Badbaadada xannibaadda ayaa wali xannibaysa taraafikada markii VPN-ku go'o

Tunnel-ku wuu tagay, calaamadda shabakadu caadi ayay u muuqataa, waxna ma soo dejinayaan. Waxaad gooyay VPN-ka, waad tirtirtay, ama waad dib u kicisay, xannibaaddii ku ilaalin lahayd markii xiriirku go'o ayaa wali taagan. Daqaddeeda macmiilku ma sharaxi karto, sababtoo ah ma aha macmiilka wax ku xannibaya: go'aanka waxaa lagu qoray kernel-ka magacaaga, waxna lama harin si loo tirtiro. Windows-ka xaaladdaas waxay ku jirtaa Windows Filtering Platform; Linux-ka waa xeerar ku jira iptables ama nftables, inta badan oo leh sawir dib loo dhigto marka la kiciyo. Waxa soo socda waa nidaamka aan isticmaalo: akhri xaaladda, tirtir shayga ugu cidhiidhi ah ee sharaxa guuldarrada, ka dibna hel waxa si joogto ah u soo celiya.

Badbaadada xannibaaddu waa xaalad kernel, ma aha dejinta

Macmiillada desktop-ku waxay xannibaadda ku fuliyaan iyaga oo ku daraya shaandhayn diidda taraafikada tunnel-ka dibaddiisa. Windows-ka kuwaas waa shaandhaynta WFP ee lakabyada connect-redirect iyo transport, qaarna waa joogto: waxaa lagu diiwaangeliyaa kaydka siyaasadda Base Filtering Engine oo dib loo soo celiyaa marka mishiinku kiciyo, ka hor inta aanay wax VPN software ah shaqayn. Macmiilladu way kala duwan yihiin marka ay nadiifiyaan. Qaar waxay shaandhaynta ka saaraan go'itaanka, qaar kaliya bixitaan nadiif ah, qaarna kaliya marka ugu horraysa badbaadada la damiyo. Tirtir inta xannibaaddu firfircoon tahay, ama dil habka, shaandhayntuna way sii jiraan.

Linux-ka waxa u dhiganta waa xeer drop ama reject ee wadada bixitaanka, marmar xeer forwarding, marmar siyaasad silsilad la beddelay. Xeerarkaas waxay noolaadaan ka badan habka ku daray sababtoo ah waa xaalad kernel: dil macmiilka, ku rid, ama gooy korontada, kernel-ku wuu sii tuurayaa baakadaha waxna kuma harin si loo beddelo. Xidhmada joogtaynta waxay ku darsataa lakab labaad oo joogto ah iyaga oo sawir ka qaadaya xeerarka hadda jira oo dib u soo celiya marka la kiciyo, sidaas darteed bilowga xiga wuxuu ku bilaabmaa xannibaad horey loo rakibay.

Akhri xaaladda WFP ka hor inta aanad wax tirtirin

Windows waxay la timaaddaa qalabka aad u baahan tahay. Ku socodsii terminal maamule oo soo saar xaaladda madal; soo saaristu waxay ku dhacdaa wfpstate.xml galka shaqada.

netsh wfp show state
netsh wfp show filters
Get-Service bfe

XML-ka ka raadi magaca iibiyaha tagay, ficilka Block, iyo lakabka. Shaandhaynta ku jirta connect-redirect iyo transport waa kuwa jebiya taraafikada caadiga ah; shaandhayn ku jirta lakabka receive-accept badanaa ma aha sababtaada. Haddii Base Filtering Engine aanu shaqaynayn, meel kale ka raadi, sababtoo ah wax kale ma fulin karaan shaandhayntaas.

Sidoo kale hubi muuqaalka caadiga ah ee firewall-ka, maadaama dadka badankoodu ay baadhaan mid ka mid ah labada:

netsh advfirewall show allprofiles
Get-NetFirewallProfile | Select-Object Name,Enabled,DefaultInboundAction

Marka borofaylasha dhexe daaran yihiin oo aanu xeer ku habboonayn taraafikada guuldarraystay, xannibaaddu waxay ka timaaddaa bixiye saddexaad, ma aha Windows Firewall. Kala duwanaanshahaas ayaa go'aamiya qalabka aad ku hagaajinayso.

Akhri xeerarka Linux-ka qaabka aad ku tirtirayso

iptables -S wuxuu xeerarka ku daabacaa qaabkii lagu daray, sidaas darteed soo saaristu si toos ah ayaa dib loogu isticmaali karaa tirtirka. iptables -L -v -n wuxuu ku darayaa tirakoobka baakadaha, tirakoobkaasuna waxay kuu sheegayaan in xeerku runtii la jaanqaadayo codsiyadaada guuldarraystay ama uun ku fadhiisto silsiladda.

sudo iptables -S
sudo ip6tables -S
sudo iptables -t nat -S

Akhri siyaasadaha silsiladaha, ma aha kaliya xeerarka: -P OUTPUT DROP wuxuu xannibaa taraafikada xitaa marka aanu xeer la jaanqaadin. IPv6 si gooni ah u baadh, sababtoo ah macmiil rakibaya labada qoys ayaa laga yaabaa inuu ka tago xannibaadda IPv6 iyada oo xeerarka IPv4 ay tageen, calaamaduna waxay markaas ku xidhan tahay qoyska ay codsigu doorbidayo. Meesha nftables la isticmaalo, sidoo kale socodsii nft list ruleset; labada qalab waxay wada noolaadaan lakab iswaafajin, liisna ma muujinayso dhammaan xeerarka tuuri kara baakad.

