Kwa nini ndoano ya ngome ya VPN huongeza kanuni hiyo hiyo mara mbili

Ndoano inafanya kazi mara ya kwanza, na baada ya muunganisho upya mara tatu mnyororo unashikilia nakala tatu za kanuni hiyo hiyo. Hakuna kilichoshindwa kwa sauti; hati ilifanya tu kile ilichoambiwa kila ilipoendeshwa. Ndoano ya VPN ni operesheni ya usanidi inayoweza kuendeshwa zaidi ya mara moja, kwa hivyo inahitaji mmiliki, hali inayotakikana na mabadiliko yaliyopangwa. Fuata mpangilio huo na marudio yatasimama.

Wape kanuni mmiliki kabla ya kuandika yoyote

Amua ni mnyororo au jedwali gani umiliki wa kiunganishi hiki kabla ya kuandika kanuni moja. Mnyororo maalum ambao ndoano huunda na kuufuta ndio njia iliyo wazi zaidi ya umiliki, kwa sababu usafishaji unaweza kisha kuondoa mnyororo huo bila kugusa sera ya mtu mwingine. Ikiwa lazima uongeze kanuni kwenye mnyororo unaoshirikiwa, zitia alama kwa maoni ili utafutaji wa baadaye upate zako hasa. Umiliki ndio hufanya ubomoaji kuwa salama, na ubomoaji ni sehemu inayoshindwa kwa kimya.

iptables -N VPN_HOOK 2>/dev/null || true
iptables -C INPUT -j VPN_HOOK 2>/dev/null || iptables -I INPUT -j VPN_HOOK
iptables -S VPN_HOOK

Maoni hapa si mapambo. Ni tofauti kati ya kuondoa kanuni yako na kuondoa kanuni inayofanana kwa bahati, na hubaki katika seti ya kanuni iliyohifadhiwa. Andika maoni mara moja katika kigeu na tumia mfuatano huo huo katika kila amri inayoongeza, kujaribu au kufuta.

Jaribu hali inayotakikana badala ya kuongeza tena

Andika kile kinachopaswa kuwepo wakati handaki iko juu: ni violesura vipi, chanzo na lengwa gani, itifaki gani na bandari gani. Kisha eleza kila kanuni kama jaribio linalofuatiwa na uingizaji, ili uendeshaji wa pili upate kanuni na usifanye chochote. Amri ya ukaguzi hutoka na sifuri kanuni inapokuwepo, na hiyo ndiyo ishara ambayo hati inahitaji. Rejea ya iptables inaandika aina za ukaguzi, kuongeza na kuingiza zilizotumika hapa.

iptables -C VPN_HOOK -i tun0 -p tcp --dport 443 -j ACCEPT ||
  iptables -A VPN_HOOK -i tun0 -p tcp --dport 443 -j ACCEPT

Kuwa mwangalifu na nafasi. Kukagua kanuni na kuiingiza juu kunaweza kusogeza ruhusa mbele ya kukataa kwa makusudi ambako hapo awali kulikuja kwanza, kwa hivyo uendeshaji wa pili hubadilisha tabia ingawa hauongezi chochote. Ongeza mwishoni ndani ya mnyororo wako mwenyewe, na dhibiti mpangilio kwa mahali ambapo kuruka kwenda mnyororo huo kuko. Ikiwa mpangilio ndani ya mnyororo ni muhimu, jenga mnyororo upya kutoka orodha inayojulikana badala ya kuubandika kanuni kwa kanuni.

Simama ikiwa kanuni unayohitaji haiwezi kuelezwa kama jaribio thabiti. Hiyo kwa kawaida inamaanisha kwamba hali inayotakikana bado haijafafanuliwa.

Panga mabadiliko badala ya kutumaini yatadumu

Miito miwili ya ndoano inaweza kupishana, na yote mawili yanaweza kuona kanuni iliyokosekana kabla ya moja kuiongeza. Chaguo la kusubiri la xtables hufanya amri isubiri kufuli, lakini halifanyi mfuatano wa kagua-kisha-ongeza kuwa atomiki katika amri mbili. Panga operesheni yote kwa kufuli lako mwenyewe, au tumia kidhibiti kinachotumia kundi lililotangazwa kama shughuli moja. nftables inaweza kufanya la mwisho, na hiyo ni sababu moja ya kuipendelea kwenye wenyeji ambako inapatikana.

flock /run/vpn-hook.lock /usr/local/sbin/vpn-firewall-apply
nft -f /etc/nftables/vpn-hook.nft

Utakachochagua utaratibu wowote, weka sehemu muhimu kwa ufupi na uifanye iweze kuingizwa tena: ndoano inayoshindwa katikati inapaswa kuwa salama kuendeshwa tena. Rekodi matokeo ili uendeshaji unaorudiwa uonekane katika jarida badala ya kukadiriwa kutoka kwa idadi ya kanuni. Ikiwa wasimamizi wawili tofauti wanaweza kuita ndoano, rekebisha hilo kwanza; hakuna kufuli linalorekebisha wamiliki wawili.

Bomoa tu kile unachomiliki

Ubomoaji unapaswa kutofautisha muunganisho badala na ule uliostaafu, na unapaswa kustahimili tukio ambalo hupati usafishaji wa adabu. Futa kwa vitambulishi vile vile ulivyotumia kuongeza, na usikate kamwe mnyororo unaoshirikiwa ili kurahisisha usafishaji. Baada ya kusimama kwa nguvu, endesha mzunguko wa upatanisho mwanzoni mfuatao badala ya kudhani ndoano ya chini iliendeshwa.

iptables -D VPN_HOOK -i tun0 -p tcp --dport 443 -j ACCEPT
iptables -F VPN_HOOK
ip -brief link show type tun

Maisha ya kiolesura pia ni sehemu ya usanifu. Muunganisho upya unaweza kuunda kifaa chenye jina tofauti, kwa hivyo kanuni inayoweka kwa uthabiti jina la handaki la pili huwa ya kizamani ingawa bado inaonekana halali. Pendelea utambulisho ambao muunganisho wenyewe hufichua, na uisome tena kila uendeshaji. Jaribu matukio matatu kivyake: muunganisho unaorudiwa, muunganisho badala na kuzima. Trafiki inayoruhusiwa inapaswa kustahimili yote matatu bila marudio, na huduma zisizohusiana zinapaswa kubaki bila kuguswa.

Mtembezi huisha wakati ndoano ina mmiliki, jaribio kwa kila kanuni inayoongeza, njia moja iliyopangwa na ubomoaji unaoondoa hali yake mwenyewe pekee. Ndoano iliyo salama kuendeshwa mara mbili ina thamani zaidi kuliko ndoano iliyo werevu mara moja.