மூல-போர்ட் விதி உங்கள் SSH பாதைகளில் ஒன்றை ஏன் உடைக்கிறது

ஒரே ஹோஸ்ட்டில் இரண்டு நிர்வாக உள்ளீடுகள், ஒரு சேவை போர்ட், மற்றும் இரண்டுக்கும் உதவ வேண்டிய கொள்கை விதி. விதி மூல போர்ட் 22-உடன் பொருந்துகிறது, தேடலை WAN இயல்புநிலையை மட்டும் அறிந்த அட்டவணைக்கு அனுப்புகிறது, மேலும் நேரடி உள்ளீடு தொடர்ந்து வேலை செய்யும்போது VPN உள்ளீடு புதிய உள்நுழைவுகளுக்குப் பதிலளிப்பதை நிறுத்துகிறது. தேர்ந்தெடுப்பான் சரியாகப் படிக்கப்பட்டால் இதில் எதுவும் மர்மமல்ல. மூல போர்ட் ஒரு சேவையை அடையாளம் காட்டுகிறது, இணைப்பு வந்த பாதையை அல்ல.

இரண்டு உள்ளீடுகள், ஒரு சேவை போர்ட்

ஹோஸ்ட்டில் LAN பக்க முகவரியும் VPN முகவரியும் உள்ளன, sshd இரண்டிலும் கேட்கிறது. எனவே நேரடி அமர்வும் சுரங்க அமர்வும் சேவை போர்ட்டைப் பகிர்ந்து, எந்த உள்ளூர் முகவரி இணைப்பைப் பெறுகிறது என்பதில் மட்டுமே வேறுபடுகின்றன.

அந்த வேறுபாடு பதில் பாதையைத் தேர்ந்தெடுக்க போதுமானது, போர்ட் அடிப்படையிலான விதி தூக்கி எறியும் வேறுபாடும் அதுவே. இரு அமர்வுகளும் மூல போர்ட் 22 உள்ள பதில்களை உருவாக்குகின்றன, எனவே அந்த போர்ட்டுடன் பொருந்தும் விதி அவற்றைப் பிரிக்க முடியாது. அது இரண்டு தேடல்களையும் ஒரே அட்டவணைக்கு அனுப்புகிறது, அவற்றில் ஒன்று பொருந்தாத பதிலைப் பெறுகிறது. தீர்வு உண்மையில் வேறுபடும் பண்புடன் பொருத்துவதாகும்.

ஒவ்வொரு உள்ளீட்டுக்கும் அதன் சொந்த போர்ட்டை வழங்குவதும் வேலை செய்யும், அதை ஒரு தேவையாகக் கருதுவது SSH-இன் பண்பல்ல, வடிவமைப்புத் தேர்வு.

விதியைப் படியுங்கள், பின்னர் அட்டவணையை

கொள்கை விதி ஒரு வரிசைப்படுத்தப்பட்ட தேர்ந்தெடுப்பான், பயன்படுத்தக்கூடிய பதிலைத் திருப்பித் தரும் முதல் விதி தேடலை முடிக்கிறது. பட்டியலை வரிசையாகப் படித்து எந்த விதி வெல்ல முடியும் என்பதைக் கவனியுங்கள்.

பின்னர் அந்த விதி சுட்டும் அட்டவணையைப் படியுங்கள், ஏனெனில் வெற்றிகரமாகத் தீர்க்கப்படும் விதி பயனுள்ள வகையில் தீர்க்கப்படும் விதி அல்ல. இயல்புநிலை பாதை மட்டும் உள்ள அட்டவணை VPN மூல பதிலை WAN இடைமுகம் வழியாக வெளியே அனுப்புகிறது. பிந்தைய அட்டவணையில் உள்ள குறிப்பிட்ட பாதை ஒருபோதும் பார்க்கப்படுவதில்லை, அதனால்தான் இரண்டாவது அட்டவணையைச் சேர்ப்பது பல நேரங்களில் எதையும் மாற்றுவதில்லை. பரிசோதிக்க வேண்டியது தேர்ந்தெடுக்கப்பட்ட அட்டவணையே.

ip -4 rule show
ip route show table 100
ip route show table main

இந்த இரண்டு வெளியீடுகளும் சேர்ந்து முடிவை விளக்குகின்றன; எதுவும் தனியாகத் தவறான முடிவுக்கு அழைக்கிறது.

விதியை நீங்கள் கருதும் ஓட்டத்துக்கு வரம்பிடுங்கள்

இரு உள்ளீடுகளையும் பிரிக்கும் பண்பு உள்ளூர் மூல முகவரி. அந்த முகவரியுடன் பொருந்தும் விதி சுரங்க அமர்வுகளை மட்டும் தனிப்பட்ட அட்டவணைக்கு அனுப்பி, நேரடி அமர்வுகளை முதன்மை அட்டவணையில் வைக்கிறது.

