Njia ya VPN au kanuni ya firewall: ipi inaondoa pakiti?

Maamuzi mawili huru hufanyika kwa pakiti moja, na yoyote kati yao inaweza kumaliza ombi kwa utulivu. Utafutaji wa njia huchagua interface na hatua inayofuata, kisha kichujio cha pakiti huamua kama mchanganyiko huo unaruhusiwa. Muda wa kumalizika hukuambia kwamba mmoja wa wawili alikataa, si yupi. Pitia hatua kwa mpangilio na ukarabati kawaida huacha kuwa ubashiri.

Maamuzi mawili, pakiti moja, wamiliki wawili

Utafutaji wa njia hushauriana na kanuni za sera kwanza, kisha jedwali linaloelekezwa, na huchagua kiambishi awali mahususi zaidi kinacholingana na lengwa. Mteja aliyesakinisha njia ya handaki anamiliki uamuzi huo, na hakuna kitu katika kanuni ya firewall kinachoweza kuubadilisha. Utafutaji unapoelekeza mahali pasipotarajiwa, kila hatua inayofuata hufanya kazi kwenye pakiti isiyo sahihi.

Uchujaji ni tofauti. Kwenye mwenyeji wa Linux, ndoano za netfilter hugawanya trafiki kulingana na pakiti ni ya nani: matokeo huondoka kwenye mashine, pembejeo huishia juu yake, upelekaji hupita ndani yake. Lango linalokubali wateja wa VPN na kuwaelekeza kwenye LAN linahitaji njia ya upelekaji, na hiyo ndiyo mnyororo ambao usanidi mwingi chaguo-msingi huacha tupu.

Uchaguzi wa chanzo ni sehemu ya uamuzi huo huo, na hapo ndipo tofauti nyingi hujificha. Kiini huchagua anwani ya chanzo kutoka interface inayotoka isipokuwa njia itaje moja, kwa hivyo kanuni ya kichujio iliyoandikwa kwa subnet ya LAN hailingani kamwe na pakiti inayotoka na anwani ya handaki.

Soma kile utafutaji ulichagua kwa kweli

Chapisha uamuzi badala ya kuukisia. Amri hapa chini hutatua njia ambayo kiini kingetumia kwa lengo hilo, ikiwa ni pamoja na interface na chanzo ambacho kingechagua:

ip route get 10.8.0.5
ip route get 10.8.0.5 from 192.0.2.44
ip rule show
ip route show table all | sed -n '1,40p'

Wateja wa VPN mara nyingi husakinisha kanuni za sera kwa vipaumbele chini ya jedwali kuu, kwa hivyo jedwali kuu safi haliwezi kuthibitisha chochote peke yake. Linganisha vipaumbele vya kanuni na majedwali wanayochagua, na uangalie kama njia ya handaki inastahimili muunganisho upya badala ya kuongezwa kwa mkono mara moja.

IPsec inayotegemea sera huongeza hatua ya tatu ya ulinganishaji ambayo uelekezaji hauishughulikii, kama maelezo ya strongSwan kuhusu upelekaji yanavyoeleza kwa mipangilio ya handaki na usafirishaji. Sera ya usalama huchagua trafiki kwa kiambishi awali na itifaki, wakati njia huamua tu mahali pakiti isiyolindwa ingeenda. Subnet inayoelekezwa lakini haina kichagua kinacholingana ama inabaki bila ulinzi au hutupwa, kulingana na usanidi, na hakuna matokeo yanayofanana na tatizo la firewall. Chapisha sera na linganisha vichagua vyake na viambishi awali ulivyotarajia handaki ibebe.

Uchujaji hutumika kwenye ndoano, si kwenye njia

Kanuni inayoruhusu msikilizaji wa VPN ni kanuni kuhusu trafiki inayoelekezwa kwenye lango lenyewe. Haisemi chochote kuhusu wateja wanaofikia wenyeji nyuma ya lango hilo, kwa sababu trafiki iliyopepeshwa hupitia mnyororo tofauti. Kusoma seti ya kanuni kama orodha moja tambarare ndiyo sababu ya kawaida kwa nini kanuni inayoonekana sahihi haiwashi kamwe.

