UID விதியுடன் ஒரு Linux கணக்கை OpenVPN வழியாக வழிசெலுத்துதல்

கணக்கு அடிப்படையிலான வழிசெலுத்தல் ஒரு Linux பயனரின் உடமையிலுள்ள ஒவ்வொரு IPv4 சாக்கெட்டும் இருக்கும் சுரங்கப்பாதை வழியாக வெளியேற வேண்டியிருக்கும்போது பொருந்தும், நிரல் அளவிலான தனிமை தேவைப்படும்போது பொருந்தாது. இது UID அடிப்படையில் தேர்ந்தெடுக்கிறது, எனவே அந்தக் கணக்கின் கீழ் இயங்கும் அனைத்தும் எல்லைக்குள் வரும், நீங்கள் மறந்த பேட்ச் வேலையும் உட்பட. ஒரு ip rule ஐத் தொடுவதற்கு முன்பே அந்தக் கேள்வியைத் தீர்க்கவும்.

கீழேயுள்ள எடுத்துக்காட்டு UID 1500 இல் உள்ள தனி உலாவி கணக்கு, 10.80.0.11 உள்ளூர் முகவரியைக் கொண்ட சுரங்கப்பாதை சாதனம் tun-office, மற்றும் கேள்விக்குரிய இலக்குகளை அனுமதிக்கும் VPN ஆகியவற்றைக் கருதுகிறது. டீமான் தானே அந்த UID க்கு வெளியே இயங்குகிறது.

இயங்குமுறையைத் தேர்ந்தெடுக்கும் மூன்று நிபந்தனைகள்

வேலை செய்யும் அடையாளம் கணக்காக இருக்கும்போது, அதன் முழு டிராஃபிக்கையும் நகர்த்துவது ஏற்றுக்கொள்ளத்தக்கதாக இருக்கும்போது, மற்றும் namespace வேலைக்கு தகுதியானதை விட கனமாக இருக்கும்போது UID விதியைத் தேர்ந்தெடுக்கவும். பணிச்சுமைக்கு அதன் சொந்த இடைமுகங்கள், தீர்வி மற்றும் வழிசெலுத்தல் அட்டவணை தேவைப்படும்போது நெட்வொர்க் namespace ஐத் தேர்ந்தெடுக்கவும். சரியாக ஒரு பயன்பாடு மட்டும் நகர வேண்டியிருக்கும்போது ப்ராக்ஸி அல்லது ஒவ்வொரு செயல்முறைக்கான பிணைப்பை த் தேர்ந்தெடுக்கவும், அமர்வின் மீதி உள்ளூர் பாதையில் இருக்கும். இந்த மூன்றையும் எழுதி வைப்பது நோக்கத்தை விட அதிகமாக அமைதியாக உள்ளடக்கும் விதியைத் தடுக்கிறது.

தவிர்க்க வேண்டிய தவறு, துவக்கி உரிமையாளரை வரையறுக்கிறது என்று கருதுவதே. மற்றொரு பயனரின் அமர்வு URL வழங்கிய உலாவி UID 1500 கீழ் சாக்கெட்டுகளை உருவாக்கவில்லை, எந்த விதியும் அது உருவாக்கும் டிராஃபிக்கை நகர்த்தாது.

அட்டவணை, விதி மற்றும் காவலர்

இருக்கும் விதிகளைச் சரிபார்த்து பயன்படுத்தப்படாத அட்டவணை மற்றும் முன்னுரிமை எண்களைத் தேர்ந்தெடுத்த பிறகு ஏற்பாடு சுருக்கமானது: சுரங்கப்பாதையின் மூல முகவரியைக் கொண்ட தனி அட்டவணையில் இயல்புநிலை பாதை, கணக்கின் தேடல்களை அந்த அட்டவணைக்கு அனுப்பும் விதி, மற்றும் மாற்றுப் பாதையைத் தடுக்கும் இறுதி விதி. எழுதினால் அது ஐடெம்போடென்ட் பாதை மாற்றீடு, ip -4 route replace default dev tun-office src 10.80.0.11 table 51820, அதைத் தொடர்ந்து ip -4 rule add priority 12100 uidrange 1500-1500 lookup 51820.

காவலர் ip -4 rule add priority 12101 uidrange 1500-1500 unreachable, அதன் நீளம் குறிப்பதை விட அது முக்கியமானது. அது இல்லாமல் 51820 அட்டவணையில் இல்லாத பாதை சாதாரண மேல் இணைப்புக்கு விழுந்து, கொள்கை பிடிக்க வேண்டிய டிராஃபிக்கை கணக்கு அமைதியாகக் கசியவிடும். அதனுடன் அதே தோல்வி நேர முடிவாகும், அதாவது மாற்றுப் பாதை அல்ல, தடுப்பு.

