Xaddid qaanuunka SNAT ee OpenVPN ka hor inta uusan jebin nginx

Laba cilladood ayaa had iyo jeer ka yimaada isla nooc host ah. Midda koowaad macaamiishu way xaqiijiyaan kadibna waxba kama gaaraan tunnel-ka dibadiisa. Midda labaad VPN-ku wuu soo baxaa oo website-ka serverka laftiisu wuu joojiyaa ka jawaabista, taas oo ah tan ugu walaaca badan sababtoo ah waxay u eg tahay dhibaato dhinac ah. VPS ku salaysan container-ka labaduba waxay inta badan ku noqdaan isla liiska gaaban ee hubinta, iyo nidaamka ayaa muhiim ah: qalabka marka hore, tarjumaadda labaad, baaxadda saddexaad.

Xaqiiji in container-ku abuuri karo qalab tun

Wax kale ma muhiim haddii interface-ka tunnel-ku aanu jiri karin. Hubi in /dev/net/tun uu jiro iyo in abuurista qalab tijaabo ah ay guulayso, sababtoo ah bixiyeyaasha badan waxay tun ku damiyaan container-yada si caadi ah. Wax shaqo firewall ah ma magdhabo qalab aan waligii la abuurin.

Haddii qalabka maqan yahay, kaliya host-ka ama bixiyaha ayaa karti u leh inuu daaro. Qorshe kale ayaa inta badan ka jaban qoraal taageero furan oo toddobaad socda. Xaqiiji tan ka hor inta aanad akhrin hal khad oo log OpenVPN ah. Haddii kale waxaad habeenka ku qaadan doontaa hagaajinta qaanuunno aan waligood arkin baakad.

Go'aanso waxa MASQUERADE ku sameeyo interface-kan

Mashiin fudud oo virtual ah qaanuunka bixitaanka caadiga ah waa POSTROUTING MASQUERADE oo ka yimaada interface-ka ugu weyn. Container OpenVZ qalabka la arko badanaa waa venet0, interface virtual ah oo uu maamulo host-ka oo aan ahayn NIC la maroojiyay, MASQUERADE-na halkaas si joogto ah uma dhaqmo sida casharrada u malayn.

Qaabka shaqeynaya waa tarjumaad cad oo loo jeediyo cinwaanka macaamiishu horey u gaadhaan, iyadoo gudbinta labada dhinac loo ogol yahay. Beddelka pool-ka ee ka yimaada habaynta server-ka ayaa muhiim u ah sida beddelka cinwaanka. Akhri khad kasta ka hor inta aanad dhejin.

iptables -t nat -A POSTROUTING -o venet0 -s 10.8.0.0/24 -j SNAT --to-source 203.0.113.10
iptables -A FORWARD -i tun0 -j ACCEPT
iptables -A FORWARD -o tun0 -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT

Qaanuunnada gudbinta la'aan tarjumaaddu way dhacdaa oo kernel-ku wali wuu diidaa inuu gudbiyo. Isku darkaas wuxuu abuuraa xaalad jahwareer leh oo tirakoobka qaanuunka NAT kor u kaco halka macmiilku waxba helin. Labada khad ee FORWARD sidoo kale waa inay ka horreeyaan qaanuun kasta oo drop ah oo ballaaran oo isla silsilad ah. Nidaamku waa qayb ka mid ah habaynta, ma aha faahfaahin fulineed.

Ku xaddid qaanuunka hal pool iyo hal interface

Calaamadda labaad sabab kale ayay leedahay: qaanuun POSTROUTING oo aan lahayn xaddidasho isha ama xaddidasho bixitaanka. Qaanuunkaas oo kale wuxuu dib u qoraa baakad kasta oo ka baxa host-ka.

Adeegyada ku tiirsan isha asalka ah markaas si khaldan ayay u dhaqmaan. Server web oo ka dambeeya proxy maxalli ah wuu joojin karaa jawaabista, dib u bilaabistiisuna waxba ma beddesho sababtoo ah qaanuunka wali jidka ayuu ku jiraa. Sidoo kale waxaa saameeya taraafikada host-ku u diro cinwaankiisa guud, taasina waa sababta ciladdu u ekaan karto dhibaato DNS ama shahaado oo aan ahayn firewall. Qaanuunka waxaa kalsooni leh in lagu daray si loo hagaajiyo calaamadda koowaad.

Xalku waa in iswaafajinta lagu cidhiidhiyo pool-ka tunnel-ka iyo interface-ka bixitaanka, kadibna hal qaanuun loo daro pool kasta halkii hal qaanuun la ballaarin lahaa si dhowr loo daboolo.

Qaanuunnada ka dhig kuwo joogto ah oo ogaado cidda kale leh

Qaanuunnada gacan lagu daray way baaba'aan marka dib loo bilaabo, markaa ku kaydi iptables-save ama ku maamul netfilter-persistent halka uu ku rakiban yahay. Xaqiiji in soo celinta ay socoto ka hor inta OpenVPN uusan bilaaban. Kadib hal mar ula kac dib u bilow halkii aad ka heli lahayd farqiga inta lagu jiro dhacdo.

Host container-ka, sidoo kale xaqiiji in faylka joogteynta uu ku jiro kaydka container-ka ee la qori karo iyo in bixiyuhu uusan beddelin shaandhaynta marka la kiciyo. Qaar ka mid ah platform-yada waxay siyaasadda ku maamulaan container-ka dibadiisa, halkaas oo qaanuunnada maxalliga ah la iska indhatiro ama ay la dagaallamaan kuwa host-ka laftiisa.

Ku xaqiiji tirakoobka iyo hal qulqul oo la qabtay

Macmiil ku xiran, hubi cinwaanka guud ee ay soo sheegto adeeg dibadeed. Haddii uu la mid yahay cinwaanka server-ka, tarjumaaddu way shaqaynaysaa; haddii kale, baakadku wuxuu ku baxaa waddo kale ama ma baxayo haba yaraatee. Kadib tijaabi adeeg lagu martigeliyay server-ka iyo mid ku jira internet-ka guud, sababtoo ah waxay maraan waddooyin kala duwan isla qaanuunnadaas.

Server-ka, akhri tirakoobka baakadka ee qaanuunnada NAT iyo FORWARD iptables -t nat -L -v -n kadibna daawo hal qulqul oo duubis ah. Haddii cinwaanka macmiilku ka muuqdo duubista oo jawaab la'aan, farqigu wuxuu ku jiraa waddada soo noqodka ama shaandhaynta bixiyaha, ma aha profile-ka macmiilka. Isbarbar dhig isha la qabtay iyo cinwaanka qaanuunku u tarjumayo, sababtoo ah iswaafaq la'aantu waxay la macno tahay in qaanuun kale uu marka hore waafaqay. Hal qulqul oo la arkay ayaa xalliya wax ka badan bog akhris habayn ah.

Ku hay pool-ka, cinwaanka la tarjumay iyo magaca interface-ka wadajir diiwaanka isbeddelka. Qaanuun sax u ah hal pool si khaldan ayuu u tarjumaa kan xiga.