OpenVPN வாடிக்கையாளர் தடுப்பு விதி ஏன் FORWARD-ஐ அடையவே இல்லை

ஒரே OpenVPN சேவையகத்தில் உள்ள இரண்டு வாடிக்கையாளர்கள் தங்கள் குளத்திற்கு DROP விதியைச் சேர்த்த பிறகும் ஒருவரையொருவர் அடைய முடியும். விதி FORWARD சங்கிலியில் உள்ளது, போக்குவரத்து தெளிவாக ஓடுகிறது, ஆனால் அந்த விதியின் கணக்கு பூஜ்யத்திலேயே இருக்கிறது. இயற்கையான முடிவு தீவர்சுவர் பழுதடைந்துள்ளது என்பதே. பெரும்பாலும் பொதி சங்கிலிக்குள் நுழைந்ததே இல்லை.

OpenVPN சேவையகம் வழியாக சக பொதி பயணிக்கக்கூடிய இரண்டு பாதைகள் உள்ளன, அவற்றை தீர்மானிப்பது உள்ளமைவே, தீவர்சுவர் அல்ல. எந்தப் பாதை பயன்படுத்தப்படுகிறது என்பதை அறிவது, ஹோஸ்ட் விதி சரியான இடத்தில் உள்ளதா என்பதைச் சொல்லும்.

சக பொதி பயணிக்கக்கூடிய இரண்டு பாதைகள்

உள் முன்னனுப்பல் விருப்பம் முடக்கப்பட்டிருக்கும்போது, வாடிக்கையாளர் A-வின் பொதி சுரங்கக்குழாய் இடைமுகத்தில் வருகிறது, அதன் இலக்கு வாடிக்கையாளர் B-க்கு ஒதுக்கப்பட்ட முகவரிக்குள் உள்ளது. B-யின் முகவரிக்கான பாதை சேவையகத்திற்குச் சொந்தமானது என்பதால், சேவையகத்தின் வழித்தட அட்டவணை அதை அதே சுரங்கக்குழாய் இடைமுகம் வழியாகவே திருப்பி அனுப்புகிறது. இது ஹோஸ்ட் வழியாக உள்ளேயும் வெளியேயும் செல்லும் ஓட்டம், IPv4 முன்னனுப்பல் பாதை அதை மதிப்பிடுகிறது.

உள் முன்னனுப்பல் விருப்பம் இயக்கப்பட்டிருக்கும்போது, சேவையக செயல்முறை பொதியை இணைக்கப்பட்ட வாடிக்கையாளருடன் பொருத்தி அதே வாடிக்கையாளருக்கு நேரடியாகத் திரும்ப எழுதுகிறது. பொதி டீமனுக்குள் கையாளப்படுகிறது, சுரங்கக்குழாய் சாதனத்திற்குள் மீண்டும் ஒருபோதும் நுழையாது, எனவே ஹோஸ்டின் முன்னனுப்பல் பாதை முழுவதுமாகத் தவிர்க்கப்படுகிறது. OpenVPN 2.6 கையேடு இந்த விருப்பத்தை உள் வாடிக்கையாளர்-க்கு-வாடிக்கையாளர் முன்னனுப்பல் என்று விவரிக்கிறது, ஹோஸ்ட் தீவர்சுவர் விதியால் அதைக் காண முடியாததற்குக் காரணம் அதுவே.

தரவு கால்வாயை கர்னல் தொகுதிக்கு மாற்றும் பயன்பாடுகளில் மூன்றாவது வகை உள்ளது. முன்னனுப்பல் முடிவும் மறையாக்கமும் பயனர் இடத்திலிருந்து வெளியேறுகின்றன, netfilter அந்த ஓட்டத்தைப் பார்க்கிறதா என்பது மாற்றல் பாதை எவ்வாறு கட்டப்பட்டுள்ளது என்பதைப் பொறுத்தது. பழைய விதித்தொகுப்பு மாற்றப்பட்ட சேவையகத்தில் பயனர் இடத்திலுள்ளதைப் போலவே செயல்படும் என்று ஒருபோதும் கருதாதீர்கள். முறையை தொகுப்பு பதிப்பிலிருந்து அல்ல, இயங்கும் உள்ளமைவிலிருந்து உறுதிப்படுத்துங்கள்.

கணக்கு ஒருபோதும் நகராதபோது

பூஜ்ய கணக்கு என்பது அந்த இடத்தில் பொதி அந்த விதியுடன் பொருந்தவில்லை என்பதாகும், காரணங்கள் பல. முதலாவது மேலே கூறிய தவிர்ப்பு: போக்குவரத்து சங்கிலியை அடையவே இல்லை. இரண்டாவது இடைமுகம், திசை, மூலம் அல்லது இலக்கில் பொருந்தாமை, குளம் மறுஎண்ணிடப்பட்டு விதி இன்னும் பழைய முன்னொட்டைக் குறிப்பிடும்போது இது வழக்கமானது.

மூன்றாவது நிலை. சங்கிலியில் முந்தைய விதி உங்கள் DROP மதிப்பிடப்படுவதற்கு முன்பே ஓட்டத்தை ஏற்கலாம், பிந்தைய விதி முடிவை உண்மையில் தீர்மானிப்பதாக இருக்கலாம். கணக்குகள் தெரியும்படி சங்கிலியை வரிசையாகப் படியுங்கள், பின்னர் சோதனையை மீண்டும் செய்யும்போது எந்த விதியின் எண்ணிக்கை கூடுகிறது எனப் பாருங்கள்.

