Halka NAT-ka VPN uu ku yaal before.rules ee UFW iyo sida loo tijaabiyo

Xeerka NAT ee shaqeeya marka shell lagu qoro wuu guuldarraystaa marka before.rules lagu dhejiyo, sababtoo ah faylkaas ma aha script. Waa dukumeenti qaab soo-celin leh oo leh qaybo shaxan, caddayn silsilad iyo calaamad COMMIT shax kasta. Sadar meel khaldan ku yaal wuxuu ama joojinayaa soo-celinta oo dhan ama si aamusnaan ah u tuurayaa xeerar aad u maleysay inay jiraan. Hagaha hoose wuxuu qaybta dhigayaa meesha ay qaab-dhismeedka filanayso wuxuuna caddeeyaa natiijada ka hor dib-u-rarista xigta.

Amarka shell ma aha fayl soo-celin

Sadar ku bilaabma iptables -t nat waa tilmaan loo dirayo binary-ga iptables, halka faylka UFW akhriyo uu yahay sharaxaad xeerar buuxa. Farqiga ma aha mid muuqaal ah: qaabka soo-celinta waa inuu ogaado shax tee ku jiro, silsilado tee jiraan iyo halka shaxku ku dhammaado. Amarka dukumeentigaas lagu dhejiyo waa ama khalad syntax ama, kaas sii xun, xeer ku xiran shax khaldan. Qaab-dhismeedku faylashaas wuxuu ku rarayaa qalabka soo-celinta sababtoo ah waa caddayn, ma aha isku-xigis.

Dukumeentiga sidoo kale waa la raraa isagoo dhan, sidaas darteed qayb khaldan ayaa joojin kartaa adeegsiga inta ka hartay faylka. Sidaas darteed khalad yar oo ku jira qaybta NAT wuxuu la soo dejiyaa xeerarka shaandhaynta, oo sidaas ayay isbeddelka firewall u noqdaa hakad.

Qaybta ku dhex dhig qaybta shaxda jirta

Qaybta NAT waxay leedahay qaab, qaabkuna waa muhiim ka badan qoraalka xeerka gudaheeda. Madaxa shaxku wuxuu furaa qaybta, caddaynta silsiladaha waxay dhistaa tiriyayaasha, xeerarku way xigaan, COMMIT-na wuxuu xiraa qaybta.

*nat
:POSTROUTING ACCEPT [0:0]
-A POSTROUTING -s 10.55.0.0/24 -o ens3 -j MASQUERADE
COMMIT

Kooxda iyo interface-ka sare waa meelo lagu beddelo qiimayaashaada; qaab-dhismeedka waa qaybta mudan in la koobiyaan. Haddii faylku horey u leeyahay qayb *nat, ku dar xeerka gudaheeda halkii aad furi lahayd mid labaad, sababtoo ah qaabku wuxuu filayaa hal COMMIT shax kasta, laba qayb oo isla shax ahna waa dayactir sugaya inuu dhaco. Hayso caddaynta silsiladaha qaybinta oo aan taaban, oo ay ku jiraan kuwa uu iibiyuhu ku daray isku-xirkiisa. Buugga qaab-dhismeedka UFW wuxuu qorayaa faylasha before, user iyo after iyo shuruudda COMMIT u dhigma.

Haddii faylku madhan yahay, ha ka buuxin cashar. Xaqiiji baakaddee iska leh iyo siyaasadda firfircoon dhab ahaan waa maxay, sababtoo ah fayl joogto ah oo madhan ma caddeeyo in kernel-ku aanu xeerar haysan, xeerar la rarayna ma caddeeyaan in dib-u-rarista xigta ay yeelato fayl buuxa oo la akhriyo. Marka hore soo celi aasaaska la taageeray, kadibna dib ugu dhaqan geli isbeddellada goobta.

