VPN-க்கு வெளியே ஒரு உள்ளூர் வலைச் சேவையை மட்டும், துறை அடிப்படையில் திருப்பு

ஒரு புரவலன் சேவை இயற்பியல் மேல்நோக்கு இணைப்பு வழியாக இணையத்திற்குப் பதிலளிக்க வேண்டும், அதே நேரத்தில் இயந்திரத்தில் உள்ள மற்ற அனைத்தும் சுரங்கப்பாதையைப் பயன்படுத்த வேண்டும். கொள்கை அடிப்படையிலான வழியமைப்பு அந்தச் சுமையைத் தாங்குமா என்பதை மூன்று நிபந்தனைகள் தீர்மானிக்கின்றன, ஒவ்வொன்றையும் விதி எழுதுவதற்கு முன் சோதிப்பது மலிவானது. சேவை DNAT அல்லது அனுப்பப்பட்ட துறையின் பின்னால் அல்ல, இந்தப் புரவலனிலேயே முடிய வேண்டும், VPN-இன் சொந்த விதிகள் விதிவிலக்கை அனுமதிக்க வேண்டும், நீங்கள் கோரிக்கையை அல்ல, பதிலைப் பொருத்த வேண்டும். மூன்றில் ஒன்று தோல்வியடைந்தால் கீழே உள்ள கட்டளைகள் பிழையின்றி ஏற்றப்படும், ஆனால் பயனுள்ள எதையும் செய்யாது.

விதி எழுதுவதற்கு முன் மூன்று நிபந்தனைகளைச் சோதிக்கவும்

DNAT வழியாகத் துறையை வெளியிடும் கொள்கலன், அல்லது துறை அனுப்புதல் பின்னால் உள்ள சேவையகம், இந்தப் புரவலனில் தோன்றாத பொதிகளை உருவாக்குகிறது. அந்தப் பொதிகள் அனுப்பப்படுகின்றன, எனவே புரவலன்-உள்ளூர் உள்ளீட்டில் அமைந்த விதி அவற்றை ஒருபோதும் பார்ப்பதில்லை மற்றும் போக்குவரத்து இயல்புநிலை வழியையே எடுக்கிறது. தொடர்வதற்கு முன் சேவை உண்மையில் எங்கு இயங்குகிறது என்பதை உறுதிசெய்யுங்கள், ஏனெனில் மக்கள் அதிகம் தவறு செய்யும் நிபந்தனை இதுவே.

இரண்டாவது நிபந்தனை கொள்கை, இயந்திரவியல் அல்ல. சுரங்கப்பாதையைத் தவிர்க்கும் எந்த வழியும் சுரங்கப்பாதையின் நோக்கத்திற்கு விதிவிலக்கு, நிர்வகிக்கப்படும் புரவலனில் அந்த முடிவு கொள்கையைச் சொந்தமாகக் கொண்டவருக்கே உரியது, நேர முடிவைப் பிழைதிருத்துபவருக்கு அல்ல.

பதிலைப் பொருத்துங்கள், வாடிக்கையாளரின் இலக்குத் துறையை அல்ல

TCP 443-இல் கேட்கும் சேவையகத்தின் பதில் மூலத் துறை 443 உடன் புரவலனை விட்டு வெளியேறுகிறது. அதே புரவலனில் உள்ள உலாவி தொலைவிலுள்ள HTTPS தளத்துடன் இணையும்போது தற்காலிக மூலத் துறையையும் இலக்குத் துறை 443-ஐயும் அனுப்புகிறது. இரண்டும் துறை 443 போக்குவரத்து, அவற்றில் ஒன்று மட்டுமே WAN அட்டவணையை எடுக்க வேண்டும், அதனால்தான் இலக்குத் துறை பொருத்தம் தவறான பாதியைப் பிடிக்கும்.

பதிலின் திசையே நீங்கள் வேறுபடுத்தக்கூடியது. மூலத் துறையைப் பொருத்துங்கள், விதியை உள்ளூரில் உருவாக்கப்பட்ட பொதிகளுக்கு மட்டும் வரம்பிடுங்கள், அப்போது விதி உலாவியின் கோரிக்கைகளைத் தொடாமல் சேவையின் சொந்தப் பதில்களை உள்ளடக்கும்.

விதி அதை நோக்கிக் காட்டும் முன் முழுமையான திரும்பல் அட்டவணையை உருவாக்குங்கள்

காலி அட்டவணை என்பது வழி இல்லை என்பதாகும், அது உடைந்த கொள்கையை விட உடைந்த சேவையாகத் தெரிகிறது. முதலில் அதை நிரப்புங்கள், புரவலனில் வேறு எதுவும் உரிமை கோராத அட்டவணை எண் மற்றும் முன்னுரிமையுடன்:

ip -4 route add table 100 192.0.2.0/24 dev eth0
ip -4 route add table 100 default via 192.0.2.1 dev eth0
ip -4 rule add priority 1000 iif lo ipproto tcp sport 443 lookup 100

எண்களை நகலெடுக்காமல் இயங்கும் புரவலனில் இருந்து படியுங்கள். ip -4 rule show எந்த முன்னுரிமைகள் எடுக்கப்பட்டுள்ளன என்பதைச் சொல்கிறது, ஏற்கனவே உள்ள முன்னுரிமையில் விதியைச் சேர்ப்பது தனித்தனியாகச் சரியாகத் தெரியும் இரு விதிகளின் வரிசையை அமைதியாக மாற்றுகிறது.

