Kwa nini kanuni ya kuzuia mteja wa OpenVPN haifikii FORWARD kamwe

Wateja wawili kwenye seva moja ya OpenVPN wanaweza kufikiana hata baada ya kuongeza kanuni ya DROP kwa bwawa lao. Kanuni iko kwenye mnyororo wa FORWARD, trafiki inapita wazi, lakini kihesabu cha kanuni hiyo kinabaki sifuri. Hitimisho la kawaida ni kwamba ngome ya moto imevunjika. Mara nyingi pakiti haikuingia kwenye mnyororo hata kidogo.

Kuna njia mbili ambazo pakiti ya mwenza inaweza kupita kwenye seva ya OpenVPN, na zinaamuliwa na usanidi, si ngome ya moto. Kujua ni njia gani inatumika kunakuambia kama kanuni ya mwenyeji iko mahali sahihi hata.

Njia mbili ambazo pakiti ya mwenza inaweza kupita

Wakati chaguo la upelekaji wa ndani limezimwa, pakiti kutoka mteja A inafika kwenye kiolesura cha handaki ikiwa na lengo ndani ya anwani iliyotengwa kwa mteja B. Jedwali la uelekezaji la seva linairudisha nje kupitia kiolesura kilekile cha handaki, kwa sababu seva inamiliki njia ya kufikia anwani ya B. Hii ni mtiririko wa kuingia na kutoka kupitia mwenyeji, na njia ya upelekaji ya IPv4 ndiyo inayoipima.

Wakati chaguo la upelekaji wa ndani limewashwa, mchakato wa seva unalinganisha pakiti na mteja aliyeunganishwa na kuiandika moja kwa moja kwa mteja huyo. Pakiti inashughulikiwa ndani ya daemon na kamwe haiingii tena kwenye kifaa cha handaki, kwa hiyo njia ya upelekaji ya mwenyeji inarukwa kabisa. Mwongozo wa OpenVPN 2.6 unaeleza chaguo hili kama upelekaji wa ndani kutoka mteja hadi mteja, na ndiyo sababu hasa kanuni ya ngome ya moto ya mwenyeji haiwezi kuiona.

Kuna aina ya tatu katika usambazaji unaohamishia chaneli ya data kwenye moduli ya kerneli. Uamuzi wa upelekaji na usimbaji fiche hutoka nje ya nafasi ya mtumiaji, na kama netfilter inaona mtiririko inategemea jinsi njia ya uhamishaji ilivyojengwa. Kamwe usidhani kwamba seti ya kanuni za zamani inafanya kazi kwenye seva iliyohamishwa kama ilivyokuwa kwenye ile ya nafasi ya mtumiaji. Thibitisha hali kutoka kwa usanidi unaoendesha, si kutoka kwa toleo la kifurushi.

Wakati kihesabu hakisogei kamwe

Kihesabu cha sifuri kinamaanisha pakiti haikulingana na kanuni hiyo mahali hapo, na sababu ni kadhaa. Ya kwanza ni upitaji wa juu: trafiki haikufika kwenye mnyororo. Ya pili ni kutokulingana kwa kiolesura, mwelekeo, chanzo au lengo, jambo la kawaida wakati bwawa limepewa namba mpya na kanuni bado inataja kiambishi cha zamani.

Ya tatu ni nafasi. Kanuni iliyo mapema kwenye mnyororo inaweza kukubali mtiririko kabla DROP yako haijapimwa, na kanuni iliyo baadaye inaweza kuwa ndiyo inayoamua matokeo kwa hakika. Soma mnyororo kwa mpangilio na vihesabu vionekane, kisha angalia ni kanuni gani hesabu yake inaongezeka unaporudia jaribio.

Fanya ubadilishaji mmoja uliodhibitiwa kati ya wateja wawili ambao anwani zao halisi umezithibitisha kutoka kwa hali ya seva yenyewe, si kutoka kwa ukodishaji unaoukumbuka. Ikiwa kihesabu husika bado hakisogei, shuku njia kabla ya kuandika upya ulinganisho. Ikiwa kinasogea lakini muunganisho bado unafaulu, DROP inabatilishwa baadaye na tatizo ni mpangilio. Jibu hilo linaamua kama ukarabati ni mabadiliko ya kanuni au mabadiliko ya topolojia, kwa hiyo lipate kabla ya kuhariri chochote.

Kuchagua mpaka unaoweza kuchuja

Ikiwa sera inapaswa kuishi kwenye ngome ya moto ya mwenyeji, weka trafiki mahali ngome ya moto inaweza kuiona. Kuzima upelekaji wa ndani ndiyo njia inayoungwa mkono ya kufanya trafiki ya wenza kupita kwenye kiolesura cha handaki na njia ya upelekaji, kwa gharama ya kila pakiti ya mwenza kupita kwenye staki ya mwenyeji.

Kisha linganisha mtiririko kwa usahihi. Trafiki inafika kwenye kiolesura cha handaki na kutoka kwenye kiolesura cha handaki, katika mielekeo yote miwili, kwa hiyo kanuni zinazozingatia kiolesura halisi pekee hazitalingana. Kanuni zinazotegemea anwani zinahitaji bwawa la sasa, na lazima zizingatie mwelekeo wa kurudi kama vile wa kwenda.

Usambazaji mwingi huhudumiwa vyema zaidi kwa kuchuja katika ngazi ya mteja au kundi, ambako utambulisho unajulikana na sera inamfuata mtumiaji badala ya anwani inayobadilika wakati wa kuunganisha tena. Hiyo ni mbinu tofauti na mnyororo wa mwenyeji, na zote mbili hazipaswi kuchanganywa bila sababu wazi.

Usihamishe seti ya kanuni za topolojia ya zamani kupitia uhamishaji bila mabadiliko. Mabwawa ya anwani, majina ya kiolesura na hali za upelekaji zote zinaathiri kama kanuni inalingana, na kanuni iliyonakiliwa iliyokuwa ikifanya kazi hapo awali ni aina ya ushahidi inayopotosha zaidi. Anza na mtiririko unaotaka kuuruhusu na uandike kanuni inayolingana nao.

Kujaribu utengano badala ya kuamini kanuni

Jaribu kisa kilichokatazwa na kisa kilichoruhusiwa katika uendeshaji mmoja. Anzisha muunganisho mpya kutoka mteja mmoja hadi mwingine na uthibitishe kwamba unashindikana, kisha uthibitishe kwamba muunganisho unaopaswa kuruhusiwa bado unafanya kazi. Ikiwa cha kwanza pekee kinajaribiwa, ngome ya moto inayozuia kila kitu inaonekana kama mafanikio.

Rudia baada ya kupakia upya usanidi wa seva na baada ya mteja kuunganisha tena, kwa sababu upelekaji wa ndani na ugawaji wa mabwawa ni hali ya wakati wa utekelezaji. Angalia vihesabu katika mielekeo yote miwili, kwa kuwa kanuni inayolingana na mwelekeo mmoja lakini si jibu huzaa utengano wa sehemu ambao ni vigumu kuona katika jaribio la haraka.

Utengano ni matokeo yanayozingatiwa kwenye mpaka ambao kwa hakika unabeba mtiririko. Kanuni ya DROP mahali fulani ndani ya mwenyeji si ushahidi; muunganisho ulioshindikana pamoja na kihesabu kilichosogea kwenye kanuni iliyousababisha ndiyo ushahidi.