VPN வாடிக்கையாளர்கள் சுரங்கப்பாதையில் ஒருவரை ஒருவர் அடைவதைத் தடுக்கவும்

இரு வாடிக்கையாளர்களும் தாவல் புரவலனைத் திறந்தாலும் ஒருவரை ஒருவர் திறக்க அவர்களுக்கு எந்த வேலையும் இருக்கக்கூடாது. சேவையை அடைவது அனுப்பீட்டு முடிவு, ஆனால் சகனை அடைவது கொள்கை முடிவு, மேலும் பெரும்பாலான VPN அடுக்குகள் இவற்றை தனித்தனி பொருட்களில் வைத்திருக்கின்றன. முதல் ஒன்றுக்கு நீங்கள் அமைப்பது எதுவும் இரண்டாவதை நடைமுறைப்படுத்தாது. எனவே வேலை ஒரு விதியைச் சேர்ப்பது அல்ல, மாறாக இந்த சேவையகத்தில் சகன்களுக்கு இடையிலான போக்குவரத்தை தீர்மானிக்கும் பொருளைக் கண்டறிந்து, அங்கே மறுப்பை எழுதி, வாடிக்கையாளரிடமிருந்து அதை நிரூபிப்பதே ஆகும்.

பகிரப்பட்ட சேவைக்கான வழி சகன்களுக்கு இடையே அனுமதி அல்ல

வாடிக்கையாளர் துணைப்பிணையை அறிவிப்பது, மற்றொரு வாடிக்கையாளரின் முகவரியை நோக்கி பாக்கெட்டை கம்பியில் எப்படி வைப்பது என்று சகனுக்குச் சொல்கிறது. அந்த பாக்கெட் சேருகிறதா என்பது பின்னர், அதை அனுப்புவதால் தீர்மானிக்கப்படுகிறது. Linux நுழைவாயிலில் அது FORWARD சங்கிலி; பயனர் வெளியில் உள்ள டீமனுக்குள் அது சுரங்கப்பாதையின் சொந்த அமர்வு அட்டவணை. வழி அடையக்கூடிய தன்மைக்கு பதிலளித்து அனுமதியைத் தொடாமல் விடுகிறது.

எனவே வழிகளை மட்டும் படிக்கும் தனிமைப்படுத்தல் சோதனை எதையும் நிரூபிக்காது. /24 ஐ ஒவ்வொரு வாடிக்கையாளருக்கும் தள்ள முடியும், ஆனால் சகன்களுக்கு இடையிலான ஒவ்வொரு பாக்கெட்டும் அனுப்பீட்டு கொக்கியில் கைவிடப்படுகிறது. ஆபத்தான நிலை எதிர்மாறானது: தெளிவான விதி இல்லை, அனுமதிக்கும் இயல்புநிலை உள்ளது, யாரும் சோதிக்காததால் மட்டுமே தனிமைப்படுத்தல் உள்ளது.

முனையத்தைத் திறக்கும் முன் தேவையை ஒரு வரியில் எழுதுங்கள். சேவை தொகுதி மற்றும் தாவல் புரவலனை அடையுங்கள், வாடிக்கையாளர் தொகுதிக்குள் வேறு எதையும் அடைய வேண்டாம்.

சகனின் பாக்கெட்டை உண்மையில் யார் அனுப்புகிறார்கள் என்பதைக் கண்டறியுங்கள்

சேவையகத்தின் இரு நடத்தைகள் வாடிக்கையாளர் பக்கத்திலிருந்து ஒரே மாதிரி தெரிகின்றன, வெவ்வேறு விதிகள் தேவை. ஒன்று கர்னல் பாக்கெட்டை மீண்டும் சுரங்கப்பாதை இடைமுகத்திலிருந்து வெளியே அனுப்புகிறது, அல்லது டீமன் அதை அமர்வுகளுக்கு இடையே நகலெடுக்கிறது, கர்னல் அதை ஒருபோதும் பார்ப்பதில்லை.

WireGuard முதல் குழுவைச் சேர்ந்தது: சகன்களுக்கு இடையே சுவிட்ச் இல்லை, எனவே 10.8.0.4 இலிருந்து 10.8.0.5 க்கு பாக்கெட் wg0 இல் வந்து, அனுப்பீட்டு கொக்கியில் மோதி, AllowedIPs இரு முகவரிகளையும் மூடும்போது மீண்டும் wg0 இலிருந்து வழித்திருப்பப்படுகிறது. OpenVPN இரண்டாவது குழு, சேவையக அமைப்பில் client-to-client அமைக்கப்பட்டவுடன், ஏனெனில் அந்த உத்தரவு பாக்கெட்டை பயனர் வெளியில் அமர்வுகளுக்கு இடையே ஒப்படைக்கிறது. எதையும் எழுதும் முன் ஏற்றப்பட்ட அமைப்பில் அந்த உத்தரவைச் சரிபார்க்கவும். போக்குவரத்தை ஒருபோதும் பார்க்காத கர்னல் விதியை வேலை செய்யும் விதியிலிருந்து வேறுபடுத்த முடியாது, அப்படியே ஒரு பயன்பாடு எந்த தனிமைப்படுத்தலும் இல்லாமல் முடிகிறது.

