Gudbinta dekedda iyo gelitaanka VPN: xaggee baakaddu dhab ahaan u tagtaa

Gudbinta dekeddu waxay dib u qoraa halka loo socdo oo halkaas ayay istaagtaa; VPN ayaa marka hore baakadda duubta. Eeg lakabka kasta waxa uu beddelo iyo waxa taasi uga dhigan tahay HTTPS.

Laba naqshad, hal HTTPS codsi, baakadduna mid kastaa waddo kala duwan qaadataa. Gudbinta dekeddu waxay beddeshaa halka baakaddu gaarto oo inta kale waydaan. VPN ayaa marka hore baakaddaas ku qaata baakad kale, sidaas darteed dhageystaha codsigu wuxuu arkaa il kale iyo culays ugu badan oo yar. Sirta dadku ka doodaan waxay ku jirtaa labada xaalad, maxaa yeelay codsigu wali HTTPS; waxa kala duwan waa cidda xiriir furi karta iyo waxa shabakadda dhexe ku fiirsan karto. Farqigaas ayaa xalliya su'aalaha badan ee la taaban karo.

Qaanuunka DNAT wuxuu dib u qoraa halka loo socdo oo halkaas ayuu istaagaa

Xariirka Linux, daabacaadda adeeg waxay ka dhigan tahay qaanuun ku jira silsilada PREROUTING ee shaxda nat, ama wax u dhigma nftables. Qaanuunku wuxuu la mid yahay cinwaanka iyo dekedda dadweynaha, ka dibna wuxuu dib u qoraa halka loo socdo cinwaanka gaarka ah ee codsiga. Cinwaanka isha, dekedda isha iyo culayska lama taabto, conntrackna waxay diiwaangeli socodsiinta si jawaabtu dib loo qoro marka baxa. Dhaqanku waa qaabka dhaqameed ee turjumaadda cinwaanka ee lagu sharraxay RFC 3022.

sudo iptables -t nat -A PREROUTING -d 203.0.113.10 -p tcp --dport 443 \
  -j DNAT --to-destination 10.20.30.40:443
sudo iptables -t nat -L PREROUTING -n -v
sudo conntrack -L -p tcp --dport 443

Dhageystaha codsigu waligiis ma oga in xiriirku turjumaad soo maray. Wuxuu arkaa cinwaanka isha dhabta ah ee macmiilka, taas oo faa'iido u leh diiwaannada gelitaanka iyo xaddidaadda xawaaraha, wuxuuna uga jawaabaa cinwaanka gaarka ah sababtoo ah conntrack wuxuu rogaa socodsiinta. Waxba wadadaas kuma furto ama dib u sirto: TLS wali wuxuu u dhexeeyaa macmiilka iyo shahaadada codsiga laftiisa.

Qaanuunku wuxuu kaloo go'aamiyaa hababka guuldarrada ee aad ku kulmi doonto mar dambe. Haddii xariirku gudbiyo laakiin martigeliyaha codsiga uusan lahayn waddo ku noqota macmiilka, jawaabuhu waxay u baxaan ishii khaladka ah gacan-qabsiguna wuu istaagaa. Haddii qaanuun labaad marka hore la mid noqdo, nidaamka ayaa go'aamiya natiijada, iptables -t nat -L -n -v waxay tusaa tirakoobka caddeeya qaanuunka baakadda qaatay.

Tunnelku baakadda wuu duubaa ka hor inta aan dhageystuhu arkin

VPN codsiga gabi ahaan ma daabacdo. Macmiilku wuxuu dhisaa baakad dibadda ah oo loo jeediyay cinwaanka dadweynaha ee xariirka, wuxuu ku dhex sirtaa baakadda gudaha, xariirkuna wuu furaa oo baakadda gudaha u jiheeyaa halka gaarka ah. WireGuard, gaadiidka dibaddu waa UDP, badanaa deked sare; OpenVPN haddii TCP 443 ku dul socdo, baakadda dibaddu waxay u egtahay TLS wax kasta oo waddada ilaaliya.

Tunnelka gudihiisa baakadda guduhu waxay hayaan cinwaanno gaar ah: cinwaanka tunnelka macmiilka, waxaad tidhaahdaa 10.8.0.6, iyo codsiga 10.20.30.40. Sidaas darteed dhageystuhu wuxuu arkaa il ka timid barkada tunnelka, macmiil kastana wuxuu la wadaagaa xariirkaas tallaabada xigta. Diiwaannada gelitaanka ee VPN ka dambeeya waxay inta badan tusaan xariirka halkii ay tusi lahaayeen isticmaalaha sababtan darteed, haddii xariirku uusan ilaalinaaynin isha asalka ah.

