Guuldarrada client-connect ee OpenVPN: ma nadiifinta disconnect waa la dammaanad qaaday?
Macmiil la diiday ma celiyo qaanuunka firewall ama diiwaan qoran. Isbarbar dhig heshiiska callback-ka iyo dib u celinta hook-gaagu waa inuu isagu sameeyo.
Marka skript client-connect ku baxdo kood aan eber ahayn, OpenVPN wuu diidaa macmiilka, hawlwadeennaduna waxay inta badan u maleynayaan in skript client-disconnect ee u dhigma ay nadiifin doonto. Badanaa marnaba ma shaqeyso, sababtoo ah habaynta disconnect waxay ku xiran tahay waxa marxaladda connect ay ku guuleysatay inay dhammeeyso. U qaadashada diidmada iyo dib u celinta hal hannaan waa taas oo gelitaan guuldareystay u beddesha qaanuun firewall daadanaya ama diiwaan agoon ah. Kuwani waa laba waajibaad oo kala duwan, oo midkoodna kaliya waa otomaatig. Akhri dariiqa bixitaanka hook-ga laftiisa ka hor intaadan serverka ku eedayn inuu xaalad ka tagay.
Bixitaan aan eber ahayn wuxuu diidaa macmiilka; ma celiyo shaqadaada
Xaaladda bixitaanka client-connect waa go’aan gelitaan. Eber waxay ka dhigan tahay ogolaansho, wax kale oo kasta waxay ka dhigan tahay in la dumiyo tusaalaha ka hor inta aan si buuxda loo aasaasin. Waxba heshiiskaas kama baaraan waxa skriptku horey u sameeyay adduunka dibadda. Haddii skriptku ku daray qaanuun iptables, qoray saf, ama kordhiyay tirakoob, isbeddelladaas way ka badbaadaan diidmada.
Isku mid ahaanshahaas oo kale waxay khuseysaa plugins, halkaas oo dhowr hawlood connect ay u shaqeyn karaan hal tusaale. Guuldarradu dambe ma baajiso guusha hore si dib loo eegay, hawsha horena ma haysato dariiq ay ku ogaato in hawl walaasheed ay guuldareystay.
Diidmadu waa otomaatig, nadiifintu ma aha
Buugga OpenVPN 2.6 wuxuu habaynta client-disconnect ku xiraa guusha habaynta connect ee hore. Ka-reebitaan la diiwaangeliyay ayaa daboolaya silsilado isdaba-joog ah: haddii hal tallaabo connect horey u soo celiyay guul, tallaabooyinka disconnect ee u dhigma wali way shaqeeyaan marka tusaalaha la dumiyo, xitaa haddii tallaabo connect dambe guuldareystay. Ka-reebitaankaas waa cidhiidhi wuxuuna ku xiran yahay inta callback ee la habeeyay, taas darteed tijaabinta hal skript shell wax kama sheegto silsilad.
Khariidad samee qaabeynta dhabta ah ka hor intaadan hareeraha ka naqshadeyn: skript kee, plugin kee iyo nidaamkee ay u shaqeeyaan. Shaxda hoose waxay taxdaa waxa ay ka tagto dejinta badh dhammaystiran.
| What the hook did before failing | What the client sees | What stays behind |
|---|---|---|
| Created a firewall entry | A rejection, with no tunnel | A rule matching an address nobody owns |
| Wrote a state row | A rejection, with no tunnel | A record of a session that never started |
| Allocated a tunnel address | A rejection, with no tunnel | An address marked busy until something releases it |
Safka kastaa si isku mid ah ayuu ugu dhammaadaa macmiilka iyo si ka duwan martigeliyaha. Macmiilku ma ogaan karo midkood dhacay, sidaas darteed hook-ga waa inuu dib u celiyaa waxa uu sameeyay ka hor inta aanu soo celin xaaladda guuldarrada.
Magaabo gudaha skriptiga guuldareystay
Xaqiiji wax kasta oo aad kartid ka hor intaadan taaban xaalad la wadaago: beeraha shahaadada, helitaanka ciwaanka, kooxda uu macmiilku ka tirsan yahay. Diidmada ugu jaban waa tan dhacda ka hor wax kasta oo qoondayn ah. Marka dejintu ay ka kooban tahay dhowr hawlo dibadeed, diiwaangeli kuwa dhammaaday oo dib u celi iyaga si nidaam ka soo horjeeda ka hor intaadan soo celin xaaladda guuldarrada.
Kiis la taaban karo: skriptigu wuxuu abuuraa gelitaan firewall macmiil kasta, ka dibna wuu ku guuldareystaa qorista safka xaaladda ee qeexaya. Laanta guuldareysata waa inay ka saartaa gelitaanka hadda la abuuray kadibna ku baxdaa kood aan eber ahayn. Sugitaanka dhacdo disconnect oo laga yaabo inaan marnaba la qorsheyn waa sida qaanuunku uga badbaado fadhiga loogu talagalay.
Ka dhig magdhowga mid isku-celin kara oo leh milkiile
Nadiifintu waa inay ammaan u tahay in laba jeer la socodsiiyo oo sax ku tahay waxa ay tirtiri karto. Dhacdo dambe oo ka timid isku-day hore waa in aanay ka saarin qoondaynta fadhi cusub sababtoo ah labaduba waxay wadaagaan magac guud ama ciwaan tunnel dib loo isticmaalay. Diiwaangeli gacanta ama aqoonsiga hawsha gaar ah oo la socda kheyraadka, oo tirtir furahaas halkii magaca. Macaamilada database-ka waxay kaliya caawiyaan isbeddellada database-ka laftiisa; qaanuunka firewall ee ka baxsan xadkaas wuxuu u baahan yahay tallaabo magdhow oo cad.
Ka fikir in habsocodku ku dhiman karo inta u dhaxaysa isbeddelka iyo nadiifinta, oo ku dar heshiisiin-qaade si waafaqsan jadwalka u barbar dhiga xaaladda dibadda iyo liiska macaamiisha la aqbalay.
Tijaabi saddexda dariiqo ee dhab ahaan kala duwan
Tababar saddex kiis: diidmo ka hor inta wax la qoondayn, mid ka dib qoondayn qayb ah, iyo fadhi caadi ah oo la aqbalay oo hadhow dhammaada. Saddexdaas waxay soo saaraan safaf log oo kala duwan iyo hadhaagyo kala duwan. Xaqiiji xaaladda dibadda mid kasta ka dib, ma aha oo kaliya fariinta guuldarrada macmiilka, sababtoo ah guuldarrada macmiilka waa natiijada la filayay laba ka mid ah saddexda.
Diiwaangeli marxaladda hook-ga, xaaladda bixitaanka iyo waxa la qoondayn ama la sii daayay, iyada oo aan la gelin aqoonsiga. Log hook oo magacaaba kheyraadka uu abuuray ayaa ah waxa ka dhigaya qaanuunka daadanaya mid laga heli karo lix bilood ka dib.