Waxa ay tahay in VPS u oggolaato ka hor inta aanu martigelin VPN-kaaga

Instansku wuu kiciyaa, rakibaadda xirmooyinka way guulaysataa, adeegguna xitaa wuxuu soo sheegaa xaalad socota, laakiin waxba isku xirma. Qaabkani waa caadi serverada gaarka ah ee farsamada, sababtoo ah martida si fudud internet-ka u gaadha weli wuu awoodi karaa in aanu abuurin interface-ka borotokoolkaagu rabo. Shan baaritaan ayaa kala soocda martigeliyaha adeegi kara tunnel-ka iyo midka kaliya u eg diyaar, baaritaanka ugu horreeya ee fashilmaana badanaa wuxuu sharraxayaa wax kasta oo ka dambeeya. Mid kastaa waa jaban in la socodsiiyo wuxuuna ku dhammaadaa go'aan halkii uu ku dhammaan lahaa qoraal.

Xaqiiji interface-ka uu borotokoolku u baahan yahay

OpenVPN TUN-ka korkiisa waxa uu u baahan yahay qalabka xarafyada iyo module-ka kernel-ka ee ka dambeeya; WireGuard waxa uu u baahan yahay taageeradiisa kernel-ka ama fulin goobta isticmaalaha oo leh filashooyin is waafaqsan. Konteenarada la maareeyo waxa laga yaabaa inay wadaagaan kernel martigeliyaha oo aan waligiis soo bandhigin qalabka, qaar ka mid ah madalna waxay gebi ahaanba mamnuucaan abuurista interface-yada tunnel-ka iyada oo aan loo eegayn waxa la rakibay.

Tijaabi awoodda halkii aad ka akhrin lahayd bogga taageerada, sababtoo ah calaamadaha suuqgeynta way is beddelaan si ka dhaqso badan xadka hoose. Liiska astaamaha loo qoray hal qorshe waxa laga yaabaa in aanu sharraxin kernel-ka uu martidu dhab ahaan ku shaqeeyo. Laba amarroo oo gaagaaban ayaa ka jawaabaya su'aasha borotokoolada caadiga ah, labaduna way nadiifiyaan gadaashooda. Amarrada hoose waxba ma abuuraan oo si dhakhso ah ayaa loo tirtiraa.

sudo ip tuntap add dev tun9 mode tun
sudo ip tuntap del dev tun9 mode tun
sudo ip link add wgtest type wireguard && sudo ip link del wgtest

Diidmo laga helay lammaanaha koowaad waxay ka dhigan tahay in TUN aanu diyaar ahayn iyo in qaabka caadiga ah ee OpenVPN uusan bilaaban karin; diidmo ku timid sadarka ugu dambeeya waxay ka dhigan tahay in interface-ka kernel-ka ee WireGuard maqan yahay. dokumentiga kernel-ka ee TUN/TAP wuxuu sharraxayaa qalabka uu baaritaanka koowaad tijaabinayo. Midkoodna labada fashil ma lagu hagaajinayo rakibaadda xirmada VPN mar labaad.

Xusuusnow in jidka soo galitaanku leeyahay laba milkiile

Xeerarka shabakadda bixiyaha iyo firewall-ka martida waa nidaamyo gooni ah, taraafikuna waa in uu ka gudbaa labadaba. Dhageystaha ku xidhan martida waxba ma tarayo haddii kooxda amniga bixiyaha ay tuurto port-ka, xeerka furan ee bixiyahana waxba ma qabto haddii martidu diiddo xirmada. Hubi dhageystaha, ka dibna xeerarka martida, ka dibna guddiga bixiyaha, sidaas oo kale, oo xaqiiji borotokoolka iyo lambarka port-ka. Si toos ah u boodidda guddiga bixiyaha waa sida dadku u furaan xad aanay u baahnayn.

