Isku-xiriye VPN-ka joojiyay aqbalaadda SSH: xaddidaadda sharraxa-faylka

Handshake WireGuard wali wuu dhammaadaa, peer-ku wali wuxuu muujinayaa endpoint dhow, haddana fadhi SSH cusub oo mara isku-xiriyaha ka dambeeya ayaa laalaada isagoon banner lahayn. Isku-dhafkaas wuxuu ka fogaanayaa tunnel-ka oo u jeedaa habka soo qaata socket-ka. Isku-xiriye sida socat wuxuu fadhiyaa waddada codsiga isagoo leh miisaaniyadiisa sharraxa-fayl, carruurtiisa iyo xaddidaaddiisa la dhaxlay. Socdaalka hoose wuxuu ka bilaabmaa macmiilka oo ku joogsadaa qaybta ugu horreysa ee aan furi karin socket kale.

Raac waddada ka hor intaadan beddelin lambar

Raac hal codsi fashilmay halkii aad ka fikiri lahayd tunnel-ka oo dhan. Macmiilku wuxuu wax ku qoraa tunnel-ka, daemon-ka VPN wuu furfuraa oo wuu jiheeyaa, isku-xiriyahana dhinaca kale ayuu aqbalaa. Tallaab kastaa waxay cuntaa sharraxa-fayl, tan badanaa dhammaatana waa tii ugu dambaysay.

Ka bilow codsi aad dib u soo saari karto oo cabbir waqtigiisa. Haddii handshake TCP dhammaado laakiin banner codsi aan iman, isku-xiriyaha ayaa qaatay socket-ka kadibna ku xannibmay carruur ama lugtiisa kore. Haddii handshake-ka laftiisu waligiis dhammaanin, sababtu waa marin, firewall ama xaaladda dhageystaha, ma aha saqafka sharraxa-fayl. Qor labada qaab kee aad aragtay, maxaa yeelay waxay tilmaamayaan habab kala duwan.

Tiri tallaabooyinka shaqada labanlaabma sidoo kale. Dhageyste laamo-baxa ah wuxuu socket kasta oo la aqbalay siinayaa ilmo haysta nuqulkiisa, sidaas darteed wadarta dhabta ah waa sifo geedka oo dhan, ma aha waalidka oo keliya.

Akhri xaddidaadda isku-xiriyuhu dhaxlay

Xaddidaadda kaliya ee muhiimka ah waxaa iska leh habka socda, waxaana dejiyay wax kasta oo bilaabay habkaas. Qorista ulimit -n shell gudaheed waxay sharraxaysaa shell-ka. Weydii maareeyaha adeegga waxa uu dabaqay, ka dibna ku xaqiiji PID-ga.

systemctl show -p MainPID -p LimitNOFILE vpn-relay.service
cat /proc/$(systemctl show -p MainPID --value vpn-relay.service)/limits

Faylka limits wuxuu daabacaa saqafka jilicsan iyo kan adag sida habku u arko. Qiime jilicsan oo hooseeya oo ka hooseeya qiime adag oo deeqsi ah waxay ka dhigan tahay in daemon-ku uu kori karo saqafkiisa, qaarna waxay sidaas sameeyaan bilowga; qiimayaal jilicsan oo siman oo hooseeya waxay ka dhigan tahay in faylka unit uu yahay isha.

Drop-in-yada waxaa lagu rarayaa nidaam qaamuusi ah oo faylasha dambe ayaa guuleysta, sidaas darteed systemctl cat vpn-relay.service waa aragtida rasmiiga ah ee waxa khuseeya. Tafatirka fayl aan maareeyuhu waligiis akhrin waa sababta ugu badan ee lambarka la kordhiyay uusan wax saameyn ah yeelan.

