Marti iptables kaliya VPN: magac u bixi qalabka tun, ma aha tun+

Qorista -o tun+ waxay u egtahay tilmaan sax ah, run ahaantii waa calaamad guud oo la mid ah tunnel kasta oo kernel-ku leeyahay. Macmiil VPN labaad, buundada konteyner ama interface ay ka tagtay fadhi burburay dhammaantood way buuxiyaan, markaasna martidu waxay ogolaataa taraafikada siyaasaddu doonayay inay ka hortagto. Nidaamka hoose wuxuu xidhaa hal magac qalab, wuxuu habaysan yahay ka reebka si tunnel-ku runtii u samaysan karo, wuxuuna kuu reebayaa waddo dib ugu noqosho haddii xeerarku si xun u dhacaan. Tallaab kastaa way gaaban tahay in si gooni ah dib looga noqdo.

Tallaabo 1: qor xeerarka aad hadda haysato

Ka hor intaadan beddelin siyaasad caadi ah, kaydi xaaladda hadda si dib-u-noqoshadu ay amarro ahaato ee ma aha xasuus. iptables-save > /root/iptables.pre wuxuu shax kasta ku qoraa fayl aad soo celin karto, terminal labaad oo fadhi root furan lahaana ma aha argagax marka siyaasadda aad dhiganayso ay goyso xidhiidhka qaadaya. Haddii aad meel fog ka shaqaynayso, sidoo kale jadwal flush sida badbaado degdeg ah.

Kadib liis interface-yada, sababtoo ah magac aad qiyaastay waa magac ay ahayd inaad akhrido: ip -br link wuxuu muujinayaa waxa hadda jira, tunnel-kuna ma soo baxayo ilaa uu kor u kaco. Qor magacyada qalabka intaad akhrinayso.

Tallaabo 2: sii tunnel-ka magaciisa u gaar ah

OpenVPN wuxuu ku aqbalaa dev tun_work habaynta macmiilka, Linux-na wuxuu markaas sameeyaa interface isla magacaas si sax ah halkii uu u qoondeyn lahaa tun0. Magacu wuu xasilloon yahay inta u dhaxaysa isku-xidhka mar kale ilaa wax kale sheegan, taasna waa waxa xeerka magaca qalabka u yeelaya mid macno leh.

Halka magaca aan la xakamayn karin, la mid noqo ciwaanka tunnel-ka ama calaamadda baakadda. Labaduba way shaqeeyaan, labaduba way adag yihiin in la akhriyo, labadubana si aamusnaan ah ayay u guuldareystaan marka tunnel-ku dib u lambarayo. Si kastaba ha ahaatee, la mid noqo hal shay oo si cad u sheeg kee.

Tallaabo 3: qor siyaasadda adigoo endpoint-ka ka reebka hore dhigaya

Marti kaliya VPN waa marti diidmo caadi ah oo leh liis gaaban oo ka reeb ah, ka reebka ugu muhiimsanna waa kan u oggolaada tunnel-ka inuu jiro. Ku dhis sidan, xeerka endpoint-ka ka hor xeerka qalabka tunnel-ka, si gacan-qaadistu meel ay aaddo hesho:

# allow the tunnel to be built, then everything the tunnel carries
iptables -P INPUT DROP
iptables -P OUTPUT DROP
iptables -A INPUT  -i lo -j ACCEPT
iptables -A OUTPUT -o lo -j ACCEPT
iptables -A OUTPUT -d 198.51.100.7 -p udp --dport 1194 -j ACCEPT
iptables -A OUTPUT -o tun_work -j ACCEPT
iptables -A INPUT  -i tun_work -j ACCEPT
iptables -A INPUT  -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT

Ciwaanka iyo dekedda endpoint-ka ee dhabta ah waxay leeyihiin bixiyahaaga, ma aha boggan. Haddii endpoint-ku yahay magac marti, hal mar xalli oo natiijada xidh, sababtoo ah xeerku ma raadin karo magac oo jawaab wareegta ahi si aamusnaan ah ayay u jebin doontaa siyaasadda ka dib isbeddelka DNS ee xiga. Sidoo kale hubi dekedda, sababtoo ah bixiyeyaasha kuu raraya TCP 443 haddii kale waxay u baahan doonaan xeer aan cidna qorin. Tunnel kaliya hal borotokool ku shaqeeya badanaa waa maqnaanshahan, ma aha cilad firewall.

Router-ka qaab isku mid ah wuxuu galaa silsiladda FORWARD ee macmiillada ka dambeeya, taraafikada router-ka laftiisuna waxay u baahan tahay xeerar u gaar ah. Xeerkood oo kaliya daboola baakadaha la gudbiyay wuxuu SSH iyo DNS ku reebaa waddada hore, router-kuna wuxuu noqdaa mid aan la gaari karin isla daqiiqadda tunnel-ku soo kaco, taasna waa sababta.

Tallaabo 4: hubi nidaamka, ma aha oo kaliya jiritaanka

Xeerarka waxaa lagu qiimeeyaa si isku xigta, marka ACCEPT hore u yimaadaa wuxuu si fudud u qariyaa REJECT-ka aad ka dib ku dartay. Is-waafajinta established iyo related ayaa u oggolaata jawaabaha codsiyadaada baxaya inay soo noqdaan iyada oo aan la furin waddo guud oo soo-gal ah, oo haddii la dhigo ka dib aqbalaadda tunnel-ka waxay ka dhigan tahay in tunnel dhacay uu wali marayo taraafikada soo-noqodka interface-kiisa.

Hayso tirada xeerarka mid yar oo hal shaashad lagu akhriyi karo. Xeerkoodka aadan auditeyn karin waa kan aad ku hagaajinayso adigoo ka reeb ku daraya xagga sare, siyaasadaha diidmo caadigana si tartiib tartiib ah ayay u helaan geeska fasax caadi ah. Tir ACCEPT-yada ka hor iyo ka dib isbeddelka.

Tallaabo 5: ka dhig mid ka gudba bilowga iyo qoyska ciwaanka

Xeerarka gacan lagu geliyay way baaba'aan marka dib loo bilaabo, sidaas darteed ka soo rar adeegga firewall-ka qaybinta ama unit socda ka dib marka interface-ka tunnel-ku jiro. Tixraaca tun_work skript socda ka hor inta OpenVPN uusan bilaaban waa hab caadi ah oo loo abuuro wareeg bilow oo taraafik dhacay.

Kadib si gooni ah u hubi IPv6, sababtoo ah siyaasad diidmo caadi ah oo wanaagsan oo IPv4 ah wax kama sheegto qoyska kale. ip -6 route wuxuu kuu sheegayaa haddii martidu leedahay waddo qaadi karta taraafikada hareeraha tunnel kaliya IPv4 maamula, ip6tables ama nftables-na waxay u baahan yihiin xeerar u dhigma oo u gaar ah. Ku tijaabi goob IPv6-only halkii aad ku kalsoonaan lahayd isku-dheellitirka xeerkoodka.

Tallaabo 6: xaqiiji oo diyaar u noqo soo celinta

Kor u qaad tunnel-ka, xaqiiji in adeegga aad rabto uu shaqeeyo, kadib isku day wax ay tahay in siyaasaddu diiddo. Ku soo celi iptables-restore < /root/iptables.pre haddii jawaabtu kaa yaabto, oo markaas ka dib bilow tafatirka xeerarka. Waaritaanka iyo waddo soo celin la tijaabiyay ayaa ka dhigaya isbeddel laba jeer la samayn karo.