක පැකට්ටු ලොග් කිරීම ක්‍රියාත්මක කරන්න, එවිට කර්නලය ප්‍රතික්ෂේප කළ මූලාශ්‍රය සහ අතුරුමුහුණත නම් කරයි. එකට ඒවා සයිෆරය, ගිනිපවුර සහ නැති iroute පැහැදිලි කිරීම් ලෙස ඉවත් කරයි.
කිසිවක් වෙනස් කිරීමට පෙර මූලික රේඛාව ලියන්න: අගයන් දෙක, සෙවීම තෝරාගත් උපාංගය, සහ ඔබ නිරීක්ෂණය කළ ගණකය. වෙනස්කම ඔබ සිතන දේ කළාද නැද්ද පසුව කියන්නේ එම සටහනයි.
එක් එක් rp_filter මාදිලිය ඇත්තටම පිළිගන්නේ කුමක්ද
කර්නලය අතුරුමුහුණතකට අගයන් තුනක් පෙන්වයි, ඒවා එක් නියමයක ඡායා තුනක් නොවේ. බිංදුව පරීක්ෂාව අක්‍රිය කරයි. එකක් දැඩි වන අතර මූලාශ්‍රය පැමිණීමේ අතුරුමුහුණත හරහා ආපසු යොමු විය යුතු බව ඉල්ලා සිටී. දෙකක් ලිහිල් වන අතර වගුවේ මූලාශ්‍රයට යම් මාර්ගයක් තිබිය යුතු බව පමණක් ඉල්ලා සිටී, එය කොහේ යොමු වුවත්.
| Value | Name | Accepts | Still rejects |
|---|---|---|---|
| 0 | off | any source at all | nothing on this check |
| 1 | strict | a source routed back out the arrival interface | a source whose route points elsewhere |
| 2 | loose | a source with any route in the table | a source with no route at all |
මෙහි වැදගත් පේළිය ලිහිල් එකයි, සහ එය තවමත් ප්‍රතික්ෂේප කරන දේ. ඔබේ වගුවේ කොහේ හෝ යොමු කළ හැකි ව්‍යාජ මූලාශ්‍රයක් පසු වේ, නමුත් කිසිම මාර්ගයක් නැති මූලාශ්‍රයක් තවමත් ප්‍රතික්ෂේප වේ. ලැප්ටොපයේ එය පටු ලැබීමකි; අන් අයගේ ගමනාගමනය යොමු කරන රවුටරයක එය පළල් ය. මාදිලිය සත්කාරකයට අයත් බැවින් එම සංඛ්‍යාවම ස්ථාන දෙකේ වෙනස් බරක් දරයි.
මෙම ජාල රටාවට කුමන පේළිය අවශ්‍යද යන්න පුරුද්දෙන් නොව වගුවෙන් එයි. පැකට්ටුව නීත්‍යානුකූලය, එහි මූලාශ්‍රය යොමු කළ හැකි එකකි, එබැවින් ලිහිල් එක එය පිළිගනී, දැඩි එක පිළිගන්නේ නැත. මෙම නඩුවේ කිසිවක් බිංදුව ඉල්ලන්නේ නැත, බිංදුව තෝරා ගැනීමෙන් මෙහි කිසිවක් වැය නොවන පරීක්ෂාවක් ඉවත් වේ.
අපැහැදිලිකම ඉවත් කරන කුඩාම වෙනස්කම තෝරන්න
ලිහිල් මාදිලිය ගැලපෙන කුඩාම වෙනස්කමයි, එය හානිකර නොවන ස්විචයක් නොව දැඩි බවේ සැබෑ අඩුවීමකි. ජාල රටාව ඉඩ දෙන සෑම විටම හොඳ විකල්පයක් ඇත: අතිච්ඡාදනය ඉවත් කරන්න, අපැහැදිලිකම නැති වේ.
කාර්යාල උපසර්ගය ඊතර්නෙට් හරහා පමණක් අවශ්‍ය වන තැන, පැතිකඩ අදින මාර්ගවලින් එය ඉවත් කරන්න, ලිපිනය එක් මාර්ගයකින් ළඟා විය හැකි වේ. මාර්ග දෙකම සැබවින්ම සමඟ පැවතිය යුතු නම්, සෑම අතුරුමුහුණතකම වලංගු කිරීම ලිහිල් කිරීම වෙනුවට ප්‍රතිපත්ති නියමයකින් මූලාශ්‍රය සහ උපාංගය අමුණන්න. එය යන්ත්‍රයේ අනෙක් සියල්ලට දැඩි පෙරහන රඳවා ගනී, ව්‍යතිරේකය ඊළඟ ඉංජිනේරුවා එය සොයන තැන ලේඛනගත කරයි.
ඔබ තෝරන මාර්ගය කුමක් වුවත්, එය සජීවී විධානයක නොව sysctl drop-in එකක සටහන් කරන්න. all සහ default යතුරු එකට සකසන්න, එවිට නැවත සම්බන්ධ වීමක් දැඩි මාදිලිය නිශ්ශබ්දව ප්‍රතිෂ්ඨාපනය කළ නොහැකි වේ.
# /etc/sysctl.d/99-rp-filter.conf
net.ipv4.conf.default.rp_filter = 2
net.ipv4.conf.all.rp_filter = 2
sysctl --systemලිහිල් මාදිලිය අත්හරින දේ, සහ කොහේද
ලිහිල් මාදිලිය කිසිම මාර්ගයක් ළඟා නොවන මූලාශ්‍රයක් තවමත් ප්‍රතික්ෂේප කරයි, සහ අහම්බෙන් යොමු කළ හැකි ව්‍යාජ මූලාශ්‍රයක් ප්‍රතික්ෂේප කිරීම නවත්වයි. ලැප්ටොපයේ එය පටු ලැබීමකි. තමන්ට අයත් නොවන ගමනාගමනය යොමු කරන උපාංගයක එම තේරීම වඩාත් පළල් ය. එබැවින් එම සැකසුම ක්‍රියාත්මක වන තැන අනුව ඉතා වෙනස් අර්ථ දෙකක් දරයි.
අන් අය වෙනුවෙන් ගමනාගමනය යොමු කරන සත්කාරකයක පරීක්ෂාව සම්පූර්ණයෙන් නිවා දැමීම වළක්වා ගත යුතු එකම අලුත්වැඩියාවයි. බිංදුව ලිහිල් මාදිලිය සැලකිල්ලෙන් තබා ගන්නා වලංගු කිරීම ඉවත දමයි. සත්කාරකය අන් අය වෙනුවෙන් යොමු කරන්නේ නම්, ඒ වෙනුවට පෙර කොටසේ ප්‍රතිපත්ති නියම විකල්පයට පක්ෂව තර්ක කරන්න.
අතුරුමුහුණත් දෙක, අතිච්ඡාදනය වන උපසර්ගය සහ දැන් සාර්ථක වන නිශ්චිත පරීක්ෂණය නම් කරන සටහනක් තබන්න. පෙරහන සකසන ලදී යැයි කියන පේළියකට වඩා එය ඊළඟ ඉංජිනේරුවාට ප්‍රයෝජනවත් ය.