Beddelka qaanuunka firewall-ka ma shaqeeyo: nidaamka qaanuunnada iyo xaaladda xiriirka

Waxaad tafatirtay qaanuunka, dib ayaad u rartay kooxda qaanuunnada, haddana tunnel-ku si la mid ah sidii hore ayuu u dhaqmaa. Natiijadan waxay leedahay laba sababood oo caadi ah, waxayna u baahan yihiin tijaabooyin kala duwan. Ama qaanuunka cusub wuxuu ku yaal ka dib qaanuun hore oo horey u aqbalay baakadda, ama is-dhaafsiga aad daawanayso waa xiriir la dabagalay oo beddelku waligiis dib u qiimeyn. Qaanuunka faylka ku jira wuxuu muujinayaa ujeeddo; waxa go'aamiya baakadda waa waddada firfircoon ee ay la kulanto. Samee hubinnada hoose si taxane ah, oo intaas ku dhex jirto hayso waddo dib u noqosho oo furan.

Nidaamka qaanuunnada iyo xaaladda xiriirku waa cilado kala duwan

Silsiladaha la habeeyay waxaa lagu qiimeeyaa sare ilaa hoos, oo qaanuunka ugu horreeya ee gaara go'aan kama dambays ah wuxuu joojiyaa marinka silsiladdaas. Dhig oggolaansho ballaaran korka qaanuun xannibaad si taxadar leh loo qoray, markaas qaanuunka xannibaaddu wuxuu noqonayaa dukumeenti: wuxuu ku jiraa kooxda, tirintiisu waa eber, oo ma jiro baakad waligeed gaadhi doonta. Isla qoraalka lagu dabaqo silsilad kale sidoo kale waxba ma caddeeyo. nftables dhexdiisa silsiladaha aasaasiga ah waxay ku xirmaan jillaabada iyadoo loo eegayo mudnaanta, sidaas darteed oggolaansho ku jira hal silsilad kama horjoogsan karto silsilad kale oo ku taal jillaab ama mudnaan kale inay aragto isla baakadda.

Dabagalka xiriirku wuxuu abuuraa calaamadda labaad, oo dibadda waxay u egtahay si isku mid ah. Marka socodku galo shaxda xaaladaha, oggolaansho loogu talagalay established-or-related oo u dhow sare ee silsiladda ayaa soo noqda ka hor inta aan qaanuunkaaga cusub la tixgelin. Khariidadaha NAT waxay leeyihiin isla sifo: tarjumaada waxaa la go'aamiyay markii socodku bilaabmay, sidaas darteed qaanuun postrouting la tafatiran dib uma qoro fadhi horey u socday. Taasi waa sababta beddelku ugu muuqdo mid shaqeeya 09:00 kii xiriir cusub, uguna muuqdo mid waxba ma qabanayo fadhigii qofku ku furay 08:55.

Kooxaha amniga daruuriga waxay ku darayaan saddexaad oo qabta dadka ku bartay iptables. Qaanuunnadooda soo-gelidda waa liis oggolaansho oo loo qiimeeyo sida koox halkii ay ahaan lahayd marrin ku salaysan is-waafajinta koowaad, waa xaalad-qaadasho, oo ka saarista qaanuun oggolaansho ma joojiso socodka horey loo dabagalay. Qaadashada macnaha is-waafajinta koowaad ee madal aan haysan waxay u horseedaa gabagabado kalsooni leh oo khaldan.

Akhri kooxda qaanuunnada firfircoon, ma aha faylka aad tafatirtay

Ka bilow waxa kernel-ku hadda dhaqan galinayo. Habaynta la kaydiyay oo aan waligeed la dabaqin waxay sharraxdaa tiro la yaab leh oo dhaqanno aan isbeddelin, oo ka reebista waxay ku kacdaa hal amarro:

nft list ruleset
iptables-save

Kadib weydii in qaanuunkaaga la gaaro haba yaraatee. Tiriyayaasha baakaduhu taas si toos ah ayay uga jawaabaan, waxayna uga jawaabaan si ka wanaagsan wax kasta oo ku saabsan ujeeddada:

iptables -L FORWARD -v -n --line-numbers
nft list chain inet filter forward

Qaanuun xannibaad oo eber baakad leh ka dib isku day tijaabo dhab ah ma aha dhibaato siyaasadeed, waa dhibaato boos. In la raro waa beddel hal sadar ah, oo naxwaha ayaa si sax ah u ah wixii sababay ciladii asalka ahayd. iptables gudihiisa -I waxay gashaa bilowga, -A waxay ku darsataa dhammaadka; nftables gudihiisa insert qaanuunka waxay dhigtaa bilowga silsiladda, add waxay ku darsataa dhammaadka. Marka qaanuun ay tahay inuu guuleysto, si cad u sheeg halkii aad ku kalsoonaan lahayd nidaamka si shil ah loo rartay.

