Qalabka joojinta UFW ma xannibayaa VPN-kaaga? U oggolow lammaanaha

Waxaad raacday liiska hubinta: diid bixidda, fasax tunelka, kici ufw. Kadib macmiilka wuxuu sugayaa is-gacan-qaadka oo waligiis ma xirmo, ama wuu xirmaa oo bog ma soo dhicin. Labada guuldarro waxay ka yimaadaan meel bannaan oo isku mid ah. Sharciqa u oggolow tunelka inuu jiro ayaa maqan, sababtoo ah tunelku ma aha interface kaas oo baakadahaagu ka baxaan.

Sababta fasax ku yaal tun0 uusan bilowgii wax u dhigmin

tun0 waxaa abuura macmiilka kadib markii jirto fadhi. Datagram-ka dhisto fadhigaas waa baakado UDP caadi ah oo loo diray bixiye ku yaal port 1194, waxayna ka baxaan wlan0 ama eth0 iyagoo wata cinwaanka isha jirka. allow out on tun0 wuxuu la mid yahay oo kaliya taraafikada interface-ka bixiddiisu tahay tun0, sidaas darteed inta lagu jiro is-gacan-qaadka wax la mid ah ma aha.

Dhig default deny outgoing korkiisa oo baakadaha dibadda waa la tuuraa ka hor inta uusan interface-ku soo muuqan. Macmiilku mar labaad buu isku dayaa, waqtigu wuu dhammaadaa wuxuuna soo sheegaa TLS ama guuldarro is-gacan-qaad, taasoo dadka u dirta inay ka dhex baadhaan shahaadooyinka iyo MTU halka dab-damiska uu aamusan u cunayo xiriirka. Sharciga loogu talagalay inuu xakameeyo taraafikadaada ayaa ka hortagaya in taraafikadaas la xakameeyo.

Hagaajinta milicsiga ah waxay daadashada ka dhigtaa mid joogto ah. sudo ufw allow out on wlan0, ama in habdhiska caadiga ah dib loogu celiyo fasax, waxay kor u qaadaa tunelka oo ka tagtaa mishiinka oo aan lahayn qalab joojin: marka xigta ee tunelku dhaco, wax walba waxay ku sii socdaan adapterka jirka. Waxaan lumiyay galab gebi ahaan labadaas beddel, ka hor intaanan ogaadin baakadka aan run ahaantii shaandheynayay.

Waxa ay u baahan yihiin labada kooxood ee baakadaha

Taraafikadaadu waxay laba jeer, laba qaab uga gudubtaa dab-damiska. Baakadda gudaha waxay ka socotaa cinwaanka tunelka dibadda iyada oo u maraysa tun0. Baakadda dibadda waxay ka socotaa cinwaanka jirka ilaa lammaanaha, waana waxa kaliya ee laga arko xarigga. Hal sharci qaab kasta:

sudo ufw allow out on tun0
sudo ufw allow out to 203.0.113.10 port 1194 proto udp
sudo ufw allow out to 203.0.113.10 port 443 proto tcp comment 'tcp fallback'

Ku beddel cinwaanka iyo port-ka kuwa ku jira profile-kaaga. Lammaanaha WireGuard badanaa waxay ku jawaabaan 51820/udp; profile-ka OpenVPN ee dhex mara TCP 443 waxay u baahan yihiin port-kaas beddelkiisa. Faahfaahintu way kala duwan tahay, qaabku ma aha: labada sharci waa cidhiidhi, oo si wadajir ah waxay qeexaan meelaha kaliya ee mishiinku gaadhi karo inta tunelku hoos yaal.

Nidaamku waa khuraafaadka labaad. Iptables ceyriin ah waxaad akhridaa silsiladda kor ilaa hoos oo waxaad ka fikirtid sharci kee baxo. ufw ma aha duubid khafiif ah oo ku wareegsan liiska aad qortay; waxay sharciyadaada uga dhigtaa silsilado u gaar ah oo doorataa meelaha lagu daro. ufw status waxay ku daabacdaa nidaamka ufw, ma aha kaaga. Marka sharci uu u eg yahay mid la iska indhatiray, isbarbardhig ufw show added iyo kooxda la soo ururiyay ee ka timid iptables -S | grep ufw ka hor intaadan wax dib u qorin.

Ka-bixidda waa inay ahaataa ballac hal cinwaan

Sharciga lammaanuhu waa sax oo kaliya inta uu magacaabo cinwaanka macmiilku waco. Bixiyeyaashu waxay rogaan barta ugu dambeysa, profile-ka xalliya magaca martigeliyaha wuxuu raaci doonaa isbeddelka DNS oo u guuri doonaa cinwaan cusub halka sharcigu uu weli tilmaamayo kii hore. Marka tunel bilooyin shaqeynayay uu joojiyo soo bixidda, isbarbardhig cinwaanka sharciga iyo kan macmiilku raadinayo ka hor intaadan wax ballaarin.

