VPN துறையைத் திறப்பதால் வாடிக்கையாளர்கள் LAN ஐ அடைய முடியாது

பாதை திறக்கிறது, வாடிக்கையாளர் அங்கீகரிக்கப்படுகிறார், ஆனால் நுழைவாயிலுக்குப் பின்னால் உள்ள LAN கண்ணுக்குத் தெரியவில்லை. இதைச் சரிசெய்ய வேண்டிய விதி VPN துறையை அனுமதிக்கிறது, எழுதியபடியே வேலை செய்கிறது, ஏனெனில் அந்த விதி நுழைவாயிலுக்கே அனுப்பப்படும் பொதிகளைக் கட்டுப்படுத்துகிறது. நுழைவாயிலுக்குப் பின்னால் உள்ள ஹோஸ்ட்டுக்கான வாடிக்கையாளர் போக்குவரத்துக்கு வேறு இலக்கும் வேறு சங்கிலியும் உண்டு. வெற்றிகரமான உள்நுழைவு கர்னல் எந்தச் சங்கிலியைப் பார்க்கிறது என்பதை மாற்றாது.

இரண்டு சங்கிலிகள், இரண்டு வெவ்வேறு இலக்குகள்

ஒரு பொதியின் விதி அது எங்கே செல்கிறது என்பதால் தீர்மானிக்கப்படுகிறது, எப்படி வந்தது என்பதால் அல்ல. நுழைவாயிலில் உள்ள முகவரிக்குச் செல்லும் போக்குவரத்து உள்ளூரில் வழங்கப்பட்டு உள்ளீட்டு விதிகளால் மதிப்பிடப்படுகிறது. நுழைவாயில் முன்னால் அனுப்பும் போக்குவரத்து அனுப்புதல் விதிகளால் மதிப்பிடப்படுகிறது. அதே பாதை இடைமுகம் இரண்டு வகைப் பொதிகளையும் உருவாக்க முடியும், எனவே ஒரு விதி இரண்டு வேலைகளையும் மூட முடியாது.

முழுக் கதையும் ஒரு வாக்கியத்தில்: கேட்பவரை அனுமதிப்பது அவருக்குப் பின்னால் உள்ள வலையமைப்பை அனுமதிப்பது பற்றி எதுவும் கூறாது. இவை தனித்தனி சான்றுகளைக் கொண்ட இரண்டு தனித் தீர்மானங்கள், இரண்டிலும் ஒரே இடைமுகப் பெயர் இருப்பது அவற்றை ஒன்றாக்காது.

கேட்பவர் விதி உண்மையில் எதை அனுமதிக்கிறது

கேட்பவரின் பொதிகள் VPN செயல்பாட்டில் முடிகின்றன, அதுவே பாதையை உருவாக்க அனுமதிக்கிறது. நுழைவாயிலின் நிர்வாகப் பக்கமும் உள்ளூர் கண்டறிதல் பதிலும் ஹோஸ்ட்டின் சொந்த உள்ளீட்டு வழியைப் பயன்படுத்துகின்றன, எனவே நுழைவாயிலுக்கான சோதனை வெற்றியடைகிறது, அதற்குப் பின்னால் உள்ள அனைத்தும் தோல்வியடைகிறது. இரண்டு முடிவுகளும் சரியானவை, எதுவும் LAN பற்றியது அல்ல.

செயல்பாடு வேறு இலக்குக்கான வாடிக்கையாளர் போக்குவரத்தை வெளிக்கொணரும் போது, பொதி அனுப்புதல் வழியில் நுழைந்து அங்கே அனுமதி தேவைப்படுகிறது. வெற்றிகரமான அங்கீகாரம் வாடிக்கையாளர் யார் என்பதைத் தீர்மானிக்கிறது; எங்கே செல்லலாம் என்பதைத் தீர்மானிக்கவில்லை. இரண்டு கேள்விகளுக்கும் வெவ்வேறு உரிமையாளர்கள், பதிவுகள் மற்றும் பிழைச் செய்திகள் உண்டு.