Caddee in socodka la dabagalayo

Ka hor inta aadan qaanuunka eedayn, hubi in taraafikadu tahay xiriir la dabagalay haba yaraatee. Weydii shaxda xaaladaha socodka gaarka ah halkii aad ka shuban lahayd dhammaantiis:

conntrack -L -p tcp --dport 1194
conntrack -E -p tcp --dport 1194

Liistadu waxay muujinaysaa xaaladda iyo waqtiga hadhay, oo sidaas ayaad u kala soocdaa fadhi la aasaasay iyo isku day cusub; qaabka dhacdooyinku wuxuu daabacaa cusboonaysiinta sida ay u dhacaan, taas oo faa'iido leh inta aad dib u xiriirinayso macmiil. Haddii socodku hortaagan yahay xaalad la aasaasay ka hor inta aadan wax taaban, ma jiro tafatir qaanuunnada shaandhaynta oo beddeli doona masiirkiisa. Tani ma aha cilad firewall-ka, waa heshiiska shaandhaynta xaalad-qaadasho.

Ka hortagga dariiqa gaaban ee ah in shaxda oo dhan laga faaruqiyo gateway wax-soo-saar: conntrack -F waa la heli karaa, oo sidoo kale wuxuu baabbi'iyaa socod kasta oo la dabagalay oo ku jira mishiinka, oo ay ku jiraan fadhiga maamulka aad ka shaqaynayso iyo tunnel-ka qolofkaaga qaadaya. Diiwaannada gaarka ah waa la tirtiri karaa marka run ahaantii u baahan tahay, laakiin socod cusub oo ka yimaada deked cusub oo isha ah ayaa badanaa tijaabo nadiif ah.

Qaar ka mid ah waddooyinku lama dabagalo, oo waxay u dhaqmaan si ka soo horjeeda. Taraafikada lagu calaamadeeyay notrack shaxda raw, qaar ka mid ah tunnel-yada dhaafa jillaabada caadiga ah, iyo marin-u-jiidashada aan isku midka ahayn ee socodka u kala qaybisa laba gateway — dhammaantood waxay soo saaraan baakado mid mid loo qiimeeyo, ama xaalad aan waligeed labada daraf ka abuurmin. Haddii tiriyayaashu u dhaqaaqaan baakad kasta, ka shaki waddada noocaas ah ka hor inta aadan ka shakin nidaamka.

Ku tijaabi socod cusub oo leh waddo dib u noqosho

Ka hor inta aadan tijaabin qaanuun jari kara gelitaanka fog, samee waddo soo-kabasho: konsolka bixiyaha, konsol taxane ah, cinwaanka maamulka oo ka baxsan xariiqda, ama interface labaad oo qaanuunku aanu la kulmi karin. Timer dib-u-celin ah ayaa wehel macquul ah, maxaa yeelay wuxuu soo celin doonaa kooxdii hore xitaa haddii fadhigaagu dhinto bartamaha tijaabada.

Kadib ku tijaabi is-dhaafsi aan xaaladdu horey u dabooli karin. Ka goo oo dib u xiriiri macmiilka si shan-geesood cusub u abuurmo, oo daawo labada daraf inta taasi dhacayso:

tcpdump -ni eth0 'tcp port 1194'
journalctl -k -n 50 --no-pager

Tijaabada ku samee labada jiho. Qaanuunka xanniba gacan-qabsiga soo-gelidda cusub weli wuxuu oggolaan karaa waddada jawaabta, ama taa lidkeeda, oo natiijada hal-jiho ah waa sababta caadiga ah ee xannibaaddu kala shaqayso. Dib u xiriiri hal mar tijaabada ka dib si aad u xaqiijiso xaaladda dagan, oo hubi in gelitaanka maamulka sharciiga ah uu noolaaday; qaanuun loo qoray hal deked ayaa caado u leh inuu la kulmo baaxad ka ballaaran tii loogu talagalay.

La diiwaangeli ujeeddada iyo booska qaanuunka

Qaanuun aan lahayn ujeeddo diiwaangashan waa qaanuun aan qofna ku dhiiran karin inuu ka saaro. Dhinac kasta oo diiwaanka xannibaadda ah, hayso socodka uu ilaalinayo, silsiladda iyo jillaabta uu ku nool yahay, booska ay tahay inuu hayo marka la barbardhigo oggolaanshaha ballaaran, iyo tijaabadii caddeysay. Marka qof ku beddelo kooxda qaanuunnada ee ku hareeraysan lix bilood ka dib, qoraalkaas ayaa noqon doona digniinta kaliya ee ah in boosku uu ahaa mid ula kac ah.

Ka hor inta aadan xirto beddelka, xaqiiji afar shay: kooxda qaanuunnada ee socota waxay la mid tahay faylka, qaanuunka cusub wuxuu leeyahay tiriyeyaal aan eber ahayn ka dib isku day cusub, jihada lidka ah iyo gelitaanka maamulka weli way shaqeeyaan, oo waxaad hal mar dib u xiriirtay si aad u caddeyso xaaladda dagan ee aan ahayn xaaladda fadhi ka duug ah beddelka. Haddii mid ka mid ah kuwaas aan la xaqiijin, beddelku ma dhammaan, wax kasta oo tunnel-ku sameeyo.