Xeerarka dekedda 80 iyo 443 kama gudbiyaan browser-ka VPN

Qof wuxuu codsaday in browser-ku isticmaalo tunnel-ka, jawaabtuna waxay ku soo noqotaa sida xeerka derbiga dab-damiska ee la mid ah dekedaha loo socdo 80 iyo 443. Waxay u egtahay mid sax ah mana aha. Isku-dhigga dekeddu wuxuu doortaa baakadaha iyadoo eegaysa madaxa gaadiidka, ma aha barnaamijkee furay socket-ka, iyo baaritaanka casriga ah kuma xaddidna labadaas deked ee TCP. Xeerku wuxuu seegi doonaa qaar ka mid ah taraafikada aad rabtay inaad ku dartid wuxuuna qaban doonaa taraafik aadan waligaa damcin inaad taabato. Ka hor intaadan qorin, go'aanso saddexda xad ee kala duwan kee ayaad runtii rabtaa.

Xeerku wuxuu qeexayaa fasalka gaadiidka, ma aha barnaamij

Linux dhexdiisa, isku-dhigga dekedda loo socdo wuxuu baarayaa madaxa TCP iyo wax ka sarreeya midna. Calaamadaynta baakadahaas iyo ku hagidda waddo siyaasadeed waxay u shaqaysaa si sax ah sida la diiwaangeliyay, mana jiro mid ka mid ah mishiinnadaas oo garanaya waxa culeyska macneheedu yahay ama habkeedii soo diray. Calaamaddu waa lambar ku lifaaqan baakad, ma aha aqoonsi ku lifaaqan barnaamij.

nft add rule inet mangle output tcp dport { 80, 443 } meta mark set 0x1
ip rule add fwmark 0x1 table 100
ip route add default dev wg0 table 100

Isla markiiba waxaa soo socda laba natiijo. Cusboonaysiinta software-ka ee la xiriira TCP 443 waxay heshaa isla sida browser-ka, taas oo laga yaabo inay fiican tahay ama ay tahay hakad sugaya wareegga cusboonaysiinta ee xiga. Iyo adeegga web ee si ula kac ah loogu daabacay deked kale, aan dhahno 8443, wuxuu si buuxda uga baxaa xeerka inkastoo uu weli yahay taraafikada web ee isticmaaluhu danaynayay.

Lambaradu waa doorashooyin sharci ah marka shuruuddu runtii ku saabsan tahay dekedahaas. Waxay noqdaan sheeko khiyaali ah marka tikitka lagu qoro «browser» oo xeerarka lagu hirgeliyo baaxadda dekedda. Farqigaas ma aha faahfaahin diiwaangelin. Waa farqiga u dhexeeya xeer aad ka difaaci karto dib-u-eegis iyo mid aan cidina tijaabin karin.

HTTP/3 si aamusan ayuu uga tago xeerkaaga TCP

HTTP/3 waxay ku shaqaysaa QUIC, QUIC-na waxaa lagu qaadaa UDP. Xeerka kaliya TCP la mid ah ma arki karo, sidaas darteed isla browser-ka buuxiya boggaaga tijaabada ah wuxuu codsi dambe ku diri karaa UDP oo ka gudbi karaa tunnel-ka iyada oo aan cidina beddelin dejinta. RFC 9114 wuxuu HTTP/3 ku qeexayaa borotokool ku salaysan QUIC, QUIC-na wuxuu isticmaalaa UDP oo dekedda caadiga ah 443 ku leh hirgelinta caadiga ah.

In browser gaar ah uu isku dayo HTTP/3 waxay ku xiran tahay habayntiisa, goobta iyo in isku-daygii hore guulaystay. Taas ayaa ka dhigaysa wax xun in laga fikiro xusuusta. Beddelkeeda weydii qalabka:

curl --http3 -sS -o /dev/null -w '%{http_version} %{time_total}\n' https://example.com
ss -tunp | grep -E ':443\b'

Sadarka curl wuxuu daabacaa nooca la wada-hadlay, marka 3 wuxuu xaqiijinayaa in waddada UDP la isticmaalay. Kadib liiska socket-ka wuxuu muujinayaa in xiriirkaas ku xiran yahay interface-ka tunnel-ka ama kan jirka. Haddii HTTP/3 aanu ku jirin curl-kaaga, calanku si cod dheer ayuu u guuldareystaa halkii uu si aamusan uga noqon lahaa, taas oo ah naxariistiisa yar.

