OpenVPN இணைகிறது ஆனால் எதுவும் பாயவில்லை: பாக்கெட் விழும் அடுக்கைக் கண்டறியுங்கள்

OpenVPN இணைந்துள்ளது என்கிறது, எந்தப் போக்குவரத்தும் நகரவில்லை, இந்த வாக்கியம் குறைந்தது ஐந்து தொடர்பற்ற குறைபாடுகளை மூடுகிறது. எந்த அடுக்கு தோல்வியடைகிறது என்று அறியாமல் ஃபயர்வால் விதிகளைத் திருத்துவது அறியாதவற்றைப் பெருக்கி அடுத்த பொறியாளருக்குக் குழப்பத்தை விட்டுச் செல்கிறது. அதற்குப் பதிலாக செயல்முறையிலிருந்து வெளிப்புறமாக வேலை செய்யுங்கள், ஏனெனில் கீழேயுள்ள ஒவ்வொரு படியும் ஒரு நிலையைச் சுத்தம் செய்கிறது அல்லது பாக்கெட் எங்கு இறக்கிறது என்பதைக் குறுக்குகிறது. இங்கு வரிசை முக்கியம்: எந்த முகவரி பிணைக்கப்பட்டுள்ளது என்று அறியும் முன் எடுக்கப்படும் பிடிப்பு ஏதோ ஒன்றை நிரூபிக்கும், ஆனால் உங்களுக்குத் தேவையானதை அல்ல.

சாக்கெட் பிணைக்கப்பட்டுள்ளது அல்லது இல்லை

செயலில் இருப்பதாகத் தெரிவிக்கும் சேவை நீங்கள் ஒருபோதும் நோக்காத முகவரி அல்லது போக்குவரத்துடன் இன்னும் பிணைக்கப்பட்டிருக்கலாம். சாக்கெட்டையே கேளுங்கள்: ss -lunp UDP கேட்பவர்களைப் பட்டியலிடுகிறது, ss -ltnp TCP பட்டியலிடுகிறது, படிக்கத் தகுந்த நெடுவரிசை உள்ளூர் முகவரி, நிலை அல்ல.

வெற்று பதில் பொதுவாக மூன்றில் ஒன்றைக் குறிக்கிறது: செயல்முறை தொடங்கிய பின் வெளியேறியது, மற்றொரு உள்ளமைவு கோப்பை ஏற்றியது, அல்லது அழைக்கப்படும் முகவரியிலிருந்து வேறுபட்ட முகவரியில் கேட்கிறது.

ss -lunp | grep 1194
ss -ltnp | grep 1194

local வழிமுறை கேட்பவரை ஒரே முகவரியில் பொருத்துகிறது, எனவே அதே புரவலனில் வேறெங்கு இலக்கு வைக்கப்பட்ட வாடிக்கையாளர் நிராகரிக்கப்படுகிறார், அதே நேரத்தில் சேவை வெளியிலிருந்து இன்னும் ஆரோக்கியமாகத் தெரிகிறது. நிகழ்வுப் பெயரும் நீங்கள் ஒருபோதும் திருத்தாத கோப்பைச் சுட்டிக்காட்டலாம், இது இரண்டு சுயவிவரங்களை அருகருகே இயக்கும் புரவலன்களில் நடக்கிறது.

வெளிப்புறப் பாக்கெட்டைப் பிடியுங்கள், சுரங்கப்பாதையை அல்ல

இயற்பியல் இடைமுகம் மற்றும் உண்மையான துறையில் வடிகட்டுங்கள், உங்கள் இடைமுகத்தை மாற்றி: tcpdump -ni eth0 udp port 1194. திரும்பி எதுவும் வராத வெளிச்செல்லும் பாக்கெட்டுகள் மேலே இருப்பதைச் சுட்டுகின்றன: வழங்குநர் வடிகட்டுதல், NAT சாதனம், அல்லது நீங்கள் நினைப்பதிலிருந்து வேறுபட்ட தொலை முகவரி. இரு திசைகளிலும் அமைதி வாடிக்கையாளர் வழியாக்கம் அல்லது உள்ளூர் ஃபயர்வாலைச் சுட்டுகிறது. சுரங்கப்பாதை முன்னேற்றமின்றி வரும் பதில்கள் கட்டுப்பாட்டு சேனலைச் சுட்டுகின்றன, அதாவது விசை அல்லது சைஃபர் பொருந்தாமை, வடிகட்டுதலை அல்ல.

இரு திசைகளையும் பிடியுங்கள், கோப்பைச் சுருக்கமாக வைத்திருங்கள். நீண்ட பிடிப்பு சுவாரஸ்யமான மூன்று வினாடிகளைப் புதைக்கிறது, பதில் கிட்டத்தட்ட எப்போதும் முதல் பரிமாற்றத்தில் இருக்கும்.

