Xeerarka firewall-ka NEW oo keliya ma xiraan dhammaan waddooyinka WAN

Diidmada isku xirka cusub ee baxa WAN waxay u egtahay siyaasad xirma marka ay guuldareysato, laakiin waa ballan ka cidhiidhi ah inta ay u muuqato. Baakadaha ka tirsan socodka hore u jiray ma qabanayaan, iyo jawaabo badan sidoo kale. Farqigan waa sahlan tahay in la seego sababtoo ah xeerka waxaa loo akhriyaa sidii inuu daboolayo interface-ka oo aan ahayn hal xaalad isku xir oo korkiisa ah. Akhrinta iswaafajinta xaaladda sida xukun ayaa ah tan abuurta dareen khiyaano ah oo xirnaan.

Xaaladdu waa shuruud iswaafajin, ma aha xukun

Raadraaca isku xirka waxay baakadaha u kala saartaa waxa firewall-ku hore u arkay, ma aha waxa application-ku aaminsan yahay. Socod lagu arkay labada jiho waa la aasaasay, baakadihiisa dambe waxay ahaanayaan kuwo la aasaasay xitaa marka waddada hoosteeda ay ka beddelanto tunnel una gudubto xariiqda sare ee caadiga ah. Jawaabta isku xir soo gal ah waxay sidoo kale noqon kartaa gaadiid la aasaasay. Baakadahaas marnaba dib looma cusboonaysiiyo cusub.

Sidaas darteed xeer ku eg isku xirka cusub ma caddayn karo in baakad kasta oo la ilaaliyay la xannibay. Wuxuu u reebayaa xaaladaha kale waxa ay sameyso xeerarka intiisa kale, taas oo noqon karta oggolaansho hore loo dhigay silsiladda.

Xeerka ku akhri hareerihiisa

Oggolaansho ballaaran oo loogu talagalay gaadiidka la aasaasay iyo kan la xiriira oo la dhigay xannibaadda ka hor ayaa baakadka dhaqso u dhaqaajiya ka hor inta aan xannibaadda la qiimeyn. Ka saarista shuruudda xaaladda xeer dambe ma beddelayso taas, sababtoo ah qiimeyntu weligeed ma gaarto. Nidaamka ayaa go'aamiya natiijada, iswaafajinta xaaladduna waxay go'aamisaa baakadaha gaaraya nidaamkaas.

Baadh xeerarka dhaqan gal ah ee aan ahayn faylka aad tafatirtay, oo ay ku jiraan boodidda silsilado kale iyo wax kasta oo platform-ku soo saaro. Router lagu maareeyo iptables, liis garaynta silsiladda waxay muujinaysaa qeexidda xeerarka, silsiladaha ay tixraacayna waa in sidoo kale la raaco. Nidaam nftables asal ah wuxuu u baahan yahay in la baadho xeerarkiisa iyo mudnaanta jillaabta, sababtoo ah firmware-ku marar dhif ah ayuu soo saaraa silsilado isku mid ah.

Tirakoobku waxay sheegaan xeerka dhab ahaan iswaafajiyay, waxayna badanaa ka war-bixin badan yihiin qabashada baakadaha ee la qaado go'aanka ka dib. Xeer tirakoobkiisu eber yahay lama gaarin, wax kasta oo booskiisu tilmaamo.

Ku sheeg mamnuucidda si ka madax banaan xaaladda

Haddii koox macaamiil ah aysan marnaba ku gaari karin internet-ka bannaanka tunnel-ka, si toos ah u sheeg halkii aad ku qiyaasi lahayd hal xaalad. Xeerku waa inuu ku doodo isha, bixidda iyo meesha loo socdo isagoo aan ku tiirsanayn xaaladda isku xirka, waana inuu fadhiisto meel aan oggolaansho hore ka gudbi karin. Markaas helista maamulka iyo ka reebbananshaha shabakadda maxalliga ah waxay helaan xeerarkooda cad, sidaas darteed ujeeddadu waxay ka muuqataa siyaasadda.

Doorashada reject halkii drop waxay beddeshaa sida gaadiidka iswaafajiya u guuldareysto, lamana ballaadhinayso baakadaha xeerku doorto. Isku xir la diiday iyo waqti-dhaqaaq aamusan waa calaamado kala duwan oo tilmaamaya isla doorashada.

Siyaasad si ula kac ah u ogolaata jawaabaha gelitaanka laga bilaabay meel fog WAN waa mid la difaaci karo. Waa in si sax ah loo qeexaa halkii loo soo bandhigi lahaa sida go'doomin buuxda oo tunnel-ka oo keliya.

Hubi cidda dhab ahaan ku jirta kooxda

Tusaaluhu wuxuu daboolayaa gaadiidka IPv4 ee laga soo gudbiyay hal prefix hal interface. Ma sheegto wax ku saabsan IPv6, xariiqda sare ee labaad, ama gaadiidka router-ku isagu abuuro. Router-ku marka uu u shaqeeyo sidii xalliyaha DNS wuxuu dirayaa weriyihiisa sare, kuwaasina gebi ahaanba ma maraan silsiladda forward.

Xaqiiji in macaamiisha la ilaaliyay ay wali hayaan cinwaanno ku dhex jira prefix-ka la doortay, sababtoo ah qalabka ka guuray bannaankiisa waa mid toos ah shil ahaan ee ma aha siyaasad ahaan. Ballaarinta xannibaadda LAN-ka oo dhan iyada oo aan dib loo eegayn naqshadda ka reebbananshaha sidoo kale waxay u egtahay inay meesha ka saarto waddadaada maamul.

iptables -S FORWARD
iptables -L FORWARD -v -n
cat /proc/net/nf_conntrack | grep -c ESTABLISHED

Kadib tijaabi socod duug ah oo ku xiga mid cusub. Isku day isku xir cusub iyo gudbin laba-geesood ah oo hore u firfircoon ayaa si kala duwan u dhaqma xeerkan hoostiisa, oo kaliya tijaabinta labadaba ayaa muujinaysa siyaasadda dhabta ah ee aad haysato.