Vihesabu hutatua swali haraka. Kanuni yenye hesabu ya pakiti sifuri haikufikiwa kamwe, jambo linaloelekeza kwenye mnyororo usio sahihi, interface isiyo sahihi au utupaji wa awali. Kanuni yenye hesabu inayoongezeka chini ya sera ya kutupa ni mpaka uliokuwa ukiutafuta, na pakiti inatupwa badala ya kuelekezwa vibaya.

Tuma uchunguzi kupitia njia ambayo mteja hutumia

Majaribio yanayofanywa kwenye lango lenyewe hupitia matokeo na pembejeo, na anwani ya chanzo ya lango lenyewe. Hiyo ni njia tofauti na ombi lililopepeshwa la mteja, kwa hivyo curl ya ndani inayofanikiwa inathibitisha kidogo kuliko inavyoonekana. Jaribu kutoka kwenye mashine inayoshindwa, au bandika interface na chanzo kwa uwazi.

nc -vz -w 3 10.8.0.5 443
ping -c 3 -W 1 10.8.0.5
tcpdump -ni any host 10.8.0.5 and port 443
iptables -vnL FORWARD --line-numbers
nft list ruleset | sed -n '1,60p'

Kukamata kwenye ncha zote mbili hutenganisha kesi zilizobaki. SYN inayoondoka kwa mteja na haifiki kamwe inamaanisha uelekezaji, usimbaji fiche au orodha ya ufikiaji ya juu. SYN inayofika na haipati jibu inamaanisha huduma au kichujio cha mwenyeji wake, na handaki haikuwa tatizo kamwe.

Trafiki ya kurudi inastahili mtazamo wake. Uelekezaji usio sawa pamoja na uchujaji wa njia ya kinyume hutupa majibu yanayofika kwenye interface isiyo sahihi, jambo linaloonekana kama muunganisho wa upande mmoja badala ya bandari iliyozuiwa. Angalia thamani ya sysctl kabla ya kulaumu firewall kwa dalili ambayo haikusababisha.

Uwekaji kumbukumbu hufanya kazi kama maoni ya pili, si hatua ya kwanza. Taarifa ya kumbukumbu ya muda kwenye mnyororo wa upelekaji hutaja interface na anwani zilizoigonga, na ni rahisi kuiondoa baadaye. Ikiacha kwa kudumu utakuwa umejenga tatizo la kiasi cha kumbukumbu badala ya jibu.

Weka kila mabadiliko mahali panapostahimili muunganisho upya

Njia iliyoongezwa kwa ip route add huishi hadi interface ishuke. Ihifadhi kwenye wasifu wa muunganisho badala yake: NetworkManager hukubali njia za ziada kwenye muunganisho, na netplan huzihifadhi kati ya uanzishaji. Kanuni hiyo hiyo inatumika kwa msamaha wa firewall upande wa mteja, ambao hutoweka baada ya upakiaji upya unaofuata.

Kanuni za upande wa seva ni za faili ya usanidi ambayo huduma hupakia wakati wa kuanza, si kikao cha mwingiliano kinachoishia unapokifunga. Andika kanuni, pakia upya, na uthibitisha kuwa kihesabu kilihamia, kwa sababu upakiaji upya uliokataa sintaksia huacha seti ya zamani ya kanuni mahali pake kwa utulivu.

Kisha rudia ombi la awali la programu kutoka mwanzo hadi mwisho na uandike tabaka gani lilibadilika. Marekebisho ya njia ambayo pia yalihitaji mabadiliko ya kichujio bado yatashindwa, na kushindwa kwa pili husomwa kwa urahisi zaidi ukijua kuwa ya kwanza imeondoka. Andika tarehe na toleo la mteja kando ya matokeo, kwa sababu chaguo-msingi za uelekezaji na uchujaji zote huhamia kati ya matoleo. Weka kumbukumbu hiyo kwenye tikiti ili mtu anayefuata aanzie pale ulipoishia badala ya kurudia safari ya hatua mbili.