Miunganisho mipya kwenye toki mpya ya VPN, mtiririko wa zamani unaachwa

Uchujaji uliopangwa huhamisha mtiririko usioainishwa pekee. Linganisha hilo na ubadilishaji wa njia, na uone alama, majedwali na hali ya conntrack inayoufanya udumu.

Toki mbili nzuri za VPN, upakiaji mmoja mrefu tayari unaendelea, na sharti kwamba muunganisho unaofuata utumie handaki lingine. Kuna njia mbili za kutimiza hilo, na moja tu ndiyo salama kwenye lango lililo hai. Kubadilisha njia chaguo-msingi huhamisha kila pakiti, ikiwa ni pamoja na zile za upakiaji. Uchujaji uliopangwa hubadilisha chaguo kwa miunganisho mipya na kuacha mtiririko unaofuatiliwa kwenye njia iliyoanzia.

Njia mbili za kubadilisha toki

Ubadilishaji wa njia ni amri moja na unaweza kurudishwa nyuma kwa sekunde, ndiyo maana hutumika wakati wa matukio. Pia haubagui: pakiti za upakiaji uliopo zinatoka ghafla kupitia handaki lingine, na anwani nyingine ya chanzo ya umma na hali tofauti ya tafsiri.

Ikiwa upande wa mbali unafuatilia mtiririko kwa anwani ya chanzo, upakiaji unaweza kuacha kutambulika. Uchujaji unaepuka hilo kwa kufanya uamuzi mara moja kwa kila muunganisho na kuuhifadhi, kwa hivyo upakiaji wa zamani unabaki na toki yake hadi ukamilike. Hiyo ndiyo thamani yote ya zoezi: upande wa mbali hauoni mabadiliko yoyote inayopaswa kufasiriwa. Unaendelea kupokea pakiti zinazolingana na muunganisho unaoujua tayari.

Gharama ni utata: majedwali mawili ya uelekezaji, kiainishaji kinachofanya kazi kwenye ndoano sahihi, na alama ambazo lazima ziratibiwe na kila kitu kingine kwenye mashine kinachozitumia.

Ipe kila toki jedwali lake

Tenga jedwali la uelekezaji kwa kila toki na thamani tofauti za alama au biti kwa chaguo mbili. Kila jedwali linahitaji njia zinazolingana na jukumu lake, si jina pekee, na linahitaji matokeo ya kushindwa kwa makusudi kwa hali inayokosekana. Jedwali tupu linaloanguka kimya kimya kwenye jedwali kuu — hivi ndivyo trafiki hutoka kupitia toki ambayo hakuna aliyechagua.

ip rule add fwmark 0x10/0x10 table 101
ip rule add fwmark 0x20/0x20 table 102
ip route add default via 192.0.2.1 dev wg-a table 101
ip route add default via 198.51.100.1 dev wg-b table 102

Ongeza njia ya blackhole mwishoni mwa kila jedwali ili utafutaji usio na mechi ushindwe kwa sauti kubwa badala ya kukimbilia chaguo-msingi usilolichagua.

Chagua mara moja, kwenye pakiti ya kwanza

Ainisha baada ya ufuatiliaji wa miunganisho kuwepo na kabla ya utafutaji wa njia unaojalisha. Kwa muunganisho mpya wa LAN usioainishwa, chagua toki na uihifadhi katika hali ya muunganisho. Kwenye pakiti za baadaye, rejesha thamani iliyohifadhiwa kwenye alama ya pakiti ambayo uelekezaji wa sera husoma.

Sehemu nyeti ni maana ya mpya. Conntrack bado inaweza kuripoti NEW kwa pakiti za mwanzo na maambukizi upya kabla ya kujibu kuonekana, kwa hivyo kiainishaji kinachotegemea hali hiyo pekee kinaweza kufuta chaguo ambalo tayari limefanywa. Kabla ya kugawa moja, hakikisha hakuna toki iliyohifadhiwa kwa muunganisho.

nftables huweka alama za pakiti na muunganisho tofauti, na mwongozo wa meta taarifa unaandika nakala dhahiri kati yao. Alama ya muunganisho haifi alama ya pakiti ambayo sheria yako inalingana nayo yenyewe, na hiyo ndiyo sababu ya kawaida zaidi kwa nini kiainishaji kilichoandikwa kwa uangalifu hakina athari yoyote.

Punguza urejeshaji kwa mwelekeo na trafiki unayokusudia. Kutumia alama ya toki ya intaneti kwenye pakiti zinazorudi kunaweza kutuma majibu kuelekea toki badala ya LAN, na dalili ni muunganisho wa upande mmoja unaoonekana kama tatizo la ngome ya moto. Soma njia ya jibu kabla ya kugusa sheria ya ngome ya moto, kwa sababu pakiti inaelekezwa, si kurudi kwa mtumaji tu.

Awamu nne za uchujaji

  1. Andaa B bila kugusa A: uelekezaji, uhamishaji, idhini, NAT na njia ya kurudi. Sakinisha jedwali lake na sera ya uteuzi kupitia mmiliki wa usanidi aliyeopo wa lango.

  2. Badilisha kiainishaji ili miunganisho mipya, isiyoainishwa ichague B, huku chaguo zilizohifadhiwa zikihifadhiwa. Muamala wa atomiki wa nftables unaepuka dirisha ambapo hali ya zamani inapaswa kusafishwa.

  3. Acha A iwe hai hadi mtiririko wake ukamilike. Kiolesura chake, jedwali, toki ya mbali na ramani za NAT bado ni sehemu ya mtiririko huo, na kuhariri sheria ya NAT hakuundi upya vifungo vilivyopo tayari.

  4. Ondoa A wakati sharti la uchujaji limetimizwa, likihukumiwa kwa hali ya miunganisho na tabia ya programu badala ya kipindi kimoja tulivu.

Kile ambacho uchujaji hauwezi kuahidi

Ombi la kivinjari si muunganisho mpya wa usafirishaji; ujumuishaji unaendelea kutuma maombi kupitia ule wa zamani. Kinyume chake, mtiririko wa UDP unaweza kuzeeka nje ya conntrack na pakiti ya baadaye huainishwa upya. Uchujaji hufuata mtiririko unaofuatiliwa, si wazo la programu kuhusu kipindi.

Ikiwa A itashindwa kabla ya mtiririko wake kukamilika, alama iliyohifadhiwa haiwaokoi. Wanaunganisha upya kupitia B, au hawaunganishi kabisa. Uchujaji uliopangwa hununua mwendelezo wakati njia ya awali ikiwa nzuri; si urudufishaji wa hali kati ya toki huru.

Thibitisha nusu zote mbili

Anzisha muunganisho ulioruhusiwa wa muda mrefu kabla ya mabadiliko na mpya kabisa baada yake. Thibitisha ni handaki gani kila mmoja unatumia na ni anwani gani ya chanzo ya umma upande wa mbali unaziona, kisha hakikisha trafiki ya kurudi inarudi.

Usifute jedwali la conntrack ili chaguo jipya lionekane. Hilo huharibu hasa hali ambayo uchujaji unapaswa kuihifadhi, na hubadilisha uhamiaji uliodhibitiwa kuwa usumbufu wenye jaribio linaloonekana safi.

Makala zinazohusiana