Jinsi ya kufunga njia ya kutoka ya Linux ili hakuna kinachovuja VPN inapokatika

Fikiria kisanduku cha midia kwenye mstari wa nyumbani ambacho kinapaswa kufikia intaneti kupitia handaki pekee. Handaki linapoanguka, programu inapaswa kusimama badala ya kuendelea kimya kimya kupitia kiolesura halisi. Kupata tabia hiyo ni tatizo la firewall na si la uelekezaji, na tofauti hiyo ni muhimu kwa sababu njia inaweza kubadilishwa kwa kuanzisha upya daemon, wakati kichujio kinabaki mahali ulipokiweka. Kinachofuata ni jinsi njia ya pakiti inavyoamua kwa kweli, na kisha jinsi ya kuweka mipaka kwa vighairi vinavyoifanya handaki iunganishe tena.

Pato la ndani ni ndoano tofauti na upelekaji

Pakiti inayoondoka kwenye programu kwenye mashine inapita kwenye ndoano ya pato; pakiti ambayo mashine inaelekeza kwa mwenyeji mwingine inapita kwenye upelekaji. Sera inayotaja forward pekee inazuia ya pili na kuacha ya kwanza wazi kabisa, ndiyo sababu mifungo mingi ya pato huonekana sawa na haifanyi chochote. Ulinganishaji wa kiolesura ni wa kanuni hiyo hiyo: oifname "tun0" accept hupitisha trafiki ambayo tayari imeelekezwa kupitia handaki. Uelekezaji na uchujaji pia hubaki maamuzi tofauti, kwa hiyo njia ya kiungo inaweza kuwepo wakati kichujio kinakataa pakiti. Unategemea utengano huo.

Lango linalopeleka kwa vifaa vingine linahitaji ndoano zote mbili. Kufunga pato pekee kunalinda mashine yenyewe na kumwacha kila mteja wa chini huru kuvuja.

Andika orodha ya vighairi kutoka mwisho wa njia kuelekea nje

Anza na mwisho wa njia ya handaki: anwani moja ya lengo au seti ndogo iliyoidhinishwa, itifaki ya usafirishaji na bandari ya lengo, kwa mfano udp dport 1194 ip daddr 203.0.113.7 accept. Ikiwa mteja anatatua jina la mwenyeji, ubadilishanaji wa DNS wa mwanzo unahitaji kanuni yake iliyozuiliwa kwa kitatuzi na kwa bandari 53, si ruhusa ya jumla kwa anwani ya kitatuzi hicho. Kila kighairi kinapaswa kutaja sababu inayokifanya kiwepo. Ruhusa kwa trafiki yote ya UDP kuelekea bandari ya VPN inashughulikia mengi zaidi kuliko huduma moja iliyothibitishwa uliyokuwa ukiifikiria.

Utatuzi wa mwanzo ndipo mifungo kawaida kuoza. Seti ya anwani inayohuishwa kwa kipima muda inahitaji tabia iliyobainishwa wakati uhuishaji unashindikana, na tabia hiyo haiwezi kuwa kufungua kiungo hadi ifanikiwe. Huisha kupitia handaki wakati handaki liko juu, na vinginevyo rudi kwenye mwisho wa njia salama unaojulikana wa mwisho.

Utawala wa ndani unahitaji matibabu sawa. Subneti ya usimamizi haiaminiki kwa sababu tu anwani zake ni za faragha, na kanuni inayoiamini inakaribisha njia ya pili kuzunguka kifungo.

Ulinganishaji wa kiolesura si uthibitisho wa handaki salama

Kanuni zinazokubali kila kitu kinachotoka tun0 huchukulia kuwa pakiti kwenye kiolesura hicho ilitoka kwenye handaki. Majina ya kiolesura huundwa upya, na jina si utambulisho wa kriptografia. Mwenzake anaweza pia kuwa ameondoka wakati kiolesura kinabaki juu, jambo linalofanya kanuni kuwa kutofanya kitu kwa kushawishi sana.

Ufuatiliaji wa miunganisho unaongeza mtego unaohusiana. Kanuni pana kwa miunganisho iliyoanzishwa hurudia ruhusa ambayo mtiririko ulipata awali, kwa hiyo kikao kilichoanza kabla handaki kuanguka kinaendelea baadaye. Zuia ukubali wa hali kwa violesura na anwani unazomaanisha kweli, vinginevyo umejenga kifungo kinachojifungua chenyewe. Kanuni za pembejeo na pato pia hujibu maswali tofauti, na kuimarisha moja huku ukipuuza nyingine kunaacha mashine ikifikiwa upande usioudhani.

Kinachostahimili ajali ya daemon

Kichujio kinachowekwa na script inayoendeshwa baada ya handaki kupanda hutoweka pamoja na handaki, wakati hasa kilipohitajika. Pakia kifungo wakati wa kuwasha na uache daemon isimamie vighairi vyake pekee.

Kufuta njia chaguomsingi pia si mbadala. Njia ni hali ambayo daemon anamiliki na anaiandika upya, na kuiondoa kunaweza kuondoa njia inayohitajika kuunganisha tena. IPv6 inahitaji mpango wake, kwa sababu ugunduzi wa majirani na matangazo ya kipanga njia ni huduma za kiungo ambazo lazima ziendelee kufanya kazi wakati trafiki ya kawaida imezuiwa. DHCP iko katika kundi hilo hilo. Andika haya kama vighairi vyenye kusudi, badala ya kuvigundua baadaye kama usumbufu.

Njia ya urejeshaji kabla ya kupelekwa

Jaribu kifungo jinsi kitakavyoshindikana: kuwasha bila handaki, kuua daemon, kubadilisha mwisho wa njia na kuunganisha tena. Kila kisa kinapaswa kusimamisha programu na kuacha njia ya urejeshaji ikifanya kazi. Fanya hivyo kutoka konsoli, kwa sababu shell ya mbali ndiyo kikao kinachowezekana zaidi kufungwa na kanuni yako mwenyewe.

Kisha angalia ni wapi programu ya kawaida bado inaweza kufikia, kwa lengo lisilo na madhara na ombi unaloweza kuthibitisha. Matokeo unayotaka ni kukataliwa kwenye kiungo na mafanikio kupitia handaki, si kusubiri kwa muda usioeleweka ambao unaweza kumaanisha yote mawili. Weka seti ya kanuni chini ya mmiliki yule yule kama firewall iliyobaki, badala ya kubadilisha jedwali lote kutoka script ya shell. Sera ambayo kila ruhusa inaweza kujihesabia haki yenyewe ina thamani zaidi kuliko seti ndefu ya kanuni ambayo hakuna anayeweza kuieleza.