Kill switch ku yaal router-ka oo daboolaya FORWARD, OUTPUT iyo IPv6

Waxaad galtaa router-ka, waxaad dhejisaa xeerar kill switch ah oo ka timid qoraal forum, LAN-na waxay joojisaa baaritaanka isla markii tunnel-ku dhaco. Laba maalmood ka dib router-ku weli wuxuu cusboonaysiinayaa diiwaanka DNS dynamic-ga ah ee uu ku sameeyo WAN-ka caadiga ah, laptop-ka martida-na weli wuxuu gaaraa bogagga IPv6. Labada dhaqan waa caadi, sababtoo ah xeerarka la dhejiyay waxay daboolayeen hal silsilad iyo hal qoys cinwaan, mana jiro midkood oo ah router-ka oo dhan. Marista waddooyinka baakadaha si taxane ah waxay si sax ah u muujinaysaa waxa la seegay.

Ka bilow router-ka, ha ka bilownin laptop-ka

Siyaasad heer router ah ayaa soo jiidasho leh xafiis yar sababtoo ah qalab kasta oo ka dambeeya wuxuu dhaxlaa isla dhaqankaas mana jiro qof illoobi kara inuu shido shidaha macmiilka. Waxay sidoo kale ku siinaysaa hal meel oo aad ku tijaabiso kadib cusboonaysiin kasta oo firmware ah. Waxa aysan ku siinayn waa daboolka otomaatiga ah ee taraafikada router-ka laftiisa ama qoys cinwaan labaad, kuwaasna waa labada god ee ka dambeeya inta badan hirgelinta fashilantay.

Ka hor inta aadan wax beddelin, ku qor saddex xaqiiqo warqad: magaca interface-ka WAN, magaca buundada LAN, iyo cinwaanka iyo dekedda barta dhammaadka VPN. Saddexda oo dhan waxaad uga baahan doontaa xeerarka, iyo qiyaasidda magacyada interface-ka ayaa ah sababta ugu badan ee xeerar u eg sax aan waxba qaban.

Mar waddooyinka saddexda ah ee baakaddu qaadan karto

Taraafikada laptop-ka ilaa internet-ka waa la gudbiyaa, sidaas darteed waxay maraan silsiladda FORWARD. Taraafikada uu router-ku isagu soo saaro, sida gudbinta DNS, weydiimaha NTP, cusboonaysiinta DDNS iyo kanaalka kontoroolka VPN, waxay maraan OUTPUT. Taraafikada maamulka ee router-ka loo dirayo waxay soo galaan INPUT.

Sidaas darteed kill switch lagu dhisay FORWARD oo keliya wuxuu difaacaa macaamiisha oo wax kale ma difaaco. Shaxdu waxay muujinaysaa sababta daadashada goobta furitaanka ay tahay mid la saadaalin karo oo aan sir ahayn.

Inta badan naqshadaha uma baahnid kill switch INPUT, laakiin waa inaad sii waddaa gelitaanka maamulka oo shaqeeya inta tunnel-ku damisan yahay. Haddii kale, markii ugu horreysay ee VPN-ku fashilmo waxaad u kaxaysanaysaa xafiiska fiil console ah.

Habee qawaaniinta si tunnel-ku weli u soo bixi karo

Kill switch shaqeeya waa liis ogolaansho oo ku dhammaada diidmo, iyo nidaamka ayaa ka dhigaya kill switch halkii uu ka ahaan lahaa leben. Marka hore ogolow loopback, barta dhammaadka VPN, jawaabaha qulqulka la aasaasay iyo interface-ka tunnel-ka; diid inta kale ugu dambayn.

iptables -A OUTPUT -o lo -j ACCEPT
iptables -A OUTPUT -d 198.51.100.7 -p udp --dport 51820 -j ACCEPT
iptables -A OUTPUT -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -o wg0 -j ACCEPT
iptables -A OUTPUT -o eth0 -j REJECT

Barta dhammaadku waa inay tahay cinwaan markan, ma aha magac martigeliye. Marka diidmada ugu dambaysa ay xannibto DNS, xeer sheegaya magaca martigeliyaha bixiyaha lama xallin karo, iyo tunnel-ku waligiis ma soo baxo dib u bilaabid ka dib. Haddii bixiyuhu beddelo barta dhammaadka, xalli magaca ka hor inta siyaasadda la dabaqin oo cusboonaysii xeerkaas isla script-ka.