முதலில் கவுண்டர்கள், தடயம் அவை பொய் சொல்லும்போது மட்டும்

கவுண்டர்களில் தொடங்குங்கள், ஏனெனில் அவை எதுவும் செலவாகாது. nft list ruleset அல்லது iptables -L -n -v இங்கு முக்கியமான ஒரே கேள்விக்குப் பதிலளிக்கிறது: விதி பொருந்தியதா? வரிசை முடிவைத் தீர்மானிக்கிறது, ஏனெனில் முதல் பொருத்தம் வெல்லும், அதனால் பிந்தைய ACCEPT க்கு முன் பரந்த DROP அந்த ACCEPT ஐ இறந்ததாக விட்டுச் செல்கிறது, அதனால்தான் விதியைச் சேர்ப்பது மிக அரிதாக எதையாவது சரிசெய்கிறது.

உரிமையும் மக்களைத் தடுக்கிறது. கர்னல் உள்ளூரில் உருவாக்கப்பட்ட பாக்கெட்டுகளை சாக்கெட்டைத் திறந்த செயல்முறைக்குக் கூறுகிறது, OpenVPN பொதுவாக root ஆக இயங்குகிறது, எனவே சாதாரண பயனர் ID உடன் பிணைக்கப்பட்ட விதி சுரங்கப்பாதையின் சொந்தப் போக்குவரத்தை ஒருபோதும் பார்ப்பதில்லை. விதி தவறு என்று முடிவெடுக்கும் முன் உரிமையாளர் UID ஐச் சரிபார்க்கவும்.

கவுண்டர்கள் தெளிவற்றதாக இருக்கும் போது மட்டுமே பதிவு சத்தத்திற்குத் தகுதியானது, அப்போதும் குறுகிய பகுதிக்கு மட்டுமே: வேகத்தைக் கட்டுப்படுத்தி தன் பதிவு வரிகளுக்கு முன்னொட்டு சேர்க்கும் iptables விதி, அல்லது nft monitor trace இயங்கும்போது meta nftrace set 1 கொண்ட nftables விதி. தடயம் பாக்கெட்டை ஏற்றுக்கொண்ட அல்லது நிராகரித்த சங்கிலியையும் விதியையும் பெயரிடுகிறது. பின்னர் இரண்டையும் அகற்றி பேலோட் பதிவை வெளியே வைத்திருங்கள்.

போக்குவரத்தையும் சரிபார்க்கவும். TCP க்கு வரம்பிடப்பட்ட ஃபயர்வால் சேவை அந்த எண்ணில் UDP கேட்பவரைப் பற்றி எதுவும் சொல்லாது, எனவே சரியாகப் படிக்கப்படும் விதியும் ஒவ்வொரு பாக்கெட்டையும் நிராகரிக்கலாம்.

வழியாக்கம் மற்றும் திரும்பும் பாதை

ஏற்றுக்கொள்ளப்பட்டும் இன்னும் மறைந்துவிடும் பாக்கெட்டின் இலக்குப் பாதையை ஆராய வேண்டும். ip route get ஒரு முகவரிக்குத் தேர்ந்தெடுக்கப்பட்ட பாதையைத் தெரிவிக்கிறது, தலைகீழ்ப் பாதை வடிகட்டுதல் முதன்மை அட்டவணை ஒருபோதும் தேர்ந்தெடுக்காத இடைமுகம் வழியாக வரும் பதிலை நிராகரிக்கலாம். அறிகுறி ஃபயர்வால் நிராகரிப்பைப் போலவே தெரிகிறது, அதனால்தான் இந்தச் சரிபார்ப்பு மற்றொரு NAT விதிக்கு முன் வருகிறது.

நுழைவாயிலில் input சங்கிலிக்குப் பதிலாக முன்னனுப்புதல் மற்றும் forward சங்கிலியைச் சரிபார்க்கவும். பின்னர் தொலைப் பக்கம் மூல முகவரியை அடைவதை அறிந்திருப்பதை உறுதிசெய்யுங்கள், ஏனெனில் வேலை செய்யும் வெளிச்செல்லும் பாதையில் எதுவும் திரும்பி வராவிட்டால் இரு நிலைகளிலும் அமைதி.

பதிவு என்ன சொல்ல வேண்டும்

ஒவ்வொரு மாற்றத்திற்கும், நீங்கள் சோதித்த நிலை, படித்த சான்று, அதன் இரு பக்கங்களிலும் உள்ள கவுண்டர் மதிப்பை எழுதுங்கள். அந்தக் குறிப்புதான் "இப்போது வேலை செய்கிறது" என்பதை அடுத்த மதிப்பாய்வில் நிலைத்திருக்கச் செய்கிறது.

இரண்டு குறுக்குவழிகள் குறிப்பை நேர்மையாக வைத்திருக்கின்றன. புரவலனை ஒருபோதும் விட்டுச் செல்லாத பாக்கெட்டை வேறெங்கும் உள்ள விதி நிராகரித்திருக்க முடியாது, தொலைப் பக்கத்தின் உள்ளமைவு எவ்வளவு நம்பத்தகுந்ததாகத் தெரிந்தாலும். வெளியேறித் திரும்பிய பாக்கெட் கேள்வியை பிணைய அடுக்குக்கு மேலே நகர்த்துகிறது, அங்கு ஃபயர்வால் கவுண்டர்கள் உங்களுக்குச் சொல்ல இனி எதுவும் இல்லை.