வாடிக்கையாளரிடமிருந்து சோதியுங்கள், நுழைவாயிலிலிருந்து ஒருபோதும் அல்ல

நுழைவாயிலில் உருவாக்கப்பட்ட சோதனை ஹோஸ்ட்டின் சொந்த வெளியீட்டு வழியைப் பின்பற்றுகிறது, அனுப்புதல் வழி மூடப்பட்டிருந்தாலும் வெற்றியடையலாம். சோதனையை வாடிக்கையாளரிடமிருந்து தொடங்கி ஓட்டத்தின் இரு முனைகளையும் பாருங்கள்.

nc -vz 10.40.7.25 445
tcpdump -ni tun0 host 10.40.7.25

கோரிக்கை tun0 இல் தோன்றி இலக்கை எதுவும் அடையவில்லை என்றால், பொதி வந்தபின் தூக்கி எறியப்படுகிறது, இது அனுப்புதல் விதிகள் அல்லது இலக்கின் சொந்த வடிகட்டலுக்குச் சுட்டுகிறது. tun0 இல் எதுவும் தோன்றவில்லை என்றால், வாடிக்கையாளர் அதைப் பாதைக்கே அனுப்பவில்லை, சிக்கல் நுழைவாயில் கொள்கையில் அல்ல, வாடிக்கையாளரின் வழித்தடத்தில் உள்ளது. சரியாக வெளியேறி எதுவும் திரும்பாத கோரிக்கையுடன் இதை ஒப்பிடுங்கள், அதுவே திரும்பும் வழியின் நிலை.

அனுப்புதலுக்கு ஒன்றல்ல, மூன்று தேவை

கர்னல் அனுப்புதல் இயக்கப்பட்டிருக்க வேண்டும், வடிகட்டி விதி ஓட்டத்தை ஏற்க வேண்டும், இலக்கை அடைய முடிய வேண்டும், பதில் திரும்ப வழி இருக்க வேண்டும். மூன்றில் ஒன்று இல்லாவிட்டால் வாடிக்கையாளர் பார்வையில் அதே அமைதி.

sysctl net.ipv4.ip_forward
sudo iptables -S FORWARD
sudo iptables -S INPUT

மூன்று வெளியீடுகளையும் சேர்த்துப் படியுங்கள். முதல் ஒன்றில் பூஜ்ஜியம் இருந்தால் மற்ற இரண்டும் பொருளற்றவை, இரண்டாவதில் இயல்புநிலை நிராகரிப்புக் கொள்கை இருந்தால் வாடிக்கையாளர் பொதிகள் தூக்கி எறியப்படுகின்றன, நுழைவாயிலின் சொந்தப் போக்குவரத்து தொடர்ந்து இயங்குகிறது. மூன்றாவது வெளியீடு கேட்பவர் விதி ஏன் ஒருபோதும் சிக்கலாக இல்லை என்பதைக் காட்டுகிறது.

ஆவணங்களில் இரு விதித் தொகுப்புகளையும் தனித்தனியாக வைத்திருங்கள்

கேட்பவர் விதியையும் அனுப்பப்பட்ட சேவை விதியையும் தனித் தனி வரிகளில், தனி உரிமையாளர்கள் மற்றும் காரணங்களுடன் எழுதுங்கள். VPN துறை மாறும்போது அல்லது புதிய சேவை வெளியிடப்படும்போது, அந்தப் பிரிவு ஒரு மாற்றம் மற்றொன்றை அமைதியாக விரிவாக்குவதைத் தடுக்கிறது.

ஒவ்வொரு அங்கீகரிக்கப்பட்ட துணையையும் நம்பகமான LAN உறுப்பினராகக் கருதுவதற்குப் பதிலாக, தேவைப்படும் வாடிக்கையாளர் வரம்புகளுக்கும் சேவைகளுக்கும் குறுகிய விதிகளைப் பயன்படுத்துங்கள். StrongSwan இன் அனுப்புதல் குறிப்புகள் அதே எல்லையின் திரும்பும் வழி மற்றும் மொழிபெயர்ப்புப் பக்கத்தை விவரிக்கின்றன, அதுவும் மூன்றாவது தீர்மானம்.

இறுதியாக, பயனர் நிராகரிக்கப்படும்போது அடுக்குகளை நேராக வைத்திருங்கள். கோரிக்கை ஹோஸ்ட்டை அடைந்து பயன்பாடு கணக்கை நிராகரித்தால், அந்த அடுக்கிலேயே பயன்பாட்டின் அனுமதியைச் சரிசெய்யுங்கள்; அனுப்புதலை விரிவாக்குவது கோப்புப் பகிர்வுச் சான்றுகளைத் தர முடியாது, வெற்றிகரமாக இணையும் மற்ற அனைவருக்கும் அணுகலை விரிவாக்கும்.