Ballaarinta ilaa subnet dhan, ama ilaa meel kasta oo ku taal port 1194, waxay siyaasadda dib ugu celinaysaa dab-damis leh god. Ka-bixidda waa qalabka joojinta; marka uu ballaaranaado, wax la joojiyo ma hadho. Ku hay hal cinwaan oo ka tag faallo magacaabaysa profile-ka iyo bixiyaha uu ka tirsan yahay, sababtoo ah lix bilood ka dib cinwaanku wuxuu u ekaan doonaa mid aan loo baahnayn.

Xallinta magacyada waxay mudan tahay safkeeda. Raadinta waxay dhacdaa ka hor inta uusan tunelku jirin, iyada oo u maraysa interface-ka jirka, sidaas darteed siyaasad adag oo diidaysa bixidda waxay ka tagi kartaa macmiilka inuu awoodi waayo inuu helo serverkiisa. U oggolow port 53 cinwaanka xalliyahaaga, ama hal mar xalli oo ku dheji cinwaanka profile-ka. U oggolaanshaha DNS interface kasta waa go'aan, ma aha wax caadi ah.

Dhis siyaasadda ka hor inta tunelka loo baahnayn

ufw enable waxay codsatay siyaasadda oo dhan hal mar oo dib u soo dejisay silsiladaheeda, iyo beddelka siyaasad caadi ah oo ku taal dab-damis shaqeynaya ayaa sidoo kale dib u soo dejiya. buugga ufw wuxuu digniin ka bixiyaa in tani ay tuuri karto xiriirada jira sida SSH. Sidaas darteed amarrada waxay u socdaan nidaamkan, iyadoo sharciga SSH kahor kicinta iyo fadhi console oo furan:

sudo ufw default deny incoming
sudo ufw default deny outgoing
sudo ufw allow out on tun0
sudo ufw allow out to 203.0.113.10 port 1194 proto udp
sudo ufw allow 22/tcp
sudo ufw enable
sudo ufw status verbose

ufw reset si ula kac ah ayaa looga tagay blockkaas. Waxay tirtirtaa sharci kasta oo joojisa dab-damiska, iyo martigeliyaha fog kicinta xigta ayaa ah waxa tuuraya fadhigaaga. Haddii aad si kastaba dib u habeyn, ku dar sharciga SSH oo xaqiiji jid labaad oo dib ugu soo laabasho iyada oo loo marayo console ka hor intaadan sii socon.

Nidaamku ma aha mid qurxin ah. Sharciyada lagu daray inta ufw shaqeynaya waxba ma nadiifiyaan, laakiin daqiiqada aad rogto siyaasad caadi ah silsiladaha dib ayaa loo soo dejiyaa, fadhiga ay siyaasaddii hore ogolaatayna way la tagaa. Samee caadiga, fasaxyada iyo kicinta hal mar, inta aad weli haysato jid gudaha ah oo aan ku tiirsanayn mishiinka.

Tijaabi xaaladda la xannibay, oo hayso dib u celinta

Qalab joojin aan la tijaabin waa qiyaas. Si ula kac ah u gooy macmiilka oo isku day inaad bog soo dejiso: waa inuu fashilmaa. Dib u xir oo waa inuu ka soo kabsadaa isagoo aan taaban sharciga. sudo ufw status verbose waxay xaqiijisaa caadiga iyo xaaladda diiwaangelinta, iyo ufw status numbered waxay muujinaysaa sharciga tijaabada ah ee la tirtirayo marka uu ka baxo ujeeddadiisa.

Hayso qoraalka rogan ee ku xiga kan hore. Mishiin leh diidmo bixin iyo tunel dhintay ma soo dejisan karo dayactirkiisa, sidaas darteed dib u celinta waa inay ku taal diskiga oo laga akhriyi karo console:

sudo ufw reset
sudo ufw default deny incoming
sudo ufw default allow outgoing
sudo ufw enable

Ku socodsii marka tunelku horey u hoos yaal oo sharciyada la qaadayo, ma aha tallaabo caadi ah. Ka hor intaadan xirmin terminal, afar wax waa inay run yihiin: sharciga lammaanuhu wuxuu magacaabaa hal cinwaan oo sax ah, DNS waxay leedahay ka-bixin magac leh, kicinta waxay timid fasaxyada ka dib, iyo jiidista tunelku waxay dishaa taraafikada caadiga ah iyada oo aan macmiilka marnaba dilin.