Firewall-ka VPS: furo kaliya dekedda VPN, kadibna caddee

Firewall-ka ogolaada kaliya dekedda VPN ma aha hal sharci. Waa saddex go'aan oo gooni ah oo si kadis ah u khuseeya isla lambarka dekedda: silsiladda gelitaanku waxay go'aamisaa waxa gaari kara habsocod maxalli ah, silsiladda gudbintu waxay go'aamisaa waxa mara kara martigeliyaha magaca macaamiisha tunnel-ka, iyo shaxda NAT waxay dib u qortaa cinwaanka isha marka baxa. Mid ka khaldana natiijadu marar dhif ah ma noqoto hakad nadiif ah. Waxaad heli doontaa martigeliye aqbala macaamiil laakiin waxba ma rarto, ama martigeliye u eg xiran ilaa qof akhriyo nidaamka silsiladaha.

Dekedda kaliya ee aan la xiri karin

Dhegeystaha VPN waa inuu aqbalaa xiriiro ka yimaada cinwaanno aadan saadaalin karin, sidaas darteed waa adeeg dadweyne macno ahaan. Tani waa ka reebista kaliya ee nashqaddu ku dhisan tahay: hal deked UDP oo loogu talagalay OpenVPN, hal deked UDP oo loogu talagalay WireGuard, hal deked TCP oo loogu talagalay VPN SSL. Wax kasta oo kale waxay ka tirsan yihiin gadaasha tunnel-ka, taas oo macneheedu yahay in adeegyada barnaamijku ay ku xirmaan cinwaanka tunnel-ka ama loopback, ma aha dhammaan interface-yada.

Xirnaansuhu se ma aha fulin. Habsocod ku xiran 0.0.0.0 waa la gaari karaa kaliya haddii sharci u ogolaado, siyaasadda caadiga ahna waa beddelka taraafikada aan sharcina la kulmin, ma aha sharciga maamula dekedda. Oggolaansho lagu dhejiyay diidmadaada wali waa oggolaansho, adeegna ka guurista cinwaanka dadweynaha waa horumar madax banaan, ma aha beddelka silsiladda.

Gelitaan, gudbin iyo NAT waxay ka jawaabaan su'aalo kala duwan

Taraafikada gelitaanku waxay u socotaa martigeliyaha laftiisa, sidaas darteed dhegeystaha VPN iyo waddada maamulka ayaa halkaas ku nool. Taraafikada gudbintu waxay dhex martaa martigeliyaha, macaamiisha tunnel-kuna waxay u baahan yihiin iyada oo la socota net.ipv4.ip_forward=1. Qaabka caadiga ah ee nus-jaban wuxuu ogolaadaa qulqulka baxa wuuna illoobaa jihada soo noqodka, sidaas darteed macmiilku wuu dhammeeyaa gacan-qabsiga kadibna waxba ma rarto; sharciga conntrack ee taraafikada la aasaasay iyo kan la xiriira ayaa daboola jihadaas.

NAT waa su'aasha saddexaad. Iyada oo aan dib-u-qoris ku jirin postrouting, baakadaha la gudbiyay waxay u baxaan isha gaarka ah ee tunnel-ka oo laga tuuraa xagga sare, sababtoo ah shabakad ka baxsan martigeliyaha ma taqaan sida loo maroojiyo barkada dib. Horgalaha isha ee sharcigaas waa inuu la jaanqaadaa barkada VPN, ma aha cinwaanka martigeliyaha laftiisa, oo sidoo kale waa sidaas sharciga gudbinta ee magacaaba subnet-ka macaamiisha.

IPv6 waa siyaasad labaad, ma aha fikrad dambe. Martigeliye leh silsilad IPv4 adag iyo siyaasad furan oo ku taal ip6tables waxba ma xirin; adeegyadu wali waa la gaari karaa qoyska kale. Ama ka tarjum sharciga shuruucda ip6tables, ama si ula kac ah u dami IPv6 interface-ka dadweynaha, oo qor midka aad dooratay.