Tijaabi musharaxa adigoon adeegsan

Qalabka soo-celintu wuxuu baadhi karaa oo dhisi karaa xeerar isagoo aan adeegsan, taasna waa tijaabada ugu jaban ee la heli karo. Ku socodsii nuqul la ilaaliyay halkii faylka nool, oo akhri qoraalka khaladka ee aan ahayn oo kaliya xaaladda bixitaanka. Guuldarraysta baadhista waxay sheegtaa sadar iyo inta badan shax, taas oo ka badan waxa dib-u-raris guuldarraysatay kuu sheegi doonto.

sudo cp /etc/ufw/before.rules /root/before.rules.bak
sudo iptables-restore --test < /root/before.rules.bak
echo "exit: 0"

Ka gudubka hubintaas wuxuu caddeeyaa in dukumeentiga la baadhay iyo wax kale ma aha. Ma caddeeyo in musharaxu weli ka kooban yahay silsilad kasta oo UFW ku tiirsan yahay, inuu kaliya ogolaanayo ilaha aad ula jeedo, ama in maamulka fog uu sii gaari karo. Kuwani waa dib-u-eegisyo gaar ah, kan ugu dambeayana wuxuu mudan yahay fadhi labaad oo la furo ka hor intaadan bilaabin.

Dooro qalabka u dhigma backend-ka la rakibay iyo qoyska cinwaanka. Martigeliyaha ku socodsiiya backend-ka nft lakabka iswaafajinta wuxuu u baahan yahay amarka u dhigma, xeerarka IPv6-na waxay ku nool yihiin fayl gabi ahaan kale.

Kala hay gudbinta, NAT iyo siyaasadda gelitaanka

Turjumaadda ilku waxay xallinaysaa mushkilad cinwaan oo waxba ma bixiso. Gudbintu waa fasax gaar ah oo ay maamulaan sysctl iyo shaxda shaandhaynta, waana tan dadku illoobaan marka tunnel-ku waddo laakiin aanu taraafikada gudbin. Siyaasadda gelitaanku waa go'aan saddexaad oo ku saabsan ilaha tee gaari karaan adeegyada tee, mana jiro xeer NAT oo qeexaya. Saddexdaas kala haynta ayaa ka dhigta guuldarraysta mid la ogaado halkii calaamad mugdi ah.

sysctl net.ipv4.ip_forward
sudo iptables -t nat -S POSTROUTING
sudo iptables -S FORWARD

Akhri saddexdaas soo-saarisyaal wada, ma aha mid mid. Xeerka masquerade oo gudbin damisan wuxuu soo saaraa macmiil isku xira oo aan meelna gaarin, taas oo dhinaca macmiilka uga muuqata sida khalad waddo oo dadka u diraya faylka khaldan. Shaxda shaandhayntuna waa meesha accept aad u ballaaran ku dhuunto, marka intaad halkaas joogto hubi siyaasaddeeda caadiga ah.

Xaqiiji dib-u-rar, diidmo iyo luminta VPN

Saddex indho-indheyn ayaa sameeya tijaabo aqbal buuxda: dib-u-rarista way guulaysataa, hawlgalka macmiilka la ogolaaday wuu shaqeeyaa, iyo codsiga ay tahay in la diido dhab ahaan waa la diiday. Tan saddexaad waa tan la boodaa, waana caddaynta kaliya ee ah in siyaasaddu wax qabanayso.

sudo ufw reload
sudo ufw status verbose
sudo iptables -t nat -L POSTROUTING -n -v

Kadib tijaabi guuldarraysta aad u naqshadeysay. Soo dhig tunnel-ka oo fiiri waxa martigeliyuhu sameeyo, sababtoo ah siyaasad kaliya shaqeysa inta VPN-ku furan yahay waa siyaasad leh ku-tiirsanaan aan la sheegin. Kadib mar kale dib u rar si aad u caddeyso in faylka, ee aan ahayn xaalad socod oo hadhay, uu soo saaro natiijada shaqeysa.

NAT-ka IPv4 waxba kama sheego IPv6, marka ku sheeg daboolka la qorsheeyay labada qoys isla qoraalka xeerka. Hadafku waa siyaasad maamulan oo isku-dhac leh, qayb si kadis ah loo baadhayna ma aha caddaynkeeda.