அந்த விதி தனிப்பட்ட பாதையும் அந்த துணை வலையமைப்பின் திரும்பு பாதையும் உள்ள அட்டவணையுடன் இணைக்கப்பட வேண்டும். இரண்டையும் ஹோஸ்ட்டின் ஒவ்வொரு சேவைக்கும் அல்ல, நிர்வாகப் போக்குவரத்துக்கு வரம்பிடுங்கள். அந்த முகவரியிலிருந்து வரும் அனைத்துப் போக்குவரத்தையும் பிடிக்கும் விதி ஹோஸ்ட் அங்கிருந்து அனுப்பும் மற்ற அனைத்தையும் திருப்பிவிடும். இங்கே குறுகியது புத்திசாலித்தனத்தை வெல்கிறது, ஏனெனில் அடுத்த நபர் அதைப் படிக்க வேண்டும்.

sudo ip rule add from 10.90.0.1 lookup 100 priority 100
sudo ip route add 10.90.0.0/24 dev wg0 table 100
ip route get 10.90.5.20 from 10.90.0.1

இரு உள்ளீடுகளும் ஒரே உள்ளூர் முகவரிக்கு மொழிபெயர்க்கப்பட்டால் அந்த வேறுபாடு மறைந்து, வடிவமைப்புக்கு அதற்குப் பதிலாக இணைப்பை அறியும் நிலை தேவைப்படும்.

கேட்பான், அனுமதி மற்றும் பதில் தேர்வைத் தனியே வைத்திருங்கள்

அமர்வு வேலை செய்ய மூன்று தனித்தனி விஷயங்கள் உண்மையாக இருக்க வேண்டும்: முகவரி உள்ளது, சேவை அதில் கேட்கிறது, பதில் திரும்பும் பாதையைக் கண்டறிகிறது. பாதை மாற்றம் மூன்றாவதை மட்டும் சரிசெய்கிறது.

கேட்பான் உள்ளமைவு அதன் சொந்த கோப்பும் அதன் சொந்த மறுஏற்றுதலும், மேலும் பல கேட்கும் முகவரிகள் சாதாரணம். அங்கீகாரம் மீண்டும் மூன்றாவது முடிவு, வழிசெலுத்தல் விலக்கு யாருக்கும் அணுகலைத் தராது. இரு உள்ளீடுகளிலும் ஹோஸ்ட் சாவி சரிபார்ப்பு, கணக்கு அங்கீகாரம் மற்றும் மூல கட்டுப்பாடுகளை வைத்திருங்கள், ஒரு நிர்வாகப் பாதை வேலை செய்ய சுரங்கத்தின் மற்ற கட்டுப்பாடுகளை பலவீனப்படுத்தும் ஆசையை எதிர்த்திடுங்கள்.

நீங்கள் மாற்றும் பாதையைச் சாராத மீட்பு சேனலை வைத்திருங்கள், ஏனெனில் இங்குள்ள தவறு சரிசெய்தலையே பூட்டிவிடும்.

பழையதால் அல்ல, புதிய அமர்வால் இதை நிரூபியுங்கள்

நிறுவப்பட்ட முனையம் எதையும் நிரூபிக்காது, ஏனெனில் அது மாற்றத்துக்கு முன்பே அனுமதிக்கப்பட்டது. ஒவ்வொரு எண்ணிய உள்ளீட்டின் வழியாகவும் புதிய அமர்வைத் திறக்கவும்.

ss -ltnp | grep ':22'
sudo sshd -T | grep -i listenaddress
ssh -v [email protected] true
sudo journalctl -u ssh -n 30

பின்னர் VPN மறுஇணைப்பை மீண்டும் செய்து மீண்டும் முயற்சியுங்கள், ஏனெனில் மறுஇணைப்பைத் தாங்கும் பாதை மறுஇணைப்பு காலியாக்கும் அட்டவணையில் சேர்க்கப்பட்ட பாதைக்குச் சமமானது அல்ல. நிராகரிக்கப்பட்ட மூலங்களை அனுமதிக்கப்பட்டவற்றிலிருந்து தனியாகக் கவனியுங்கள், தடுக்கப்பட்ட முயற்சி வேலை செய்யும் அமர்வின் பின்னால் மறையாமல் இருக்க. முடிவின் அருகில் உள்ளூர் முகவரி, விதி மற்றும் அட்டவணையைச் சேமியுங்கள். அதற்குப் பதிலாக போர்ட்களைப் பிரித்தால், அதை SSH-இன் வரம்பாக அல்ல, செயல்பாட்டு முடிவாகப் பதிவு செய்யுங்கள்.