OpenVPN wuu isku xirmaa laakiin waxba ma qulqulaan: hel lakabka uu baakadku ku dhaco

OpenVPN wuxuu leeyahay waa isku xiran yahay oo wax taraafik ah ma dhaqaaqo, jumlad ku daboolaya ugu yaraan shan ciladood oo aan xiriir lahayn. Beddelidda qaanuunka firewall ka hor intaadan ogaan lakabka fashilmayaa waxay badisaa waxyaabaha aan la garanayn waxayna injineerka xiga uga tagtaa jahawareer. Taa beddelkeeda ka shaqee habka dibadda, maxaa yeelay tallaabo kasta oo hoose ama waxay nadiifisaa hal marxalad ama waxay cidhiidhiyaa halka baakadku ku dhinto. Nidaamka ayaa halkan muhiim ah: qabashada la qaato ka hor intaadan ogaan ciwaanka la xidhay waxay caddayn doontaa wax, laakiin ma aha waxa aad u baahan tahay.

Socket-ka waa la xidhay ama lama xidhin

Adeeg sheegta inuu firfircoon yahay weli waxaa laga yaabaa inuu ku xidhan yahay ciwaan ama gaadiid aadan waligaa qasdin. Weydii socket-ka laftiisa: ss -lunp wuxuu taxaa dhageystayaasha UDP iyo ss -ltnp TCP, iyo tiirka mudan in la akhriyo waa ciwaanka gudaha, ma aha xaaladda.

Jawaab madhan waxay badanaa ka dhigan tahay mid saddex ka mid ah: habka wuu baxay ka dib bilowga, wuxuu soo raray fayl jaangooyo kale, ama wuxuu ku dhegaystay ciwaan ka duwan kan la wacayo.

ss -lunp | grep 1194
ss -ltnp | grep 1194

Amar local wuxuu dhageystaha ku dhejiyaa hal ciwaan, sidaas darteed macmiil kale oo isla martigeliyaha wax ka bartilmaameedsada waa la diidayaa halka adeegga dibadda ka muuqdo mid caafimaad qaba. Magaca tusaale ahaan sidoo kale wuu tilmaami karaa fayl aadan waligaa tafatirin, taas oo ku dhacda martigeliyayaasha laba borofayl wada shaqeeya.

Qabso baakadda dibadda, ma aha tunnel-ka

Ku shaandhee is-dhexgalka jirka iyo dekedda dhabta ah, adigoo beddelaya is-dhexgalkaaga: tcpdump -ni eth0 udp port 1194. Baakadaha baxa oo aan waxba soo noqon waxay tilmaamayaan waxa sare fadhiya: shaandhaynta bixiyaha, qalab NAT, ama ciwaan fog oo aan ahayn kan aad u malaynayso. Aamusnaanta labada jiho waxay tilmaamaysaa marin-u-jiidka macmiilka ama firewall maxalli ah. Jawaabaha yimaadda iyada oo aan horumar tunnel-ka jirin waxay tilmaamayaan kanaalka xakamaynta, taas oo ah isku-dhac fure ama sifer, ma aha shaandhayn.

Qabso labada jiho oo faylka ku hay mid gaaban. Qabasho dheer waxay aastaa saddexda ilbiriqsi ee xiisaha leh, jawaabtuna badanaa waxay ku jirtaa is-weydaarsiga koowaad.

Marka hore tiriyayaasha, raad raac kaliya markay beensheegaan

Ku bilow tiriyayaasha, maxaa yeelay waxba ma kharash galaan. nft list ruleset ama iptables -L -n -v wuxuu ka jawaabaa su'aasha kaliya ee halkan muhiim ah: qaanuunka ma waafaqay? Nidaamka ayaa go'aamiya natiijada, maxaa yeelay waafaqsanaanta koowaad ayaa guulaysata, sidaas darteed DROP ballaaran ka hor ACCEPT dambe wuxuu ACCEPT taas uga tagaa mid dhintay iyo sidaas darteed ku darista qaanuun si naadir ah wax bay hagaajisaa.

Lahaanshaha sidoo kale dadka wuu turunturoodaa. Kernel-ku wuxuu baakadaha gudaha loo abuuray u nisbeeyaa habka furay socket-ka, OpenVPN-na wuxuu badanaa u shaqeeyaa sida root, sidaas darteed qaanuun ku xidhan aqoonsiga isticmaale caadi ah marnaba ma arko taraafikga tunnel-ka laftiisa. Hubi UID milkiilaha ka hor intaadan go'aansan in qaanuunku khaldan yahay.

Kaliya marka tiriyayaashu mugdi yihiin ayaa log u qalma qaylada, iyo markaasna kaliya qayb cidhiidhi ah: qaanuun iptables oo xaddidaya xawaaraha oo prefix ku daraya safafka log-kiisa, ama qaanuun nftables oo sita meta nftrace set 1 inta nft monitor trace shaqaynayo. Raad raac wuxuu magacaabaa silsiladda iyo qaanuunka aqbalay ama tuuray baakadda. Ka dib ka saar labadaba oo logging-ka xamuulka ka fogee.

Hubi gaadiidka sidoo kale. Adeeg firewall ku xaddidan TCP waxba kama sheego dhageyste UDP oo lambarkaas ku yaal, sidaas darteed qaanuun si sax ah loo akhriyay weli wuxuu tuuri karaa baakad kasta.

Marin-u-jiidka iyo wadada dib u noqoshada

Baakad la aqbalay oo weli libdha waxay u baahan tahay in la baadho wadada goobta loo socdo. ip route get wuxuu soo sheegaa wadada loo doortay hal ciwaan, shaandhaynta wadada rogan waxay tuuri kartaa jawaab ku timaadda is-dhexgal aan shaxda ugu weyn marnaba dooran lahayn. Calaamaddu waxay u ekaataa sida tuurista firewall, sidaas darteed hubintan waxay ka hor timaaddaa qaanuun NAT kale.

Gateway-ga, hubi gudbinta iyo silsiladda forward halkii silsiladda input. Ka dib xaqiiji in dhinaca fog yahay sida loo gaaro ciwaanka isha, maxaa yeelay waddada baxa ee shaqaysa oo aan waxba soo noqon aamusnaan ayay tahay labada xaaladood.

Maxay tahay in diiwaanku sheego

Beddel kasta, qor marxaladda aad tijaabisay, caddaynta aad akhriday iyo qiimaha tiriyaha labada dhinac. Qoraalkaas ayaa ka dhigaya "hadda wuu shaqeeyaa" mid ku noolaan kara dib u eegista xigta.

Labo wado oo gaaban ayaa diiwaanka daacad ka dhigaya. Baakad aan waligiis martigeliyaha ka bixin laguma tuuri karin qaanuun meel kale, si kasta oo jaangooyada dhinaca fog u ekaan karto mid qancin leh. Baakad baxay oo soo noqday wuxuu su'aasha u rarayaa lakabka shabakadda ka sarreeya, halkaas oo tiriyayaasha firewall aysan wax kale kuu sheegi karin.