சுரங்கத்தை நிறுத்தாமல் ஒரு OpenVPN வாடிக்கையாளரை LAN-இல் இருந்து தடுக்கவும்

உங்கள் OpenVPN சேவையகத்தில் ஒரு வாடிக்கையாளர் LAN அணுகலை இழக்க வேண்டும், மற்ற சுரங்கங்கள் அனைத்தும் இயங்கிக்கொண்டிருக்க வேண்டும். இதைத் தேடினால், சிறந்த பதில் பொதுவாக டீமனால் முடியாது என்று கூறும், அது பாதி மட்டுமே உண்மை: OpenVPN-இல் ஒவ்வொரு வாடிக்கையாளருக்கும் ஃபயர்வால் இல்லை, ஆனால் சுரங்கத்தை முடிக்கும் ஹோஸ்ட் ஏற்கனவே பாக்கெட்டுகளை வடிகட்டுகிறது. முக்கியமான இரண்டு முடிவுகள் நீங்கள் தடுக்கும் அடையாளம் மற்றும் விதியின் நிலை. இவை இரண்டையும் சரிசெய்தால் மாற்றம் சோதித்து நீக்கக்கூடிய ஒரு வரியாகும்.

விதியை எழுதுவதற்கு முன் வாடிக்கையாளரைப் பிணைக்கவும்

OpenVPN குளத்திலிருந்து சுரங்க முகவரிகளை வாடகைக்கு விடுகிறது, எனவே 10.8.0.6 ஒரு நபர் அல்ல, ஒரு இருக்கை. அமர்வு முடிந்ததும் வாடகை திரும்பி அடுத்த இணைப்புக்கு வழங்கப்படலாம், அதாவது அந்த முகவரிக்கு எதிரான விதி இருக்கையைப் பின்தொடரும், பயனரை அல்ல. எனவே முதலில் நீங்கள் உண்மையில் எதைத் தடுக்கிறீர்கள் என்பதை முடிவு செய்யுங்கள்: குறுகிய பரிசோதனைக்கான முகவரி, அல்லது வெளியே வைத்திருக்க விரும்பும் ஒருவரின் சான்றிதழ்.

முகவரியைச் சான்றிதழுடன் இணைக்க, client-config-dir குறிப்பிடும் கோப்பகத்தில் ஒரு கோப்பை உருவாக்கி, கோப்புக்கு சான்றிதழின் common name-ஐ சரியாகக் கொடுக்கவும். அதில் ஒரு கட்டளையை வைக்கவும், ifconfig-push 10.8.0.6 255.255.255.0, அந்த வாடிக்கையாளர் மீண்டும் இணையும்போதும் அதே சுரங்க முகவரியைத் தக்கவைக்கும். இது செயல்பட இரண்டு அமைப்புகள் இருக்க வேண்டும்: சேவையக உள்ளமைவில் client-config-dir அறிவிக்கப்பட வேண்டும், மேலும் அனுப்பப்படும் முகவரி சேவையகம் வழியமைக்கக்கூடிய துணைப்பிணையத்தில் இருக்க வேண்டும். ஒன்று தவறினால் கோப்பு பிழையின்றி புறக்கணிக்கப்படும், இது அடுத்த ஃபயர்வால் சோதனையைத் தவறாக வழிநடத்தும்.

தற்காலிகத் தடை குளத்தின் முகவரியைப் பயன்படுத்தலாம், அந்த நேரத்தில் எந்த அமர்வு அதை வைத்திருந்தது என்பதை டிக்கெட் பதிவு செய்தால்.