Ka koobi qaabka FORWARD taraafikada macaamiisha, oo dhig xeer maamul oo cad ka sarreeya diidmada. Xeerkaas maamulka ku hay mid cidhiidhi ah laakiin la gaari karo, oo ku xaqiiji adigoo furanaya fadhi SSH labaad ka hor inta aadan xidhin kii ugu horreeyay. Inaad is xidho inta lagu jiro beddelka kill switch waa wax caadi ah oo qorshe loo sameeyo. Router-ka WireGuard ku shaqeeya, allowed-ips-ka lammaanaha ayaa go'aamiya waxa tunnel-ka soo gala, halka xeerarkaan ay go'aamiyaan waxa loo ogol yahay inuu baxo isaga la'aan.

IPv6 waxay u baahan tahay albaabkeeda

Wax kasta oo kor ku qoran waa IPv4. Haddii LAN-kaagu leeyahay IPv6 shaqeeya oo tunnel-ku qaado IPv4 oo keliya, qalab kasta oo la daboolay weli wuxuu leeyahay waddo toos ah oo internet-ka ah oo aan xeerarkaaga cusub waligood arkin. Laptop laba-stack ah ayaa si farxad leh u dooran doona, kill switch-kuna wuxuu u muuqan doonaa mid jaban oo keliya qofka IPv4 ku tijaabinaya.

ip6tables -A FORWARD -i br-lan -j REJECT
ip6tables -A OUTPUT -o eth0 -j REJECT
ip6tables -A OUTPUT -o lo -j ACCEPT

Halkan sidoo kale nidaamka ayaa muhiim ah: ogolaanshaha loopback waa inuu ka horreeyaa diidmada WAN, haddii kale adeegyada maxalliga ah ee router-ka waxay bilaabaan inay si qariib ah u fashilmaan. Haddii shabakaddu aanay IPv6 isticmaalin gabi ahaanba, in laga damiyo WAN iyo LAN ayaa fudud oo waxba ma reebto in la illoobo.

Qaar ka mid ah macaamiisha VPN waxay rakistaan waddo caadi ah oo IPv4 oo keliya ah waxayna u daayaan waddada caadiga ah ee IPv6 mid aan la taaban. Hubi shaxda mariinka kadib marka tunnel-ku xirmo halkii aad ka fikiri lahayd in macmiilku wax ka qabtay.

Ku caddee tunnel-ka oo damisan

Jooji tunnel-ka router-ka oo ka tijaabi saddex meelood nidaamkan:

# systemctl stop wg-quick@wg0
# ip route get 203.0.113.1
# curl -m 5 -sS http://example.com || echo blocked
# iptables -vnL OUTPUT | head
# ip6tables -vnL OUTPUT | head

Raadinta waddada waxay kuu sheegtaa halka baakaddu aadi lahayd, tiriyayaashuna waxay kuu sheegaan haddii xeerarkaagu waligood ku habboonaadeen. Xeer aan lahayn baakad tir ka dib tijaabo fashilantay waxba ma difaaco, sababta caadiguna waa magac interface oo ka duwan kii aad qortay. Si cad u tijaabi taraafikada uu router-ku soo saaro, sababtoo ah tijaabada dhinaca LAN ma tijaabin karto OUTPUT.

Go'aanso qaabka fashilka ka hor inta aadan u baahnin. Fail-closed wuxuu macaamiisha ku hayaa offline ilaa tunnel-ku soo noqdo; fail-open wuxuu soo celiyaa gelitaanka WAN caadiga ah oo wuxuu baal-mariyaa ujeeddada taraafikada aad danaynayay. Waddo blackhole ah oo tagta barkada VPN oo leh metric sare waa lakab labaad faa'iido leh naqshadaha fail-closed, maadaama ay sii noolaato marka waddada tunnel-ku libdhanto halkii ay ku noqon lahayd tii caadiga ahayd.

Aqbal habaynta oo keliya marka macmiilka LAN, codsi uu router-ku soo saaray iyo codsi IPv6 dhammaantood fashilmaan tunnel-ka oo damisan, oo saddexdaaba ay mar kale shaqeeyaan marka uu soo baxo.