Aagga VPN ee OpenWrt, gudbinta iyo qarinta: kee baa loo baahan yahay?

Saddex isbeddel ayaa isku qalmaa mar kasta oo VPN la kulmo OpenWrt: furitaanka deked, oggolaanshaha gudbinta iyo shididda qarinta. Waxay ka jawaabaan su'aalo kala duwan, badanaana midkood oo keliya ayaa ah baahida dhabta ah. Akhrinta kontorool kasta sida doorka trafficka ee uu maamulo ayaa mala-awaal u beddela go'aan, waxayna sidoo kale sheegtaa calaamadaha la filayo marka isbeddelku khaldan yahay. Ku bilow magacaabista doorka fashilmay, ma aha sanduuqa calaamadaha ee aad xusuusato.

Magacaab doorka trafficka ka hor intaadan taaban kontorool

Gelitaanka aaggu wuxuu go'aamiyaa waxa gaari kara routerka laftiisa. Baxsiga aaggu wuxuu daboolaa trafficka uu routerku isagu abuuro, gudbinta aaggu waa qiimaha caadiga ah ee trafficka mara aag, qarintuna waxay go'aamisaa haddii ciwaanka isha dib loo qoro marka baxa. Kuwani waa afar su'aalood oo kala duwan, siyaasadda aaguna waxay hal qiimo ku wada jawaabtaa afartaaba, sidaas darteed isbeddel aagga oo dhan waa qalab qallafsan. Qaanuun magac leh ayaa ka jawaabi kara midkood isagoon taaban kuwa kale.

Khariidadda faa'iidada leh waa midka doorka trafficka, sababtoo ah waa waxa aad arki karto marka wax fashilmo. Door kasta oo hoos ku qoran wuxuu leeyahay hal kontorool oo go'aamiya iyo hal calaamad oo tilmaamaysa:

Dhageystaha routerka wuxuu u baahan yahay hal qaanuun gelitaan cidhiidhi ah

Server OpenVPN oo routerka ku yaal wuxuu helaa traffick loo jeediyay routerka, sidaas darteed xiriirkiisa dibedda wuxuu ku xiran yahay siyaasadda gelitaanka aagga qaada. Oggolow gaadiidka iyo dekedda la habeeyay oo ka tag wax kasta oo kale aaggaas diidmo. Hal qaanuun deked ayaa ka yar beddelka oggolaanshaha aagga oo dhan, waana kaas oo aad weli sharxi karto sannad ka dib.

Laba arrimood ayaa qaanuunkaas ka dhigaya mid ammaan ah in la hayo: wuxuu magacaabaa dekedda ay adeegtu runtii isticmaalayso, wuxuuna ag taagan yahay qeexidda aagga si qofka xiga uu u arko sababta uu u jiro. Sadarrada hoose waa qaabka kaliya, dekedduna waxay matalaysaa waxa serverka lagu habeeyay. Beddel dekeddaas labada meelood marka adeegtu dhaqaaqdo, sababtoo ah qaanuun ku haray tan hore lama arko ilaa hantidhawr.

config zone
    option name 'wan'
    option input 'REJECT'
    option forward 'REJECT'
    option output 'ACCEPT'
    option masq '1'

config rule
    option name 'allow-openvpn'
    option src 'wan'
    option proto 'udp'
    option dest_port '1194'
    option target 'ACCEPT'

Xaqiiji ka hor intaadan dib u rarin, sababtoo ah khalad hab-dhismeed oo ku jira faylka firewall ayaa routerka ka tagi kara iyada oo aan lahayn xirmo qaanuunno shaqeeya. Daabacaad isticmaasha fw4, hubintu waa amar gooni ah, waxayna si cod dheer u fashilantaa halkii ay aamusnaan u aqbali lahayd qayb jaban. Dib u rari kaliya ka dib marka hubintu gudubto, oo kaydi faylka hore meesha aad ka celin karto.