வரிசை வீழ்த்தல் இயங்குமா என்பதைத் தீர்மானிக்கிறது

சுரங்கத்திற்கும் LAN-க்கும் இடையே அனுப்பும் Linux நுழைவாயிலில் பாக்கெட்டுகள் FORWARD சங்கிலியைக் கடக்கின்றன. கீழேயுள்ள கட்டளையை ஒரு வாக்கியமாகப் படியுங்கள்: FORWARD-இன் தலையில் செருகி, tun0-இல் இருந்து வரும், அந்த ஒரு ஹோஸ்ட்டிலிருந்து, LAN துணைப்பிணையத்தை நோக்கிய போக்குவரத்தைப் பொருத்தி வீழ்த்தவும்.

iptables -I FORWARD -i tun0 -s 10.8.0.6/32 -d 192.168.1.0/24 -j DROP

-I தான் விதியை இயக்குகிறது. -A உடன் சேர்த்தால் அது சுரங்கத் துணைப்பிணையத்திற்கான எந்த பரந்த அனுமதிக்கும் கீழே விழும், ஒருபோதும் பாக்கெட்டைப் பார்க்காது. நிலையை iptables -vnL FORWARD --line-numbers மூலம் சரிபார்க்கவும், எண்ணிகளையும் படியுங்கள்: மேலேயுள்ள வீழ்த்தல் எதையும் எண்ணவில்லை என்றால் போக்குவரத்து வேறு வழியில் வருகிறது.

நுழைவாயிலின் சொந்த LAN முகவரி வேறு வழி. பெட்டிக்கே அனுப்பப்படும் பாக்கெட்டுகள் INPUT-க்குச் செல்கின்றன, FORWARD-க்கு அல்ல, எனவே வாடிக்கையாளர் LAN ஹோஸ்ட்டை இழந்தாலும் ரவுட்டரின் நிர்வாகப் பக்கத்தைத் திறக்கலாம். அது முக்கியமானபோது பொருந்தும் INPUT விதியைச் சேர்க்கவும்.

வடிகட்டி பார்க்க முடியாதவை

பாக்கெட் மதிப்பிடப்படும்போது வடிகட்டுதல் நடக்கிறது, எனவே நிறுவப்பட்ட TCP அமர்வு மூடப்படும் அல்லது மீட்டமைக்கப்படும் வரை தொடரலாம். தடை உடனடியாக வேலை செய்ய வேண்டுமானால், விதி செருகிய பிறகு அந்த மூலத்தின் கண்காணிக்கப்பட்ட ஓட்டங்களை conntrack -D -s 10.8.0.6 மூலம் அழிக்கவும். சில வினாடிகள் ஒன்றுடன் ஒன்று மிகைத்தல் ஏற்றுக்கொள்ளப்பட்டால் அந்தத் தேர்வைப் பதிவு செய்யுங்கள், மறைமுகமாக விடாதீர்கள். எப்படியிருந்தாலும், அடுத்த நபர் விதி உயிருள்ள போக்குவரத்தை நிறுத்துகிறதா அல்லது புதிய இணைப்புகளை மட்டுமா என்பதை அறிய வேண்டும்.

சகாக்களுக்கு இடையிலான போக்குவரத்து ஹோஸ்ட்டின் ஃபயர்வாலை ஒருபோதும் தொடுவதில்லை. client-to-client இயக்கப்பட்டால் OpenVPN அந்தப் பாக்கெட்டுகளை டீமனுக்குள் அனுப்புகிறது, எனவே FORWARD அல்லது INPUT அவற்றைப் பார்ப்பதில்லை. ஒரே தீர்வுகள் client-to-client-ஐ அணைப்பது அல்லது சகாக்கள் ஒருவரையொருவர் அடையலாம் என்பதை ஏற்பது; iptables விதி அந்தப் போக்குவரத்தைப் பார்க்காது.

IPv6, ஃபேர்ம்வேர் மற்றும் மறுதொடக்கத்திற்குப் பிறகு நீடிப்பு

IPv4 விதி IPv6 பற்றி எதுவும் கூறாது. சுரங்கமும் LAN-உம் இரு குடும்பங்களையும் சுமந்தால், சமமான விதி ip6tables-இல் அல்லது அந்த ஹோஸ்ட்டில் கொள்கையைக் கொண்ட nftables விதித்தொகுப்பில் இருக்க வேண்டும். ரவுட்டர் ஃபேர்ம்வேர் பெரும்பாலும் netfilter-ஐ அதன் சொந்த சுருக்கத்தின் பின்னால் மறைக்கிறது, எனவே மன்றத்திலிருந்து நகலெடுத்த தொடரியல் மற்றும் அட்டவணைப் பெயர்கள் பொருந்தாமல் போகலாம்.

