Xeerarka gelitaanka SSH iyo VPN: waxa liiska ogolaanshaha runtii maamulo

Raac hal xiriir oo ka yimaada macmiilka ilaa martigeliyaha: qabtee qabasho ayuu ka gudbaa, sababta hakad iyo diidmo ay u yihiin xeerar kala duwan iyo sababta diidmadu waligeed aanay siyaasad ahayn.

Hal mar ku xidh ka hor inta aadan beddelin xeer, oo qor haddii macmiilku hakado ama isla markiiba la diido. Farqigaas keliya ayaa kuu sheegaya go'aankee baakadda tuuray, oo badbaadiya saacad akhrin ah oo faylal siyaasad ah. Safarka intiisa kale waa gaaban: baakaddu waxay ka gudubtaa qabato, waxay la kulantaa xeer, oo waxay gaartaa dhegeyste ama ma gaarto. Liiska ogolaanshaha waa uun xisaab-qaadis ku wareegsan saddexdaas xaqiiqo.

Raac hal isku-day SSH ilaa qabato gelitaanka

Macmiilku wuxuu SYN u diraa cinwaanka martigeliyaha dekedda 22, oo kernelku wuxuu go'aansadaa haddii baakaddaasi ay u tahay adeeg maxalli ah. Haddii ay tahay, waddada gelitaanku way socotaa oo xeerarku waxay aqbalaan baakadda ama tuurayaan. Aamusnaantu waxay ka dhigan tahay in SYN uu dhintay ka hor inta uusan dhegeystuhu arkin, halka diidmo degdeg ah ay ka dhigan tahay in wax ugu jawaabeen dib-u-dejin. Kuwani waa xukuno kala duwan oo ka yimid xeerar kala duwan, oo labaduba waa natiijooyin sharci ah.

Kadib xaqiiji dhegeystaha, maxaa yeelay ma jiro xeer badbaadin kara adeeg aan jirin. Socodsii ss -ltnp oo hubi in wax ku xidhan yihiin dekedda iyo qoyska cinwaanka aad filayso, kadib akhri ssh -v macmiilka si aad u aragto halka uu joogsado.

Gudbintu waa go'aan gaar ah

Server VPN, qabatada xiisaha badan waa forward, maxaa yeelay taraafikada macmiilka waxaa lagu maraa mishiinka halkii la gaarsiin lahaa. Martigeliyaha kaliya socodsiiya macmiilkiisa VPN wuxuu u baahan yahay xeerar aad u yar marka la barbar dhigo kan gudbiya baakadaha dadka kale. Isku darka labada naqshad mishiin keliya waxay soo saartaa xeerar u eg kuwa sax ah oo aan waxba dhaqin.

Qor siyaasadda gudaha su'aal gaar ah: cinwaannada macmiilka kee ayaa gaari kara meelaha kee iyada oo loo marayo tunnelka. Hay waddada maamulka, sida SSH, waddada gelitaanka oo leh xaddidaad isha u gaar ah. Xeerta forward ee dabacsan ee lagu daro inta lagu jiro tijaabada waa cilladda caadiga ah ee ka badbaadda tijaabada, marka isbeddelka kadib dib u eeg xeerarka oo dhan halkii aad ka eegi lahayd sadarka aad tafatirtay. Furitaanka dhegeystaha tunnelku ma aha ogolaansho in macmiil kasta oo ku xiran uu maamulo martigeliyaha.

Tuurista iyo diidmadu waa ficillo, ma aha siyaasado

Siyaasadda silsiladda aasaasiga ah way aqbashaa ama way tuurtaa, oo taasi waa liiska doorashooyinka oo dhan, sida sheegay tixraaca nftables. Diidmadu waxay u jirtaa ficil xeer leh jawaab la doortay, taas aawadeed in loo qoro siyaasad ahaan way ku guuldareysataa nftables iyo iptables labadaba. Ficil ahaan drop ma siiyo macmiilka wax macluumaad ah, halka reject uu siiyo qalad uu wax kaga qaban karo.

table inet admin {
    chain input {
        type filter hook input priority filter; policy drop;
        ct state established,related accept
        ip saddr 203.0.113.0/28 tcp dport 22 accept
        udp dport 51820 accept
        icmp type { destination-unreachable, time-exceeded } accept
    }
}

Akhri sawirkaas sida qaabka go'aan halkii ay ka ahaan lahayd fayl lagu dhejiyo, maxaa yeelay xadka cinwaannadu waa tusaale. Reject cad oo dekedda SSH ah wuxuu macmiil aan la ogolayn ku guuldareystaa hal ilbiriqsi gudahood halkii uu sugayay waqti-dhaaf, taas oo gaabisay kala-saaristaada. Aamusnaantu waxay ka niyad-jabisaa iskaan aan qorshaysnayn oo wax ma sheegto isticmaalaha la ogolaaday. U dooro adeeg kasta oo qor sababta, haddii kale qofka xiga wuu soo celin doonaa.

Hay taraafikada kontoroolka ee aad runtii u baahan tahay

Xannibaadda ICMP oo dhan waa caado caan ah oo jebisa ogaanshaha MTU ee waddada, calaamadduna waa xiriir yimaada oo kadib ku hakada baakadaha waaweyn. Ogaanshaha deriska ee IPv6 wuxuu ku tiirsan yahay noocyada ICMPv6 u gaar ah, tuuristooduna waxay jebisaa xiriirka ka hor inta aan xeer TCP ah la eegin. Labaduba waxay ku qoran yihiin liiska ogolaanshaha sida ku-tiirsanaan magac leh oo aan ahayn ogolaansho guud. Siyaasad aamusan u jebisa ogaanshaha ayaa ka xun tan ogolaata wax yar oo taraafikada cilmi-baaris ah.

U ogolow xaaladaha established iyo related xiriirrada aad adigu bilowday, oo u dhaaf jawaabaha mishiinka xaaladda garanaya. Kadib xaqiiji in waddada jawaabtu aysan xanniban meel ka sii fog, maxaa yeelay xaddidaad kaliya ku ah taraafikada baxa ee kor ku xusan waxay soo saartaa isla waqtiga-dhaafka aad ku eedayn lahayd martigeliyaha.

Caddee soo-kabashada ka hor inta aadan ka tagin waddada hore

Hay fadhi konsol ah oo furan, ku dhaqan geli isbeddelka oo fur xiriir maamul oo gabi ahaan cusub oo ka yimaada terminal kale. Fadhiga jira waxba ma caddeeyo, maxaa yeelay waxa uu ka badbaadi karaa xeer xanniba gelitaan kasta oo cusub, taas oo ka dhigta beenta ugu qancin badan shaqada dab-damiska. Haddii nidaam la-socod uu hubiyo martigeliyaha, ku dar cinwaanka isha ka hor isbeddelka ee ha ku darin ka dib digniinta kowaad. Kadib tijaabi hal baakad weyn iyo mid yar si aad u caddayso in ogaanshuhu weli shaqeeyo.

Adeeg VPN, ku celi macmiil aan waligiis xiriirin, maxaa yeelay fadhi dib loo bilaabay waxa uu isticmaali karaa xaalad ay tahay in mid cusub ka wada-hadlo. Qor xeerarka saxda ah ee gudbay, oo wata checksum ama nuqul, si wax-ka-beddelka dambe loo barbardhigo halkii la qiyaasi lahaa. La xiriir qofka leh nidaamka xeerarka, maxaa yeelay xeer hore ayaa aamusnaan kaga guulaysta kii aad ku dartay.

Maqaallo la xiriira