fw4 check
service firewall reload

Codsi macmiilku wuxuu maraa gudbinta, ma aha gelitaanka

Aqoonsiga ka dib, codsiga macmiil tunnel oo adeeg LAN doonaya wuxuu abuuraa qulqul la gudbiyay, sidaas darteed kontoroolka go'aamiya waa xiriirka gudbinta ee u dhexeeya aagga tunnel iyo aagga LAN. U qoondee interface tunnel aagga loogu talagalay, ka dib ku dhawaaq jihada, ilaha iyo adeegga. Qoondeynta aagga ayaa ah waxa macne siinaya qaanuunka gudbinta, labaduna waxay macne yeelanayaan kaliya marka la wada akhriyo. Xiriirka gudbinta ee magacaaba aagga tunnel isha iyo aagga LAN meesha loo socdo waxaa loo akhriyaa go'aan hal mar oo ula kac ah, halka laba oggolaansho oo aagga oo dhan loo akhriyaa shil.

Gaarista routerka laftiisa waxay weli isticmaashaa dariiqa gelitaanka, sidaas darteed ping ku socda gateway waxba kama sheego wadaagga faylka ka dambeeya. Labadaas fashil waxay ku nool yihiin qaybo kala duwan waxaana lagu hagaajiyaa isbeddello kala duwan. Qor labada dariiqa si gooni ah ka hor intaadan beddelin midkood.

Qarintu waa go'aan dariiqeyn, ma aha oggolaansho

Qarintu waxay dib u qortaa ciwaanka isha trafficka baxa ee la doortay. Waxay badbaadin kartaa naqshad bax ah oo dhinaca fog uusan lahayn dariiqa soo noqodka, waxayna sidoo kale qarinaysaa ciwaannada macmiilka shaqsiga ah ee adeeg kasta oo diiwaangeliya ama ciwaan ku oggolaada. Daminta waa doorasho dariiqeyn oo ku saabsan dariiqa soo noqodka, ma aha furaha amniga ee xira daloolka gelitaanka. Tunnel shaqeeya marka tarjumaaddu daaran tahay oo fashilma isla daqiiqadda la damiyo badanaa waxaa ka maqan dariiqa soo noqodka, ma aha qaanuunka firewall.

Beddelka dariiqaysan wuxuu u baahan yahay dariiqa soo noqodka dhinaca fog halkii tarjumaad. Midkoodna ikhtiyaarradu ma bixiyaan oggolaanshaha firewall ama akoonka codsiga, sidaas darteed daminta qarintu badanaa ma hagaajiso macmiil tunnel oo aan meelna gaarin. Sidoo kale si gooni ah u daa siyaasadda IPv4 iyo IPv6, sababtoo ah hal dejinta tarjumaad ma qeexayso labada qoys.

Ku caddee go'aanka codsi la oggolaaday iyo mid la diiday

Dir hal codsi oo ay tahay in la oggolaado iyo mid ay tahay in la diido, ka dib aqoonso kontoroolka qaatay go'aan kasta. Bog si kadis ah u soo galay ma aha caddayn; caddayntu waa qaanuunka is waafajiyay, silsiladda uu ku waafajiyay. Diidmadu waxay la mid tahay guusha, sababtoo ah waxay tusinaysaa in siyaasaddu wax qabanayso halkii wax walba la oggolaan lahaa.

Daabacaadda hadda jirta laba amar ayaa ku siinaya caddayntaas. Tiriyaha qaanuunka waafaqsan wuu dhaqaaqaa marka codsiga la aqbalo, diiwaankuna wuxuu tusinayaa tuurista haddii aad daartay diiwaangelinta qaanuunka:

nft list chain inet fw4 forward_wan
logread -f | grep -i -E 'DROP|REJECT'

Hayso dariiqa maamul oo aad weli isticmaali karto ka hor intaadan beddelin siyaasad firewall ah, oo raac habka xaqiijinta iyo dib u celinta ee milkiilaha habaynta. Isbeddel kaa xira banaanka routerka ma aha natiijada tijaabo, waa dhacdo labaad. Qor aagga iyo doorka trafficka agagaarka indho-indheyn kasta, si lammaanaha natiijooyinku u sharraxaan siyaasadda halkii ay ku tilmaami lahaayeen soo-galitaan bog nasiib leh.