OpenWrt-இல் ஆவணப்படுத்தப்பட்ட பாதை ஃபயர்வால் உள்ளமைவு உள்ளீடு, கையால் எழுதப்பட்ட iptables வரி அல்ல, கையால் எழுதப்பட்ட வரி ஃபயர்வால் மீண்டும் ஏற்றப்படும்போது மறைந்து போகலாம். மற்ற விநியோகங்கள் விதிகளை netfilter-persistent, துவக்க அலகு அல்லது விற்பனையாளர் சேமிப்பகம் வழியாக மீட்டமைக்கின்றன, அந்த வழிமுறைகள் ஒன்றுக்கொன்று மாற்றக்கூடியவை அல்ல. நீங்கள் தேர்ந்தெடுத்ததை மறுதொடக்கத்தால் நிரூபிக்கவும், ஏனெனில் மீள்ஏற்றுதல் வேறு பாதையைப் பயிற்சி செய்கிறது.

பாதை வாரியாகச் சரிபார்த்து, பின்னர் சுத்தமாகப் பின்னால் செல்லவும்

ஒவ்வொரு பாதையையும் தனித்தனியாகச் சோதிக்கவும், ஏனெனில் ஒரு வெற்றிகரமான சரிபார்ப்பு மற்றவற்றை மறைக்கிறது. தடுக்கப்பட்ட வாடிக்கையாளர் சுரங்கம் வழியாக இணையத்தை அடைய வேண்டும் ஆனால் LAN ஹோஸ்ட்டிடம் தோல்வியடைய வேண்டும், இரண்டாவது வாடிக்கையாளர் அதே ஹோஸ்ட்டை அடைய வேண்டும், நுழைவாயில் முகவரி மற்றும் சகப்பாதை ஒவ்வொன்றுக்கும் தனி கண்காணிப்பு தேவை. முடிவுகளை விதிக்கு அருகில் எழுதுங்கள், அடுத்த மாற்றத்திற்கு அடிப்படை இருக்கும். கீழேயுள்ள அட்டவணை டிக்கெட்டில் வைத்திருக்கத் தகுந்த தொகுப்பு.

பின்னால் செல்வது விவரக்குறிப்பின்படி நீக்குவது, flush அல்ல: iptables -D FORWARD -i tun0 -s 10.8.0.6/32 -d 192.168.1.0/24 -j DROP அந்த உள்ளீட்டைச் சரியாக நீக்கி சங்கிலியின் மீதியை அப்படியே வைக்கிறது. தொடக்கத்தில் விதிகளை மீட்டமைக்கும் எந்தக் கோப்பிலிருந்தும் அதே வரியை நீக்கி, அதை மீண்டும் ஏற்றி, வாடிக்கையாளர் மீண்டும் LAN ஹோஸ்ட்டை அடைவதை உறுதி செய்யவும். FORWARD-ஐ flush செய்தால் நீங்கள் எழுதாத விதிகளும் ரத்தாகும், இது பின்னடைவை இரண்டாவது சம்பவமாக மாற்றும்.

டிக்கெட்டை மூடுவதற்கு முன் மூன்று விஷயங்களை உறுதி செய்யவும்: பிணைக்கப்பட்ட முகவரி சான்றிதழுடன் பொருந்துகிறது, விதி அனுமதிகளுக்கு மேலே உள்ளது மற்றும் எண்ணி பூஜ்ஜியம் அல்ல, மேலும் நிலைத்தன்மைக் கோப்பில் நீங்கள் சோதித்த அதே விதி உள்ளது. இவற்றில் ஒன்று இல்லாவிட்டால், தடை என்பது shell அமர்வில் ஒரு மாயை.