OpenVPN guriga ayuu ka shaqeeyaa laakiin hal shabakad kama shaqeeyo: UDP mise TCP?

Isla profile-kaas ayaa guriga ka xirma oo ku hakada shabakad hudheel, jaamacad ama laan. Aqoonsiga isticmaalaha ma uusan is beddelin, marka doorsoomaha xiisaha leh waa waddada: OpenVPN waxa ku dhaca baakadaha ka hor inta aanu akhrin. Isbarbardhigga afar sababood oo suurtagal ah sida loo tijaabin karo ayaa ka fiican in qiyaas laga sameeyo shahaadooyinka. Mid kastaa wuxuu ka taga raad ka duwan, raadkaasina waa waxa kala sooca.

Marxaladdee fashilantay ayaa sheegta isbarbardhiggee muhiim ah

Diiwaanka macmiilka ayaa horey u qoraya inta aad gaadhay. Sadar sheegaya in wada-hadalka fure TLS uusan ku dhicin waqtiga loo qoondeeyay macnaheedu waa baakadii ugu horreysay baxday oo wax faa'iido leh soo noqon, taas oo tilmaamaysa waddada. Diidmada shahaadadu si gaar ah ayay u egtahay: jawaab ayaa yimaada, ka dibna khalad xaqiijin gaar ah ayaa sheega sababta. Qor sadarka ugu dambeeya ee ka horreeya wareegga isku dayga, waayo waa qiimaha aad isbarbardhigto shabakadaha dhexdooda.

Qabo inta la isku dayayo, ma aha ka dib. Macmiilka tcpdump -ni any udp port 1194 ayaa muujinaya haddii jawaab soo noqoto. Ku celi WAN interface-ka server aad maamusho, taas oo daaha ka qaadaysa haddii baakadahaas gaaraan dhinaca fog.

Taraafikada hal dhinac ah ayaa ah natiijada ugu faa'iidada badan ee halkan laga heli karo, waayo waxay cabasho marmar ah u rogtaa jihada baaritaan. Kaydi faylasha qabashada, waayo warbixinta xigta ee isla dhibaatadaas ayaa lagu xidhaa caddayn kaga fudud tahay sharraxaad.

Filtrarka UDP iyo port-ka xiran

Shabakado badan oo gelitaan ah waxay u arkaan UDP joogtada ah mid shaki leh, ISP-yadana qaarkood way la qabaan. Port xiran wuxuu dhinaca macmiilka ka soo saaraa aamusnaan la mid ah. Farqiga waa xulashada: filter-ku wuxuu inta badan door bixiyaa waxa uu tuurayo oo ah goobo ama port-yo, halka port xiran uu diido wax kasta oo ku wajahan port-kaas.

Profile TCP oo ku yaal port 443 waa xalka caadiga ah, waayo wuxuu u eg yahay qulqulka HTTPS caadiga ah oo dhex mara inta badan portal-yada captive iyo filter-yada bixista. Laba shuruudood waa inay jiraan. Serverku waa inuu ku dhageystaa proto tcp-server macmiilkuna waa inuu ku habboonaadaa proto tcp-client, oo hawlwadeenku waa inuu daabacaa bartaas kale. Dib u qorista profile UDP shaqeeya si loo sheego TCP 443 waxba ma tarayso marka dhinaca kale aanay waxba dhageysan.

Port xiran waa dhibaato habaynta, ma aha dhibaato faafreeb. Server ku yaal gadaasha router guriga wuxuu u baahan yahay dirista port-ka UDP, oo firewall-ka router-ka waa inuu oggolaadaa. Marka aan port-ka marnaba la oggolaan, macmiil kastaa wuxuu ku fashilmaa wada-hadalka iyada oo aan loo eegayn aqoonsiga, fashilkaana wuxuu raacaa server-ka halkii uu shabakadda raaci lahaa.

Borotokoolada hore ayaa si liidata uga soo baxa dhinacan. PPTP wuxuu u baahan yahay TCP 1723 iyo GRE, GRE-na waa borotokool IP 47 ma aha port, marka dirista port caadi ah ma muujin karto.

