Sababta maamulka router-ka uu u joojiyo jawaabista ka dib isbeddel VPN

Waxaad beddeshay dariiq ama qaanuun firewall si aad u tijaabiso tunnel router-ka, haddana bogga maamulka kama jawaabo laptop-kii toban daqiiqo ka hor si fiican u shaqeynayay. Fal-celinta koowaad waa VPN-ka eedaynta. Inta badan tunnel-ku waa caafimaad qab, oo mid ka mid ah saddex arrimood oo kale ayaa jabay: ma jiro dariiq dib ugu noqota ciwaanka router-ka laftiisa, siyaasad gelitaanku way tuurtaa codsiga, ama adeeg web ma dhageysto ciwaanka aad wacayso. Saddexdaaba isku mid bay ugu muuqdaan browser-ka, taas ayaa dadku saacad u cusboonaysiiyaan tunnel-ka oo aan waxba baran.

Waa kan khuraafaadka ugu horreeya ee mudan in la dilo: tunnel shaqeeya ma aha dariiq dib ugu noqod gudaha. Waa isku xirnaan shabakadeed cusub oo leh su'aalo kalsooni u gaar ah, waxayna si aamusnaan ah uga saari kartaa dariiqa maamulkaaga hore iyada oo furaysa mid cusub oo aan cidina hubin.

Tunnel-ku waligiis ma ahayn dariiqa maamulka

Gudbinta iyo gelitaanku waa shaqooyin kala duwan. "Miyaa macmiil ku gaari karaa NAS tunnel-ka?" waa su'aal gudbin ku saabsan baakadaha mara router-ka. "Miyaan furan karaa port-ka SSH ee router-ka?" waa su'aal gelitaan ku saabsan baakadaha loo jeediyay router-ka laftiisa. Qaanuunka oggolaanshaha ee loo qoray taraafikada la gudbiyay waxba kama qabto su'aasha labaad, taasna waa sababta ugu badan ee tunnel si fiican u qaada taraafikada haddana u diido fadhi maamulkaaga.

Khaladka lidka ku ah waa in la aamino magaca interface. Tunnel-ku waxa uu ku sir-dhexeeyaa lammaanaha, ma aha adeeg kasta oo ka dambeeya, ereyga VPN ee calaamadda interface-ka waxba kama sheegayo soo-yaasha loo oggolaanayo inay soo galaan.

Lakabka koowaad: ma jiraa dariiq u tagta ciwaanka router-ka laftiisa?

Ka bilow macmiilka oo weydii kernel-ka halka baakaddu u socoto. Linux ip route get 10.6.0.1 waxa uu daabacaa dariiqa la doortay, interface-ka baxa iyo ciwaanka isha. Haddii uu soo sheego dariiqa caadiga ah ee u jeedda bixiyahaaga, baakaddu waligeed ma gasho tunnel-ka, qaanuun kasta oo router-ka ahna ma badbaadin karo.

Dhinaca tunnel-ku waxa uu leeyahay nuqul u gaar ah su'aasha. WireGuard waxa uu AllowedIPs u arkaa shaxda marin-ku-socodka fure-sireed: dhinac kasta waxa uu caddeeyaa ciwaannada isha ee lammaanuhu isticmaali karo iyo halka loo diro lammaanahaas. Haddii qoraalka macmiilka uusan ku jirin ciwaanka tunnel-ka router-ka, macmiilku ma hayo dariiq u tagta. Haddii qoraalka server-ka ee macmiilkaas uusan daboolin ciwaanka tunnel-ka macmiilka, server-ku waxa uu tuuraa baakadda ka hor inta aan la fiirin qaanuun firewall ah.

Xaqiiji ciwaanka saxda ah ee aad filayso inaad gaarto ka hor inta aanad saxeexin siyaasadda. Diiwaanka DNS duugoobay ama qoraalka deriska ee keydka laga hayo ee ka horreeyay isbeddelka waxa uu kuu diraa ciwaan aan router-ku waligiis lahayn.