Kala sooc isku-buurnaan deggan iyo xaalad la hayo

Laba hab ayaa gaari kara saqafka isku mid ah sababo aan xiriir lahayn, dawooyinkuna way kala duwan yihiin. Baahida la socota fadhiyada isku-buuran ee faa'iidada leh waa su'aal awood. Kobaca sii socda ka dib marka shaqadu dhammaato waa daadasho ama fadhiyo aan cidina xidhin.

Cabbir marka la nasanayo, marka ugu sarreeya ee caadiga ah, iyo mar kale dhowr daqiiqo ka dib marka culeysku joogsado. Tirinta gelitaannada furan ee ls /proc/PID/fd | wc -l marka la barbardhigo xaddidaadda jilicsan ayaa kuu sheegta farqiga, tirada hal ama laba ka hooseeya saqafka waa joogsi adag ma aha waddo gaabis ah.

Marka tirada ay diiddo inay hoos u dhacdo, eeg xaaladaha socket halkii aad eegi lahayd wadarta. Sharraxa-faylasha fadhiya CLOSE_WAIT waxay ka dhigan tahay in peer-ku xidhay oo dhinacaaga uusan waligiis xidin, taas oo ah cill ku timid wareegga nolosha codsiga oo xaddidaad weyn kaliya dib u dhigto. Xaddid moodelka carruurtana: isku-xiriye laamo-baxa ah oo aan saqaf lahayn carruurta isku-buuran ayaa wada gaba sharraxa-faylasha, boosaska habka iyo xusuusta.

Hubi qiimaha cusub habka nool

Ka dib tafatirka unit-ka, dib u rar maareeyaha oo dib u bilow adeegga, maxaa yeelay dib-u-rarid keligeed waligeed ma beddelo xaddidaadaha hab socda uu hore u dhaxlay. Ku xaqiiji habka dhab ahaan u adeega taraafikga.

systemctl daemon-reload
systemctl restart vpn-relay.service
awk '/Max open files/ {print}' /proc/$(systemctl show -p MainPID --value vpn-relay.service)/limits
ss -tnp state established '( sport = :2222 )' | wc -l

Sadarka awk wuxuu soo celiyaa lammaanaha cusub; haddii uu wali muujiyo kii hore, drop-in-ka aad tafatirtay ma aha kan la rarayo. Tirada ss waa hubinta culayskaaga, sidaas darteed fur tirada fadhiyada aad filayso oo daawo sida ay u korto. Tirada sii kortaa ka dib marka fadhiyadaas la xidho waxay ka dhigan tahay xaddidaaddu waligeed ma ahayn dhammaan dhibaatada.

Digniin keliya ayaa la socota kordhinta kasta oo weyn. Codsiyada ku codeeya select() ma kormeeri karaan sharraxa-faylasha ka sarreeya FD_SETSIZE, taas oo 1024 ku tahay dhismayaasha caadiga ah, sidaas darteed saqaf ka korreeya taas wuxuu soo saari karaa fashilmo u eg kuwo aan xiriir lahayn. Tixraaca fulinta systemd wuxuu sidoo kale u qaataa digniintaas adeegyada uu bilaabo.

Ka fogee dib-u-bilowga helitaanka tunnel-ka

Dib u bilowga isku-xiriyaha wuxuu tuurayaa fadhiyadiisa firfircoon, taasina waa dhacdo ka duwan VPN-ka oo hoos dhaca. U habee isbeddelka si tunnel-ku kor ugu sii jiro inta isku-xiriyahu wareegayo, oo uga dig cid kasta oo fadhigeeda dheer uu ka gudbo.

Dib u noqodku waa faylka unit ee hore iyo dib-u-bilow kale, faylkaasna wuxuu meeshiisa ku sii jiraa ilaa qiimaha cusub uu maalin shaqo ka gudbo. Kadib ku xidh wareegga codsiga markii hore fashilmay: hal fadhi SSH cusub oo mara isku-xiriyaha, hal wareejin oo ku filan inay muhiim noqoto, iyo tirin sharraxa-fayl oo ku noqota heerkiisa nasashada.