Aasaas hal akhris lagu fahmi karo

Ka bilow diidmo, kadibna ku dar kaliya waxa martigeliyaha u baahan yahay. Marka hore loopback iyo jawaabaha, kadib waddada maamulka, kadib dhegeystaha tunnel-ka, kadib siyaasadda gudbinta ee macaamiisha:

iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -A INPUT -i lo -j ACCEPT
iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -p tcp --dport 22 -m conntrack --ctstate NEW -j ACCEPT
iptables -A INPUT -p udp --dport 1194 -m conntrack --ctstate NEW -j ACCEPT
sysctl -w net.ipv4.ip_forward=1
iptables -A FORWARD -i tun0 -o eth0 -s 10.8.0.0/24 -j ACCEPT
iptables -A FORWARD -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -o eth0 -j MASQUERADE

Magacyada interface-yada, dekedda iyo barkadu waa meelo bannaan; ka akhri server-ka halkii aad koobi lahayd. Kaydinta natiijadu waxay la mid tahay muhiimadda qoraalka, sababtoo ah sharciga shuruucda ee ku nool kaliya xusuusta ayaa lumo dib-u-kicinta xigta oo si aamusnaan ah dib u fura martigeliyaha. Ka dhig mid waaraya habka qaybinta, oo hay koobi ka baxsan mishiinka maalinta mishiinku aan kicin doonin.

Xiridda dekedda ugu dambeysa adigoon lumin mwenyeji

Nashqadda waxaa ku jira dabin. Haddii SSH uu ka jiro kaliya tunnel-ka, adeeg VPN oo guuldareysta wuxuu la qaataa SSH, waddada soo noqoshadana waxaa laga yaabaa inay tahay console aadan waligaa furin. Ka hor inta aadan xirin dekedda dadweynaha ugu dambeysa, xaqiiji in console-kaas jiro iyo inaad si dhab ah u isticmaali karto, ama hay hal waddo maamul oo cidhiidhi ah oo aan ku tiirsanayn tunnel-ka: SSH cinwaan go'an, kaliya furayaal, xaqiijinta password-ka damisan.

Codso isbeddelka adigoo ka imanaya fadhi hore loo aasaasay, ma aha marinka xiriirka aad sifeynayso. Qorsheeso dib-u-noqosho si khaladku u dhaco halkii uu sii waarayo, tusaale ahaan hawl systemd-run --on-active=10min oo soo celisa sharciga shuruucdii hore, oo hay fadhi SSH labaad oo furan inta aad tijaabinayso tan hore. Kadib xaqiiji in hawsha dib-u-noqoshadu dhab ahaan kiciso, sababtoo ah soo-kabasho aan la tijaabin waxay la mid tahay soo-kabasho la'aan.

Caddee waddada, ma aha script-ka

Akhri shuruucda la raray, ma aha faylka ay ahayd inuu raro. Martigeliye dibadeed oo la ogolaaday, xaqiiji in kaliya dekedaha loogu talagalay jawaabaan; gudaha tunnel-ka, xaqiiji in adeegyada aad rabtay inaad daabacdo la gaari karo. Siyaasadda diidmada caadiga ah oo sidoo kale xannibta taraafikada tunnel-ka waxay u ekaanaysaa sida xidhnaan shaqeynaya ilaa qof isku dayo inuu isticmaalo.

iptables -S
iptables -t nat -S
ss -lntup
ip -4 addr show

Qor dekedda la ogolaaday, barkada macaamiisha, interface-ka tunnel-ka, isha maamulka iyo nidaamka console-ka ee ag konfigurashinka. Isbeddelka xiga ee barkada ama magaca interface-ka waa inuu ku beegmaa filtarka iyo sharciga NAT labadaba, haddii kale martigeliyahu wuxuu ku noqonayaa xaalad nus-furan iyada oo aan cidna ogaan.

Hal caado ayaa ka qiimo badan sharciga shuruucda: isbeddel kasta kadib, ku caddee waddada gudbinta codsi macmiil iyo waddada soo-kabashada fadhi labaad. Xidhnaan aadan isticmaalin waa kaliya mala-awaal.