Tirtir shayga ugu cidhiidhi ah ee sharaxa guuldarrada

Windows-ka tallaabada koowaad wali waa wadada iibiyaha ee ka saarista: dib u socodsii rakibaha oo isticmaal repair ama uninstall, ama socodsii qalabka nadiifinta haddii iibiyuhu daabaco. Adeegyada iyo hawlo qorshaysan oo hadhay waa caadi, hawsha macmiilka soo shidaysa marka la galo waxay dib u rakibaysaa shaandhayntiisa kicinta xigta. Ka-saarid ku guuldarraysta marka la akhrinayo furaha diiwaanka macmiilka badanaa waxay ka dhigan tahay in adeeg ama hawl wali haysato, ma aha in diiwaanku xumaaday.

Get-ScheduledTask | Where-Object TaskName -like '*vpn*'
Get-Service | Where-Object DisplayName -like '*vpn*'

Shaandhaynta joogtada ah waa xalka ugu dambeeya. Waxay ku jiraan HKLM\SYSTEM\CurrentControlSet\Services\BFE\Parameters\Policy\Persistent\Filter hoostiisa, hal qiime shaandhayn kasta oo GUID ku fureysan. Marka hore dhoofi furaha, qor GUID-yada aad ka saarayso, tirtir kaliya qiimayaasha ay leeyihiin macmiilkii tagay, ka dibna dib u kici si matoorku uu dib u dhiso xaaladdiisa. Ha tirtirin furaha oo dhan oo ha damin Base Filtering Engine: Windows Firewall iyo Defender way ku tiirsan yihiin, oo waxaad hal khalkhal ku beddeli lahayd mid ka xun.

reg export "HKLM\SYSTEM\CurrentControlSet\Services\BFE\Parameters\Policy\Persistent" C:\temp\bfe-backup.reg

Linux-ka qaado sadarka iptables -S daabacay oo ku beddel -A -D. Tirtirka hal xeer oo aad aqoonsatay ayaa ka fiican silsilad madhin, sababtoo ah siyaasaddaada gaar ahaaneed way sii ahaanaysaa mid aan dhaqan galin.

sudo iptables -D OUTPUT -p udp -j REJECT

Haddii drop-ku ku jiro silsilad isticmaale qeexay, marka hore tirtir boodhka silsiladdaas ka dibna silsiladda ku saar -X. Dejinta siyaasadda silsiladda ACCEPT inta xeerarka drop ay wali jiraan waxay caawinaysaa oo kaliya baakadaha gaaraya go'aanka siyaasadda. Madhinta dhammaan shaxda waa xalka ugu dambeeya: waxay sidoo kale ka saartaa xeerar aad u dartay sababo kale, haddii ufw daaran yahayna waxay adeegga uga tagtaa isagoo u malaynaya inuu leeyahay silsilado aan hadda jirin.

Hel milkiilaha dib u soo celiya

Ka dib hagaajinta degdega ah, raadi waxa soo celin lahaa xaaladda. Linux-ka hubi in unug joogto ah daaran yahay, in macmiilku leeyahay dejinta soo celinta firewall-ka marka la galo, iyo inuu jiro fayl xeerar la kaydiyay /etc hoostiisa. Windows-ka dib u hubi gelitaanka bilowga, adeegyada iyo hawlo qorshaysan, ka dibna dib u kici oo xaaladda ku akhri isla amarradii hore.

Haddii xannibaaddu soo noqoto, tirtirku ma ahayn xalka; milkiiluhu wuu ahaa. Qor macmiilka ama adeegga rakibaya oo halkaas ka dami shaqada, halkii aad kula dagaallami lahayd lakabka firewall-ka go'itaan kasta ka dib.

Ku xaqiiji taraafiko dhab ah, ma aha hal ping

Tijaabo xallinta magaca, xiriir TCP iyo fadhi browser cusub, ka dibna dib u kici oo ku celi isla saddexda baaritaan. Ping shaqeeya inta HTTPS guuldarraysto waxay tilmaamaysaa shaandhayn lakabka transport, ma aha shabakadda, xannibaadna kaliya dib u kicinta ka dib soo noqota waxay tilmaamaysaa milkiile aadan wali helin.

Kaydi caddaynta: furaha BFE la dhoofiyay, ama soo saarista iptables -S oo la qabtay ka hor isbeddelka. Ka hor inta aanad u sheegin in la hagaajiyay, xaqiiji lakabka aad shayga ka saartay, milkiilaha dib u rakibi kara, xaaladda ka dib hal kicin nadiif ah, iyo in baadhitaanka caadiga ahi shaqeeyo iyada oo aan hab VPN ah socon. Bogga buugga iptables(8) waxa uu leeyahay qaabka saxda ah ee tirtirka iyo siyaasadda haddii aad nadiifinta qoraal ahaan u qorto.