சாதாரண உள்ளூர் முகவரி விதியை இவற்றுக்கு முன் வைத்து, LAN அல்லது நிர்வாக விதிவிலக்குகள் தேர்ந்தெடுத்த அட்டவணைக்கு முன் வருமா என்பதை உணர்வுபூர்வமாக முடிவு செய்யவும். அங்கு கிடைக்கும் இயல்புநிலை பின்னர் மிகவும் குறிப்பிட்ட LAN பாதைக்காக main ஐக் கேட்காது, இது அட்டவணைகளுக்கு இடையே நீளமான முன்னொட்டுப் பொருத்தம் பொருந்தும் என்று எதிர்பார்ப்பவர்களை ஆச்சரியப்படுத்துகிறது. எண்ணிய விதிவிலக்கு பட்டியலை மாற்றக் குறிப்பில் எழுதவும், காரணம் இன்னும் புதியதாக இருக்கும்போது.

UID வழிசெலுத்தல் விட்டுவிடுவது: DNS

தீர்வி டீமான் தன் மேல்நிலை சாக்கெட்டுகளை தன் சொந்த UID கீழ் திறக்கிறது, எனவே 1500 தேர்ந்தெடுப்பது அந்த வினவல்களை 51820 அட்டவணைக்கு நகர்த்தாது. DNS ஒருங்கிணைப்பு தனி முடிவு: கணக்கை சுரங்கப்பாதை வழியாக அடையக்கூடிய தீர்விக்கு காட்டவும், அல்லது பெயர் தீர்வு புரவலன் பாதையைப் பின்பற்றும் ஆனால் டிராஃபிக் பின்பற்றாது என்பதை ஏற்கவும்.

உள்ளூர் stub க்கு loopback வினவல் என்பது மேல்நிலை வினவல் உலாவியின் பாதையைப் பயன்படுத்தியதற்கான சான்று அல்ல, தற்காலிகச் சேமிப்பிலிருந்து வெற்றிகரமான பக்க ஏற்றுதலும் அல்ல.

IPv6 க்கு வடிவமைப்பில் அதன் சொந்த வாக்கியம் தேவை

மேலேயுள்ள விதிகள் IPv4 ஐ மட்டுமே உள்ளடக்குகின்றன. இந்தக் கணக்கிலிருந்து நேரடி IPv6 இல்லாத IPv4 சுரங்கப்பாதை தேவை எனில், மறுபரிசீலனை செய்யப்பட்ட இறுதி விதியைச் சேர்க்கவும், எடுத்துக்காட்டாக ip -6 rule add priority 12101 uidrange 1500-1500 unreachable, பின்னர் முந்தைய IPv6 விதிகளையும் நீங்கள் வைத்திருக்க விரும்பும் loopback விதிவிலக்குகளையும் சரிபார்க்கவும்.

நேரடி IPv6 ஐத் தடுப்பது இரட்டை அடுக்கு சுரங்கப்பாதையாக்கம் அல்ல; அது ஒரு எல்லை. அதை சுரங்கப்பாதையாக்கம் என அழைப்பது கொள்கையைப் படிக்கும் அடுத்த நபரைக் குழப்பும், அந்தக் குழப்பம் உடைந்த IPv6 தளம் பற்றிய உதவி மேசை புகாராக வெளிப்படும்.

உண்மையான கணக்குடன் சரிபார்த்து, பின்னர் வாழ்க்கைச் சுழற்சியைப் பொறுப்பேற்கவும்

தேடல்களை ஒப்பிடவும்: சாதாரண UID உடன் அதே இலக்குக்கு ip -4 route get 198.51.100.25 uid 1500. பின்னர் தனி கணக்கின் கீழ் அனுமதிக்கப்பட்ட கோரிக்கையைச் செய்து, தொலை முனை காணும் மூல முகவரியைச் சரிபார்க்கவும். விருப்ப மூல முகவரி source NAT அல்ல, வேறொன்றைப் பிணைக்கும் பயன்பாட்டை அது மிஞ்சாது. இரு தேடல்களும் ஒரே பாதையைத் திருப்பினால், விதி நீங்கள் நினைப்பதைச் செய்யவில்லை.

அட்டவணை, விதிகள் மற்றும் சுரங்கப்பாதை பாதையின் ஆயுளை ஒரே உரிமையாளரின் கீழ் வைத்து, மறுஇணைப்பு மற்றும் சுரங்கப்பாதை இழப்பைச் சோதித்து, கொள்கையை விலக்கும்போது அதன் துல்லியமான பதிவுகளை மட்டும் நீக்கவும். தனி இடைமுகங்களும் தனி நிலையும் உண்மையில் தேவைப்பட்டால் namespace இன்னும் கிடைக்கிறது.