Ku hay siyaasadda nftables mid deggan inta ay imanayso isku-xirka VPN

Tunnel-yadu waa kuwo la tuuri karo; siyaasaddu waa inay sidaas noqon. Bogga Linux, xeerka nftables ee isku-xirka tunnel-ka ku matsta magaca waa la rari karaa hal mar oo wuxuu sii ahaanayaa mid shaqeeya mar kasta oo isku-xirkaasi soo baxo. Isku-xirku weli wuxuu leeyahay meerto nololeed: waa la abuuray, wuu lumayaa, waddooyinka iyo turjumaadaha ku wareegsan waxay raacaan jadwalkooda. Milkiilayaashaas kala soocidda ayaa ilaalinaysa marin-u-helidda mid deggan inta dib u xiriddu socoto.

Isku-imashada magacu way ka cimri dheer tahay isku-xirka

nftables wuxuu bixiyaa isku-imashooyin tirooyin ah oo tusmada isku-xirka ah iyo isku-imashooyinka magaca firfircoon iifname iyo oifname. Xeerarka isticmaala magacyadaas si nadiif ah ayaa loo raraa xitaa marka qalabka tunnel-ka aan weli la abuurin, taas oo si sax ah u ah waxa ay u baahan tahay xeerarka bilowga. Isku-imashadu way joogsataa haddii isku-xirka magac kale la siiyo oo dib ayay u bilaabataa marka isku-xir cusub magacaas qaato. Tusmada tirooyinku ma laha sifo taas, sidaas darteed qaabka magacu waa doorashada caadiga ah ee tunnel-ka.

Magacu waa fure isku-imasho, ma aha caddayn ku saabsan yaa ku sugan dhinaca kale. Xaqiijinta lammaanaha wali waa shaqada VPN.

Akhri silsiladda ka hor intaadan xeerar ku darin

Fiiri waxa ay xeerarka hadda ka kooban yihiin iyo halka xeer cusub uu fadhiisan doono, sababtoo ah nidaamka ayaa go'aamiya natiijada.

nft list ruleset
nft -c -f /etc/nftables.conf

Liistadu waxay tusinaysaa silsilado, xeerar iyo gacan-qaadyo, qaabka hubinta wuxuu ansixiyaa faylka musharixka ah isagoon rarin. Oggolaansho kaliya tunnel-ka ah oo la dhigo ka dib aqbalaad hore oo isla qulqulkaas ah waxba ma beddelo, sababtoo ah xeerkii ugu horreeyay ee isku beermaa ayaa guuleysta. Sidaas darteed xeer soo daahay ayaa u ekaan kara mid sax ah oo aan wax saameyn ah yeelan. Akhri silsiladda siday isugu xigaan oo xaqiiji in ka-hortagga socodka macmiilka ilaa xiriirka sare uu weli ka horreeyo wax kasta oo ballaaran.

Waddooyinka, turjumaadda iyo qulqulka waxay leeyihiin milkiilayaal kale

Joogitaanka isku-xirku ma abuurto waddooyin mana xaqiijiyo lammaanaha. Kuwaas waxaa iska leh maareeyaha VPN, halka turjumaaddu leedahay meerto nololeed saddexaad.

conntrack -L -s 10.20.0.0/24 | head
ip route show dev vpn0

Liiska conntrack wuxuu tusinayaa qulqulka jira oo wata qiimayaashooda asalka ah iyo kuwa la turjumay, liiska waddooyinkuna wuxuu tusinayaa waxa maareeyuhu u rakibay isku-xirka. Xeerarka NAT waxay sameeyaan xaaladda dabagalka xiriirka baakadda ugu horreysa, sidaas darteed qulqul dhisan wuxuu hayaa turjumaaddiisa xitaa ka dib marka xeerku beddelmo. Sidaas darteed xeer la cusboonaysiinayo iyo qulqul isticmaalaya waddada cusub waa laba odhaah oo kala duwan. Go'aanso jadwallada kee ay tahay in dib loo xiro oo ka tag qulqulka aan xiriirka la lahayn.

Aqbal bilow qabow, lumis iyo soo kabasho

Tijaabi bogga iyadoo tunnel-ku maqan yahay bilowga, ka dibna uu joogo, ka dibna ka dib go'id iyo soo noqosho. Xaqiiji in gudbinta la mamnuucay ay mamnuuc tahay inta tunnel-ku maqan yahay, in qulqul cusub oo la oggolaaday uu shaqeeyo marka lammaanaha la xaqiijiyo, iyo in soo kabashadu aanay u baahnayn in xaalad aan xiriir la lahayn la nadiifiyo. Ha tirtirin silsiladda POSTROUTING oo dhan ama gelitaan kasta oo conntrack ah sida ficil joojin profayl keliya, sababtoo ah adeegyo kale ayaa wadaaga. Diiwaangeli qaybtee beddelatay isku-xirka, waddada iyo siyaasadda, ee ma aha oo kaliya in qabato-bilow uu ku baxay eber.

Siyaasadda ka badbaadda dib u xirid waa tan milkiilayaasheeda la magacaabay oo xeerarkeeda lagu tijaabiyay tunnel-ka oo hoos iyo kor labadaba ah. Qabato sheegta guusha waxay caddaynaysaa oo kaliya in qabatadu shaqeysay.