Lakabka labaad: siyaasadda gelitaanka, ma aha siyaasadda gudbinta

Firewall-yada waxa ay qaanuunnada ku qiimeeyaan interface-ka ay baakaddu ku timaaddo. pfSense iyo OPNsense tab-ka interface-ka iyo nidaamka qaanuunnada ayaa go'aamiya haddii taraafikada adeegyada firewall-ka laftiisa la oggolaaday; qaanuunka u oggolaanaya macmiillyada LAN inay internetka baxaan ma aha qaanuun u oggolaanaya lammaanaha tunnel-ka inuu furo GUI-ga web. OpenWrt oo leh firewall4 ayaa qayb kastaa waxa ay qaaddaa siyaasad gelitaan, option input 'ACCEPT' ama 'REJECT', interface-ka tunnel-ka ee qaybta gelitaankeedu REJECT yahay waxa uu diidi doonaa isku xirnaanta maamulka isaga oo weli gudbinaya taraafikada haddii gudbinta la oggolaaday.

Ha damin qaanuunka ka-hortagga-qufulka si dariiqa cusub u shaqeeyo. Qaanuunkaas waxa uu ka hortagaa qaanuun xun inuu qufulo ciwaanka maamulka LAN; waxa uu ilaaliyaa subnetwork-ka LAN, ma aha subnetwork-ka tunnel-ka ee aad hadda abuurtay. Ku dar hal qaanuun cidhiidhi ah oo ku saabsan isha maamulaha oo shabagga amniga iska daa. Dukumeentiga pfSense ee ku saabsan gelitaanka maamulka waxa uu sharraxayaa halka kontarooladaas yaalliin.

# on the router: bind addresses and the loaded ruleset
ss -ltnp | grep -E ':(22|80|443)\b'         # Linux / OpenWrt
sockstat -4 -l | grep -E ':(22|80|443)\b'   # FreeBSD / pfSense
nft list ruleset | grep -A6 'chain input'    # firewall4
pfctl -sr | head -40                         # pf / pfSense

Lakabka saddexaad: ma jiraa wax dhageysta ciwaankaas?

Adeeggu waxa uu socon karaa oo weli aan la gaari karin sababtoo ah waxa uu ku xidhan yahay hal ciwaan. uhttpd-ka OpenWrt waxa uu hayaa qoraallo dhageysi cad oo ku yaal /etc/config/uhttpd, tusaale list listen_http '0.0.0.0:80'; dhismaha ku xidhan oo kaliya ciwaanka LAN waxba kama aqbilo ciwaanka tunnel-ka, alaabta muujisa dejinta interface-ka dhageysigana sidaas oo kale ayay u dhaqmaan. Amarrada dhageysiga ee kore waxa ay taas si toos ah uga jawaabaan.

Kadib kala sooc diidmada aamusnaanta. nc -vz 10.6.0.1 443 oo soo celisa isku xirnaan la diiday macneheedu waa baakaddu gaartay router-ka oo wax baa diiday, ama port xidhan ama qaanuun diidmo cad. Ku dhegganaanshaha ilaa waqtiga dhammaadkiisa macneheedu waa baakaddu la tuuray ama waligeed lama marin. Farqigaas waxa uu kuu sheegayaa lakabka xiga ee la baadho, oo shan ilbiriqsi ayuu qaataa.

Interface VPN waa xad, ma aha dariiq soo-kabasho

Sir-dhexeyntu waxa ay ilaalisaa xarigga; waxba kama sheegto cidda furan karta bogga maamulka. Marka tunnel-ku shaqeeyo, ka adkow rabitaanka inaad xalliso gaaritaanka adigoo u oggolaanaya wax walba interface-ka tunnel-ka. Sii maamulayaasha qaanuun ku xidhan ciwaankooda tunnel-ka ama tunnel gooni ah oo maamulayaasha kaliya, oo isticmaalayaasha caadiga ah, NAS-ka, kaamaradaha iyo laptop-yada qoyska ka fogee port-ka maamulka. Lammaanaha u baahan wadaagga faylalka waa in aanu qaanuun keliya ka fogaan gelitaanka router-ka.