Marka switch-ka uu tuurayo baakadaha

Switch la maamulo ayaa si ula kac ah u tuuri kara tunnel-ka. Qaar ka mid ah moodooyinka HPE iyo Aruba waxay soo bandhigaan kontoroolka ilaalinta daadka UDP, mararka qaarkood loo calaamadeeyay Prevent UDP Blat Attack, qaybta amniga horumarsan. Marka kontoroolkaas firfircoon yahay, server ku yaal gadaasha switch-ka waxba kama jawaabo macmiil kastaana isla sidaas ayuu waqti ku dhammaadaa. Tirtiristiisa iyo kaydinta habaynta socota waa dhammaan hagaajinta, laakiin kaliya ka dib markaad caddeyso in switch-ka runtii jidka ku yaal.

Caddaynta lidka ah ayaa kala sooca tuurista switch-ka iyo xannibaadda bixiye. Akhri tiriyayaasha interface-ka iyo diiwaanka ilaalinta daadka ka hor intaadan ticket ka furin ISP-ga. Router-yada macaamiisha ee leh ilaalin DoS ama daad ayaa isla qaabkaas ku fashilma, sidoo kale middlebox kasta oo leh waqti gaaban oo UDP aan firfircoonayn. Gacan-qaadista marnaba dhammaanaysa waxay tilmaamaysaa tuuris, halka tunnel dhinta kadib dhowr daqiiqo oo aamusnaan ah uu tilmaamayo waqtiga xaddidan.

Qor qalab kasta oo u dhexeeya macmiilka iyo server-ka ka hor intaadan beddelin profile. Hagaajin lagu dabaqay lakab khaldan ayaa u muuqda mid sax ah ilaa shabakadda xigta. Liiskaas waxa uu sidoo kale injineerka xiga u sheegaa halka uu eego isagoon dib u celin baaritaanka oo dhan.

Isku-xirnaanta ciwaanka oo u eg fashilka DNS

Shabakad gelitaan oo lambaranaysan gudaha 10.0.0.0/8 ayaa isku dhaci karta barkada tunnel-ka, resolver-kuna wuxuu inta badan ku nool yahay barkaas. Marka laptop-ku Wi-Fi ku helo ciwaan sida 10.184.178.50 oo leh /8 mask, goob kasta 10.x waa maxalli sida qeexan. Baakadaha loo dirayo 10.4.0.1 waxay markaas tagaan LAN, tunnel-ku wuu sii socdaa, xallinta magacyaduna way fashilantaa.

ip addr ayaa isku-xirnaanta hal aragti muujiya, ip route get 10.4.0.1 na wuxuu muujiyaa halka baakadka runtii la gaarsiin lahaa. Maaddaama calaamadda muuqata ay tahay fashilka resolver-ka, tani inta badan waxay ka badbaaddaa dhowr wareeg oo isbeddelo DNS ah.

Dib u lambar barka ama shabakaddaas gelitaan ka fogee baaxadda. Ma jiro habayn dhinaca macmiilka ah oo ka soo kabsata isku-xirnaan.

Doorashada u dhaxaysa TCP dambeeya iyo hagaajinta waddada

Dooro TCP dambeeya marka aadan maamulin waddada oo isticmaalayaashu u baahan yihiin inay maanta shaqeeyaan, oo aqbal kharashkeeda: TCP gudaha TCP si liidata ayuu u dhaqmaa xiriirka lumaya, oo dambeeyuhu wuxuu u baahan yahay dhageyste aad maamusho. Dooro hagaajinta waddada marka xannibaaddu ku taal kaabayaasha aad leedahay, waayo qaanuunka firewall-ka ayaa ka jaban dhageyste labaad. Si kastaba ha ahaatee, lakabyada si tartiib ah u dhex mar: xiriirka, gaadiidka dibadda, wada-hadalka, duulista gudaha. Marxaladda ku fashilantay shabakaddaas waa xaqiiqada kaliya ee muhiimka ah.

Diiwaan natiijada shabakad kasta, ma aha isticmaale kasta. Warbixinta xigta ee isla fashilkaas waxay markaas ka bilaabataa marxalad la yaqaan halkii ay ka bilaaban lahayd aragtida shahaadada. Diiwaankaas ayaa sidoo kale qiil u ah dhageyste labaad oo joogto ah, haddii marnaba loo baahdo.