DNS waa go'aan gaar ah oo ay tahay inaad qaadato

Xeerka dekedda ee taraafikada web waxba kama sheegayo xallinta magacyada. Browser-ku wuxuu isticmaali karaa xalliyaha nidaamka, xalliye lagu habeeyay browser-ka dhexdiisa, ama mid ay riixday xiriirkii ugu dambeeyay. Mid kasta oo ka mid ah wuxuu su'aalaha ku diri karaa waddo ka duwan tan uu xeerkaagu doorto, taas oo abuurta kala-goynta caadiga ah: boggu wuu soo degaan, magacu meel aadan filayn ayuu ku xallimaa, goobta gudahuna waxay ku xallimtaa cinwaan dadweyne ama ma xallimto haba yaraatee.

Si cad u go'aanso. Haddii magacyada gudaha ay tahay in lagu xalliyo tunnel-ka, xalliyahaa waa inuu ku jiraa gudihiisa, xeerarkuna waa inay u oggolaadaan DNS xalliyahaas iyagoo su'aalaha kale dibadda ku hayaa. Haddii browser-ku isticmaalo DNS over HTTPS oo u socda bixiye dadweyne, su'aashu si buuxda ayay uga gudubtaa xalliyahaaga oo xeerka dekeddu ma caawin karo. Doorashada ku qor isla diiwaanka isbeddelka ee xeerka waddada, sababtoo ah labadaba waxaa wada akhriya kan ku hagaajinaya guuldarada xigta.

Kadib ku xaqiiji xalliyaha halkii aad bogga ku xaqiijin lahayd:

resolvectl query intranet.example.internal
resolvectl status | grep -A3 'Current DNS Server'

Jawaab maqan waa dhibaato xallin xitaa marka fariinta qaladka browser-ku ay shabakadda eedayso. Labadan guuldarada isticmaalaha waxay u muujigaan isku mid, laakiin waa tikitamoyin gabi ahaan kala duwan.

Saddex xad, saddex hab oo kala duwan

Inta badan jahwareerka wuu meesha ka baxaa markaad magacawdo xadka aad rabto. Lama beddeli karo, mid kastaana wuxuu leeyahay qaab guuldarro oo kala duwan inta lagu jiro go'itaanka tunnel-ka.

Profile browser oo gaar ah waa dabinada safka dhexe. Wuxuu kala soocaa cookies-ka iyo taariikhda, mana beddelo wax ku saabsan shaxda waddada ee martigeliyaha, sidaas darteed labada profile waxay maraan isla waddada. Gooni-u-dhigiddu waxay u baahan tahay wax kernel-ku dhaqan geliyo, taas oo ah boos-magac, weel ama barnaamij leh interface tunnel u gaar ah.

Safka kasta oo khuseeya, qor waxa ay tahay inuu dhaco marka tunnel-ku dhaco. Waddada ku salaysan calaamad ee la tagta interface-ka waxay inta badan ku laabataa waddada caadiga ah ee jirka, taas oo ah habdhaqan fail-open. Taasi waxay noqon kartaa mid la aqbali karo baaritaanka oo aan la aqbali karin wax kasta oo kale, waana go'aan, ma aha faahfaahin hirgelin.

Tijaabi qulqulka aad sheegato inaad daboolayso

Tijaabada aqbalaaddu waa inay raacdo xadka aad qortay, ma aha lambarrada dekedda ee ku habboonaa. Dooro hal qulqul oo ay tahay inuu maro tunnel-ka, mid aan marayn, iyo mid isticmaala gaadiid aadan ka fikirin:

ip route get 203.0.113.40
curl -sS -o /dev/null -w 'v4 %{http_version} %{remote_ip}\n' https://example.com
nft list ruleset | grep -A2 'dport'

Raadinta waddadu waxay kuu sheegaysaa interface-ka uu socodka dhab ahaan isticmaalo, taasina waa xaqiiqada inta badan warbixinnada si khaldan u sheegaan. Sadarka curl wuxuu xaqiijinayaa nooca la wada-hadlay iyo qoyska cinwaannada. Soo-saarista xeerarku waxay qabataa xeerka aad ku dartay tijaabinta oo aad illowday inaad xaddidid, sidaasna calaamad ku meel gaar ah ayuu u noqdaa waddo fail-open joogto ah.

Diiwaangeli saddexda soo-saarista oo dhan iyagoo wata sumadda waqtiga oo la hay isbeddelka. Marka qof dambe soo sheego in «VPN-ku jabiyay intranet-ka», farqiga u dhexeeya xadka loogu talagalay iyo kan la hirgeliyay wuxuu ka muuqan doonaa diiwaankaas, sixidduna waxay noqon doontaa isbeddel xeer, ma aha dood.