Ka leexi VPN-ka hal adeeg web maxalli ah oo keliya, deked ahaan

Hal adeeg martigeliyaha waa in uu internetka kaga jawaabaa xiriirka sare ee fiisigiga ah halka wax kasta oo kale oo mishiinka ku jira ay sii isticmaalayaan tunnel-ka. Saddex shuruudood ayaa go'aamiya haddii jidad-marinta ku salaysan siyaasadda ay qaadi karto culayskaas, mid kastana waa mid jaban in la hubiyo ka hor inta aadan qaanuun qorin. Adeeggu waa in uu ku dhammaadaa martigeliyahan oo aanu ka dambayn DNAT ama deked la gudbiyay, qaanuunnada VPN-ka laftiisu waa in ay oggolaadaan ka-tagga, oo waa in aad la ekaataa jawaabta ee aanay ahayn codsiga. Haddii mid ka mid ah saddexda uu guuldareysto, amarraha hoose waxay soo galayaan si nadiif ah laakiin wax faa'iido leh ma qabtaan.

Hubi saddexda shuruudood ka hor inta aadan qaanuun qorin

Weelka dekedda ku daabaca DNAT, ama server ka dambeeya gudbinta dekedda, wuxuu soo saaraa baakado aan ka soo bixin martigeliyahan. Baakadahaas waa la gudbiyaa, sidaas darteed qaanuun ku salaysan gelinta maxalliga ee martigeliyaha marnaba ma arko oo taraafikadu waxay sii qaadanaysaa waddada caadiga ah. Ka hor inta aadan sii wadin xaqiiji halka adeeggu dhab ahaan ku shaqeeyo, sababtoo ah kani waa shuruudda ay dadku ugu badan khaldamaan.

Shuruudda labaad waa siyaasad ee ma aha farsamo. Waddo kasta oo ka leexda tunnel-ka waa ka-tag ka mid ah ujeeddada tunnel-ka, martigeliyahan la maamulo go'aankaas waxaa iska leh kan leh siyaasadda, ma aha qofka hagaajinaya waqtiga dhammaadka.

La eko jawaabta, ma aha dekedda ujeeddada macmiilka

Jawaabta server dhageysanaya TCP 443 waxay ka tagtaa martigeliyaha iyada oo leh dekedda isha 443. Browser ku yaal isla martigeliyahan oo ku xirma bog HTTPS fog wuxuu dirayaa deked isha ku meel gaar ah iyo dekedda ujeeddada 443. Labaduba waa taraafikada dekedda 443 oo midkood keliya waa in uu qaataa shaxda WAN, taasina waa sababta is-waafajinta dekedda ujeeddada ay qaban lahayd qeybta khaldan.

Jihada jawaabtu waa waxa aad kala gartaan. La eko dekedda isha, ku xaddid qaanuunka baakadaha maxalliga ah, qaanuunkuna wuxuu daboolaa jawaabaha adeegga laftiisa isagoo aan taaban codsiyada browser-ka.

Dhis shax soo-celin buuxda ka hor inta qaanuunku uusan u tilmaamin

Shax madhan waxay ka dhigan tahay waddo ma jirto, taas oo u eg adeeg jaban halkii ay u ekaan lahayd siyaasad jaban. Marka hore buuxi, iyada oo leh lambar shax iyo mudnaan aan wax kale oo martigeliyaha ku jira sheeganayn:

ip -4 route add table 100 192.0.2.0/24 dev eth0
ip -4 route add table 100 default via 192.0.2.1 dev eth0
ip -4 rule add priority 1000 iif lo ipproto tcp sport 443 lookup 100

Lambarada ka akhri martigeliyaha nool halkii aad ka nuquli lahayd. ip -4 rule show wuxuu kuu sheegaa mudnaanta la qaatay, qaanuun ku darista mudnaan hore u jiray si aamusan ayay u beddeshaa nidaamka laba qaanuun oo mid kastaa gooni ahaan u eg yahay mid sax ah.

Halkan shaqada dhabta ah waxaa qabta laba door-qaate. iif lo waa sida kernel-ku u soo sheego baakadaha uu martigeliyaha laftiisu soo saaray, sidaas darteed qaanuunku si shil ah uma qaban karo taraafikada gudban ee ka yimaada bannaanka. ipproto tcp sport 443 wuxuu ku xaddidaa hal gaadiid iyo hal deked, taas oo u cidhiidhi sida shuruuddu u oggolaato. Ka saar door-qaadaha borotokoolka oo qaanuunku wuxuu kaloo qabanayaa UDP 443, taas oo ah adeeg kale oo leh dhaqan kale.

Jawaabaha gaarka ah ku hay tunnel-ka dhexdiisa

Haddii isla dhageyste uu sidoo kale u jawaabo macaamiisha dhinaca gaarka ah, waddada caadiga ah ee WAN oo shaxda 100 wax walba ku qabata waxay isku dayi doontaa in ay jawaabahaas dib ugu celiso xiriirka sare. Ku dar horgalayaasha gaarka ah ee aanay ahayn in ay raacaan caadiga WAN, ama u ogolow in ay u dhacaan qaanuunka siyaasadda ee xiga:

ip -4 route add table 100 throw 10.90.0.0/24

Waddada throw waxay soo afjartaa raadinta shaxdan oo waxay baakadda ku celisaa liiska qaanuunnada, sidaas darteed siyaasadda VPN ee xigta waxay heshaa fursaddeeda. Iyadu lafteedu waxba kuma jiido tunnel-ka, haddii aan qaanuun dambe lahayn waddo u dhiganta baakaddu wali way guuldareysanaysaa; xaqiiji siyaasadda xigta halkii aad ka fikiri lahayd in throw yahay hagaajin.

Shaandhaynta waddada gadaal iyo qaanuunnada darbiga dabka ee martigeliyaha ayaa wali khuseeya codsiga soo gaaraya. Eeg go'aammadooda dhabta ah ka hor inta aadan dabacsanayn xaqiijinta, sababtoo ah ka-tagga jidad-marintu kama dhigto rp_filter in uu aqbalo waddo soo-celin ah oo uu u arko mid aan macquul ahayn.

Tijaabi TCP, ka dib QUIC, ka dib dib-u-bilow

Fur hal xiriir oo ka yimaada macmiil bannaanka oo la ogolaaday iyo mid dhinaca gaarka ah, ka dib baadh raadinta jawaabta iyada oo la isticmaalayo cinwaannada iyo dekedaha dhabta ah. Haddii jawaabta bannaanka ay qaadato shaxda 100 oo tan gaarka ah aysan qaadan, siyaasaddu waxay qabanaysaa waxa aad codsatay.

HTTP/3 waxaa lagu bixiyaa UDP oo laguma waafajin doono qaanuun TCP, sidaas darteed dhageystaha QUIC wuxuu u baahan yahay door-qaade u gaar ah, haddii kale wuxuu sii isticmaali doonaa tunnel-ka inta HTTPS u shaqeynayo. Kaydi qaanuunnada aad ku degto qeybta leh interface-ka, oo xaqiiji iyaga ka dib dib-u-xirid ama cusboonaysiin DHCP. Marka maamule tartan ah uu tirtiro waddo waqtiga socodka ka dib dib-u-bilow, taasi waa dhibaato milkii ah oo lagu hagaajinayo isha, ma aha sabab lagu daro qaanuunnada NAT ballaaran oo dushiisa ah.