Duubistu waxay qaadataa boos madaxa, waana tan kaliya ee farqi heer farsamo leh oo natiijo la qiyaasi karo leh. Madaxa IP dibadda ah iyo UDP iyo madaxa WireGuard laftiisa waxay cunaan MTU waddada, sidaas darteed baakadaha waaweyn waa in la kala qaybiyaa ama stack TCP gudaha waa inuu xaddidaa MSS-kiisa. Wareejin ka shaqeeya waddada la gudbiyay waxay ku xiran kartaa tunnelka marka qalab dhexe tuuro ICMP sheegaya MTU yar.

ip route get 10.20.30.40
ping -M do -s 1400 10.20.30.40
sudo iptables -t mangle -A FORWARD -p tcp --tcp-flags SYN,RST SYN \
  -j TCPMSS --clamp-mss-to-pmtu

Soo-gaadhista waxaa lagu go'aamiyaa iridda, ma aha sirta

Laba naqshaduba waxay ku dhammaadaan isla dhageyste TLS, sidaas darteed labaduba waxay dhaxlaan isla shahaado, isla noocyada borotokoolka iyo isla gelitaanka codsiga. Waxa is beddela waa cidda loo ogol yahay inay bilowdo gacan-qabashada. Gudbin dadweyne, martigeliye kasta oo gaadha 203.0.113.10:443 wuxuu helaa gacan-qabasho TCP iyo TLS ClientHello ka hor inta aan la eegin oggolaanshaha codsigaaga. Gelitaan tunnel kaliya, dhageystaha waxaa laga gaadhi karaa oo kaliya cinwaannada xariirku tunnelka u jiheeyo, SYN qof shisheeyena wuxuu ku dhintaa siyaasadda xariirka.

Farqigaasi waa gelitaan, ma aha qarsoodi. Adeeg HTTPS la gudbiyay ma aha qoraal cad, VPNna ma tirito baahida xaqiijinta codsiga: gelitaanka tunnelku wuxuu ka jawaabaa haddii qalabku baakado u diri karo shabakaddan, halka codsiga faylku ka jawaabo haddii isticmaaluhu dokumenti akhriyi karo. Labadaas isku qasidu waa sida kooxuhu ku dhammaadaan VPN siiya LAN oo dhan iyo codsi hal furaha la wadaago.

Baadh dhageystaha iyo siyaasadda si gooni gooni ah, maxaa yeelay mid kastaaba wuu ka ballaadhan karaa waxaad u malaynayso:

sudo ss -ltnp 'sport = :443'
sudo nft list ruleset
openssl s_client -connect 203.0.113.10:443 -servername files.example.com </dev/null

Haddii ss tusayo in dhageystuhu ku xiran yahay 0.0.0.0, codsigu waa laga gaadhi karaa meel kasta oo marin iyo siyaasadda dab-damiska ogolaadaan, gudbintuna waa mid ka mid ah iridda. Ku xirista cinwaanka gaarka ah, ama xaddidista baaxadda isha dab-damiska, waa go'aan ka gooni ah doorashada VPN, waana go'aanka dhab ahaan yareeya soo-gaadhista.

Qiyaas waddada, ma aha calaamadda

Marka qof sheegto in gudbintu ka dhaqso badan tahay, isbarbardhigga daacadda ah wuxuu hayaa wax kasta oo kale si joogto ah: isla macmiil, isla shabakad gelitaan, isla fayl, isla habaynta TLS, isla martigeliyaha codsiga. Ku socodsii wareejinta laba jeer waddo kasta oo qor wadarta waqtiga, tirada guuldarrooyinka iyo jawaab-celinta, ma aha natiijada imtixaan xawaare oo aan xiriir lahayn.

curl -sS -o /dev/null -w '%{time_connect} %{time_appconnect} %{time_total}\n' \
  https://files.example.com/report.pdf
mtr -rwc 20 203.0.113.10
mtr -rwc 20 10.20.30.40

Tirooyinkani waxay kala soocaan dhismaha xiriirka iyo waqtiga wareejinta, taas oo muhiim u ah sababtoo ah labada waddo badanaa way ku kala duwan yihiin daahitaanka tagga-iyo-ka-noqoshada iyo MTU, ma aha kharashka sirta. Shaqada TLS waxay ku dhacdaa darafyada labada naqshad, tunnelkuna wuxuu ku daraa duubis, waddo kale iyo laga yaabo xariir mashquul badan. Haddii waddada tunnelku dheer tahay ama xariirkiisu culays leh yahay, farqigu waxaa iska leh waddada, ma aha ereyga sirta.

Dooro siyaasadda gelitaanka ee adeeggu dhab ahaan u baahan yahay, ka dibna go'aanso haddii farqi la qiyaasay uu caddeeyo in la beddelo. Gudbin dadweyne waxay ku habboon tahay adeeg loogu talagalay internetka furan, oo leh xaddidaad isha, TLS cusub iyo ilaalin hortiisa. Gelitaan tunnel kaliya waxay ku habboon tahay qalab gudaha ah oo isticmaalayaashiisu hore u diiwaangashanaayeen, waase haddii marin-xariirka iyo oggolaanshaha codsigu labaduba ka cidhiidhi yihiin LAN oo dhan.

Ka hor intaadan naqshadda ku dhawaaqin inay dhammaatay, xaqiiji afar shay: dhageystuhu ku xiran yahay cinwaan kee, qaanuun ama waddo kee ayaa baakadda soo gasho, waddada ku noqoshada ma ka shaqaysaa cinwaanka dhabta ah ee macmiilka, iyo culaysyada waaweyn ma ka gudbaan MTU. Mid kasta oo iyaga ka mid ah amar ayaa kor ku yaal, midna ereyga ammaan ama shaxda ballaca xadhiga laguma jawaabo.

Maqaallo la xiriira