இங்கே உண்மையான வேலையை இரு தேர்விகள் செய்கின்றன. iif lo என்பது புரவலன் தானே உருவாக்கிய பொதிகளை கர்னல் எவ்வாறு தெரிவிக்கிறது என்பதாகும், எனவே விதி வெளியிலிருந்து வரும் அனுப்பப்பட்ட போக்குவரத்தைத் தற்செயலாகப் பிடிக்க முடியாது. ipproto tcp sport 443 அதை ஒரு போக்குவரத்து மற்றும் ஒரு துறைக்குச் சுருக்குகிறது, இது தேவை அனுமதிக்கும் அளவுக்கு இறுக்கமானது. நெறிமுறைத் தேர்வியை நீக்கினால் விதி UDP 443-ஐயும் பிடிக்கும், அது வேறு நடத்தையுள்ள வேறு சேவை.

தனியுரிமைப் பதில்களைச் சுரங்கப்பாதைக்குள் வைத்திருங்கள்

அதே கேட்பான் தனியுரிமைப் பக்கத்தில் உள்ள வாடிக்கையாளர்களுக்கும் பதிலளித்தால், அட்டவணை 100-இல் அனைத்தையும் பிடிக்கும் WAN இயல்புநிலை அந்தப் பதில்களை மேல்நோக்கு இணைப்பு வழியாகத் திருப்ப முயற்சிக்கும். WAN இயல்புநிலையைப் பின்பற்றக் கூடாத தனியுரிமை முன்னொட்டுகளைச் சேர்க்கவும், அல்லது அவற்றை அடுத்த கொள்கை விதிக்கு விழவிடுங்கள்:

ip -4 route add table 100 throw 10.90.0.0/24

throw வழி இந்த அட்டவணையில் தேடலை முடித்து பொதியை விதிகளின் பட்டியலுக்குத் திருப்பித் தருகிறது, எனவே அடுத்த VPN கொள்கைக்கு அதன் வாய்ப்பு கிடைக்கிறது. அது தானாகச் சுரங்கப்பாதைக்கு எதையும் வழியமைக்காது, பின்னர் எந்த விதிக்கும் பொருந்தும் வழி இல்லாவிட்டால் பொதி இருந்தும் தோல்வியடையும்; throw தீர்வு எனக் கருதாமல் அடுத்த கொள்கையைச் சரிபார்க்கவும்.

தலைகீழ் வழி வடிகட்டலும் புரவலன் தீச்சுவர் விதிகளும் வரும் கோரிக்கைக்கு இன்னும் பொருந்தும். சரிபார்ப்பைத் தளர்த்துவதற்கு முன் அவற்றின் உண்மையான தீர்ப்புகளைப் பாருங்கள், ஏனெனில் வழியமைப்பு விதிவிலக்கு rp_filter சாத்தியமற்றதாகக் கருதும் திரும்பும் வழியை ஏற்கச் செய்யாது.

TCP, பின்னர் QUIC, பின்னர் மறுதொடக்கம் சோதிக்கவும்

அங்கீகரிக்கப்பட்ட வெளிப்புற வாடிக்கையாளரிடமிருந்து ஒன்று, தனியுரிமைப் பக்கத்திலிருந்து ஒன்று இணைப்பைத் திறந்து, பின்னர் உண்மையான முகவரிகள் மற்றும் துறைகளுடன் பதில் தேடலை ஆய்வு செய்யுங்கள். வெளிப்புறப் பதில் அட்டவணை 100-ஐ எடுத்து தனியுரிமைப் பதில் எடுக்கவில்லை என்றால், கொள்கை நீங்கள் கேட்டதையே செய்கிறது.

HTTP/3 UDP மூலம் வழங்கப்படுகிறது, TCP விதியால் பொருந்தாது, எனவே QUIC கேட்பானுக்கு அதன் சொந்தத் தேர்வி தேவை, இல்லையேல் HTTPS இயங்கும்போதும் அது சுரங்கப்பாதையையே பயன்படுத்தும். நீங்கள் தேர்ந்தெடுக்கும் விதிகளை இடைமுகத்தைச் சொந்தமாகக் கொண்ட பகுதியில் சேமித்து, மீண்டும் இணைந்த பிறகு அல்லது DHCP புதுப்பித்தலுக்குப் பின் அவற்றை உறுதிசெய்யுங்கள். மறுதொடக்கத்திற்குப் பின் போட்டி மேலாளர் இயக்கநேர வழியை நீக்கினால், அது மூலத்தில் சரிசெய்ய வேண்டிய உரிமைச் சிக்கல், மேலே பரந்த NAT விதிகளைச் சேர்ப்பதற்கான காரணம் அல்ல.