உண்மையான முகவரிகளை நினைவில் உள்ள குத்தகையிலிருந்து அல்ல, சேவையகத்தின் சொந்த நிலையிலிருந்து உறுதிப்படுத்திய இரண்டு வாடிக்கையாளர்களுக்கிடையே ஒரு கட்டுப்படுத்தப்பட்ட பரிமாற்றத்தைச் செய்யுங்கள். தொடர்புடைய கணக்கு இன்னும் நகரவில்லை என்றால், பொருத்தத்தை மீண்டும் எழுதுவதற்கு முன் பாதையைச் சந்தேகியுங்கள். அது நகர்ந்தும் இணைப்பு வெற்றியடைந்தால், வீழ்த்தல் பின்னர் மேலெழுதப்படுகிறது, பிரச்சனை வரிசையில் உள்ளது. அந்தப் பதிலே சரிசெய்தல் விதி மாற்றமா அல்லது இடவியல் மாற்றமா என்பதைத் தீர்மானிக்கும், எனவே எதையும் திருத்துவதற்கு முன் அதைப் பெறுங்கள்.

வடிகட்டக்கூடிய எல்லையைத் தேர்ந்தெடுப்பது

கொள்கை ஹோஸ்ட் தீவர்சுவரிலேயே இருக்க வேண்டும் என்றால், தீவர்சுவர் பார்க்கக்கூடிய இடத்தில் போக்குவரத்தை வையுங்கள். உள் முன்னனுப்பலை முடக்குவதே சக போக்குவரத்தை சுரங்கக்குழாய் இடைமுகம் மற்றும் முன்னனுப்பல் பாதை வழியாகச் செலுத்தும் ஆதரவு பெற்ற வழி, ஆனால் அதன் விலை ஒவ்வொரு சக பொதியும் ஹோஸ்ட் ஸ்டாக் வழியாகச் செல்வதே.

பின்னர் ஓட்டத்தைத் துல்லியமாகப் பொருத்துங்கள். போக்குவரத்து இரு திசைகளிலும் சுரங்கக்குழாய் இடைமுகத்தில் வந்து சுரங்கக்குழாய் இடைமுகத்திலிருந்து வெளியேறுகிறது, எனவே இயற்பியல் இடைமுகத்தை மட்டும் கருதும் விதிகள் பொருந்தாது. முகவரி அடிப்படையிலான விதிகளுக்கு தற்போதைய குளம் தேவை, மேலும் அவை திரும்பும் திசையையும் முன்னோக்கிய திசையையும் போலவே கருத்தில் கொள்ள வேண்டும்.

பல பயன்பாடுகளுக்கு வாடிக்கையாளர் அல்லது குழு மட்டத்தில் வடிகட்டுவதே சிறந்தது, அங்கு அடையாளம் தெரியும், கொள்கை மீண்டும் இணையும்போது மாறும் முகவரியை அல்ல, பயனரைப் பின்பற்றுகிறது. இது ஹோஸ்ட் சங்கிலியிலிருந்து வேறுபட்ட இயங்குமுறை, தெளிவான காரணமின்றி இரண்டையும் கலக்கக்கூடாது.

பழைய இடவியலின் விதித்தொகுப்பை இடம்பெயர்வின் போது மாற்றமின்றி எடுத்துச் செல்ல வேண்டாம். முகவரி குளங்கள், இடைமுகப் பெயர்கள், முன்னனுப்பல் முறைகள் அனைத்தும் ஒரு விதி பொருந்துகிறதா என்பதைப் பாதிக்கின்றன, முன்பு வேலை செய்த நகலெடுக்கப்பட்ட விதி மிகவும் தவறாக வழிநடத்தும் சான்று வகை. நீங்கள் அனுமதிக்க விரும்பும் ஓட்டத்திலிருந்து தொடங்கி அதற்குப் பொருந்தும் விதியை எழுதுங்கள்.

விதியை நம்புவதற்குப் பதிலாக தனிமைப்படுத்தலைச் சோதிப்பது

தடைசெய்யப்பட்ட நிலையையும் அனுமதிக்கப்பட்ட நிலையையும் ஒரே இயக்கத்தில் சோதியுங்கள். ஒரு வாடிக்கையாளரிலிருந்து மற்றவருக்கு புதிய இணைப்பைத் தொடங்கி அது தோல்வியடைவதை உறுதிப்படுத்துங்கள், பின்னர் அனுமதிக்கப்பட வேண்டிய இணைப்பு இன்னும் வேலை செய்வதை உறுதிப்படுத்துங்கள். முதல் ஒன்றை மட்டும் சோதித்தால், எல்லாவற்றையும் தடுக்கும் தீவர்சுவர் வெற்றியாகத் தெரியும்.

சேவையக உள்ளமைவை மீண்டும் ஏற்றிய பின்னரும், வாடிக்கையாளர் மீண்டும் இணைந்த பின்னரும் மீண்டும் செய்யுங்கள், ஏனெனில் உள் முன்னனுப்பலும் குள ஒதுக்கீடுகளும் இயக்கநேர நிலை. இரு திசைகளிலும் கணக்குகளைச் சரிபாருங்கள், ஏனெனில் ஒரு திசையுடன் பொருந்தி பதிலுடன் பொருந்தாத விதி, விரைவான சோதனையில் கவனிக்கக் கடினமான பகுதி தனிமைப்படுத்தலை உருவாக்குகிறது.

தனிமைப்படுத்தல் என்பது ஓட்டத்தை உண்மையில் சுமக்கும் எல்லையில் கவனிக்கப்படும் முடிவு. ஹோஸ்டில் எங்கோ உள்ள DROP விதி சான்று அல்ல; தோல்வியடைந்த இணைப்பும் அதை ஏற்படுத்திய விதியின் நகர்ந்த கணக்கும் சான்று.