UDP waa dhibbanaha caadiga ah: madallo badan waxay u oggolaadaan TCP si caadi ah waxayna u tixgeliyaan xeerarka UDP gelin gooni ah. Haddii instansku ku jiro gadaasha NAT-ka bixiyaha halkii uu yeelan lahaa ciwaan dadweyne, gudbinta port-yada dhinaca bixiyaha waxay noqotaa qaab-dhismeed saddexaad oo la isku duwo.

Qorshee jidka soo noqodka, ma aha oo kaliya bixitaanka

Adeegga tunnel-ka buuxa waxa uu u baahan yahay gudbin firfircoon, qorshe tarjumaad ama marin taraafikada macaamiisha, iyo jid soo noqod oo gaadha kooxda macaamiisha. Furista dhageyste wax ka mid ah ma bixiso. Tunnel-ka la aasaasay laakiin aan qaadin taraafik faa'iido leh badanaa wuxuu ku fashilmaa halkan ee ma aha xaqiijinta. U tixgeliso is-gacan-qaad guul leh bilowga ogaanshaha, ma aha dhammaadkiisa.

Qor qorshaha sida saddex go'aan oo cad: xadka isha ee macaamiishu helaan, sida taraafikoodu u baxo dhanka internet-ka, iyo sida jawaabahu u helaan jidka soo noqodka. Ka dibna xaqiiji in kernel-ku uu qorshaha la qaadanayo ka hor inta aanad tijaabin macmiil, si aan kala duwanaansho aamusan loogu khaldin khalad dhinaca macmiilka.

sysctl -n net.ipv4.ip_forward
sudo nft list ruleset | head -n 40
ip -4 route show default

Go'aanso arrinta IPv6 si cad

IPv6 waxa uu ku yimaadaa dhowr hab oo u dhaqma si kala duwan lulka: ciwaan ku yaal instans-ka, prefix la maro, ama waxba. Kaliya prefix la maro ayaa u oggolaada server-ka in uu macaamiisha si caadi ah ciwaanno u siiyo. Male-awaalka ah in ciwaanka IPv6 ee shaqeeya martigeliyaha uu ka dhigan yahay prefix macmiil la isticmaali karo waa khalad soo baxa mar dambe sida isku-xirnaan badhkiis jaban. Waa nooca cilladda ka badbaada baaritaan kasta oo lagu sameeyo IPv4 oo kaliya.

Haddii bixiyuhu aanu marin wax prefix ah, go'aanso in tunnel-ku yahay IPv4 oo kaliya iyo in macaamiisha loo sheego. Maqnaansho la diiwaangeliyay ayaa ka ammaan badan qaab-dhismeed qayb ah oo si aamusan u tuura bartilmaameedyada IPv6 god madow isticmaalayaasha ku xidhan.

Ku caddee macmiil dibadeed

Xaaladda adeegga maxalliga ah waxay sharraxaysaa hal geedi socod oo ku yaal hal martigeliyaha. Tijaabada faa'iidada leh waa macmiil la fasaxay oo ku jira shabakad kale, oo ku xirma profile-ka aad dooneyso in aad qaybsato, ka dibna gaadha barnaamij oo xalliya magac. Mar kale isku xir, sababtoo ah tunnel-ka kaliya isku dayga koowaad ku shaqeeya ma buuxiyo shuruudda ugu muhiimsan ficil ahaan.

sudo wg show wg0 latest-handshakes
ip -4 route get 203.0.113.44
sudo journalctl -u wg-quick@wg0 -n 15 --no-pager

La hay qaabka hawlgalka ee aasaasiga ah tijaabada agteeda: meel cusboonaysiin, diiwaanno xaddidan, gelitaan maamule oo aan ku tiirsanayn tunnel-ka, console soo kabasho, iyo qoraal ku saabsan waxa ku dhaca profile-yada macaamiisha marka instans-ka dib loo dhiso oo ciwaankiisa dadweynaha uu is beddelo. Haddii interface ama qaab gudbin oo loo baahan yahay si fudud aanu diyaar ahayn, wax isbeddel dhinaca macmiilka ah ma bixin doono, tallaabada xigta ee daacadda ahna waa nooc instans oo kale ma aha qaab-dhismeed dheeraad ah.