Doorka router-ku waxa uu beddelaa jawaabta. Router soo afjaraya tunnel-ka waxa uu si sharci ah u aqbali karaa maamulayaal ka imanaya, halka router-ka tunnel-ka u isticmaala oo kaliya bixitaan internet ah uu caadi ahaan aynan ahayn inuu sidaas sameeyo. Labada xaaladba oggolaanshaha subnetwork-ka ma aha gelitaanka, marka ka tag xaqiijinta akoonka iyo amniga gaadiidka oo daaran.

Tallaabada magdhawga ee dadku qaataan ka dib qufulka ayaa ka xun: daaran maamulka WAN ama u gudbin port GUI-ga web. Taasi waxa ay gaaban yar u beddeshaa soo-gaadhista joogtada ah, bogga gelitaankuna markaas waa u furan yahay skanner kasta oo internetka. Tijaabi dhinaca la diiday sida dhinaca la oggolaaday, si lammaanaha aan la rabin inuu yeesho gelitaan maamul uu helo waqti-dhaaf ama diidmo halkii codsi gelitaan.

Ku tijaabi isku xirnaan cusub sidoo kale. Firewall xaalad-leh waxa uu hayaa socodka jira shaxdiisa xaaladda, sidaas darteed fadhiga SSH ee aad hore u furatay waxa uu ka badbaadi karaa isbeddel xannibaya isku xirnaan kasta oo cusub. Sidaas ayaa qufulku u ahaanayaa mid aan muuqan ilaa dib-u-dhaca xiga ama hurdo xigta ee laptop-ka.

Diyaari dariiqa dib u noqodka ka hor inta aanad taaban siyaasadda

Qor afar shay ka hor isbeddelka koowaad: sida aad u gaarto aaladda haddii tunnel-ku dhinto, tusaale console taxane ah, console bixiye ama mishiin ku yaal LAN; halka loo dhoofiyo qaabeynta hadda; qaanuunka ama dariiqa keliya ee aad beddeli doonto; iyo sida aad si sax ah u soo celin doonto shaygaas. OpenWrt sysupgrade -b /tmp/backup.tar.gz waxa uu qabtaa qaabeynta, isbeddelladuna waxa ay sugayaan ilaa uci commit, taas oo ku siinaysa beddelaad jaban haddii aad waqtigeeda ogaato. pfSense waxa uu hayaa taariikhda qaabeynta, AutoConfigBackup-na waxa uu caawiyaa oo kaliya haddii hore loo daariyay. Haddii router-ku ku shaqeeyo qaanuunnada fail-closed, xaqiiji in dariiqa dayactirka ee aad qorsheysay uusan ku jirin taraafikada qaanuunkaas xannibayo, oo xusuuso in dib-u-dhacu uu mar kale dabaqo qaanuunnada joogtada ah halkii uu tirtiri lahaa.

Beddel hal xad isku day kasta, kadibna ka tijaabi isku xirnaan cusub halkii aad ka tijaabin lahayd shell-ka furan. Haddii tijaabadu guuldareysato, soo celi isbeddelkaas keliya ka hor inta aanad taaban lakabka xiga. Tunnel-ku waxa uu kor ku sii ahaan karaa waqtiga oo dhan, laakiin calaamadda xaaladdiisa cagaaran ma aha caddayn inaad weli gali karto.

Hubin degdeg ah ka hor inta aanad bixin:

• Miyaad gaari kartaa router-ka isha aan ku tiirsanayn qaanuunka aad hadda tafatirtay?
• Miyaa siyaasadda gelitaanka ee interface-ka tunnel-ku oggolaataa oo kaliya isha maamulaha?
• Miyaa adeegga maamulku ku xidhan yahay ciwaan ku jira tunnel-ka?
• Miyaad tijaabisay hal lammaane la diiday iyo hal fadhi cusub?
• Miyaa dusha maamulka WAN weli xidhan tahay?