ஏற்றப்பட்டதாக நீங்கள் கருதும் கோப்புக்கு பதிலாக பயனுள்ள அமைப்பைப் படியுங்கள், ஏனெனில் விநியோக தொகுப்புகள் தங்கள் சொந்த சேர்ப்புகளைக் கொண்டு வருகின்றன. டீமன் அனுப்பினால், மறுப்பு அதன் சொந்த ஒவ்வொரு-வாடிக்கையாளர் கட்டுப்பாடுகளில் இருக்கும், புரவலன் ஃபயர்வால் புரவலனுக்கு அனுப்பப்பட்ட போக்குவரத்தை மட்டும் வடிகட்டுகிறது. கர்னல் அனுப்பினால், அனுப்பீட்டு கொக்கி மட்டுமே முக்கியமான இடம்.

வழித்திருப்பு மற்றும் மொழிபெயர்ப்பு பயன்பாடுகளுக்கு இன்னொரு சரிபார்ப்பு தேவை: தொலை வாடிக்கையாளர் பார்க்கும் மூலம் நீங்கள் எதிர்பார்ப்பதாக இருக்காது. அப்போது வாடிக்கையாளர் துணைப்பிணையுடன் பொருந்தும் விதி எதனுடனும் பொருந்தாது. பொருத்தத்தை எழுதும் முன் மொழிபெயர்ப்பிலிருந்து தப்பிய முகவரியைக் குறிக்கவும், NAT முகவரிகளை ஊகிப்பதை விட இடைமுக ஜோடியைப் பொருத்துவதை விரும்புங்கள்.

ஒவ்வொரு முகவரிக்கும் தனியாக ரத்து செய்யக்கூடிய அடையாளத்தைக் கொடுங்கள்

இரு சாதனங்கள் ஒரு சான்றைப் பகிர்ந்தவுடன் தனிமைப்படுத்தல் உடைகிறது. அந்த அடையாளத்துடன் பிணைந்த விதி அவற்றைப் பிரிக்க முடியாது, தொலைந்த மடிக்கணினியை ரத்து செய்வது முழு குழுவையும் ரத்து செய்கிறது. சாதனத்திற்கு ஒரு சான்றிதழ் அல்லது சகனுக்கு ஒரு விசை ரத்தை உள்ளூராகவும் கொள்கையை படிக்கக்கூடியதாகவும் வைத்திருக்கிறது, ஏனெனில் ஒவ்வொரு முகவரியும் சரியாக ஒரு நபர் அல்லது இயந்திரத்துடன் பொருந்துகிறது. வடிவமைப்பால் அதைச் செய்ய முடியாத இடத்தில், விதியை நுட்பமானது என விவரிப்பதற்குப் பதிலாக இயக்க கையேட்டில் அதைச் சொல்லுங்கள்.

முகவரி ஒதுக்கீடு கொள்கையுடன் உடன்பட வேண்டும். சேவைகளுக்கு ஒரு தொகுதி, வாடிக்கையாளர்களுக்கு ஒரு தொகுதி ஒதுக்கி, வாடிக்கையாளர் முகவரிகளை நீங்கள் கட்டுப்படுத்தும் குளத்திலிருந்து வழங்குங்கள், முதலில் வருபவர் எடுத்துக்கொள்ளும் வரம்பிலிருந்து அல்ல. சேவையகம் மொழிபெயர்த்தால் அல்லது பாலம் அமைத்தால், மேப்பிங் அட்டவணையை அமைப்புக்கு அருகில் வைத்திருங்கள், ஏனெனில் அடுத்த வாசகருக்கு விதியை மீண்டும் பெற அந்த அட்டவணையே தேவை.

பாக்கெட் சுரங்கப்பாதையைக் கடக்கும் இடத்தில் மறுப்பை வையுங்கள்

WireGuard போக்குவரத்தை அனுப்பும் நுழைவாயிலில் இரு விதிகள் இந்த நிலையை மூடுகின்றன: சேவை தொகுதியை அனுமதித்து, பின்னர் வாடிக்கையாளர் தொகுதியின் மீதியை வீழ்த்துங்கள். இடைமுக ஜோடி முகவரிகளைப் போலவே முக்கியம், ஏனெனில் இலக்கில் மட்டும் பொருந்துவது LAN இலிருந்து வரும் போக்குவரத்தையும் பிடிக்கிறது. அனுமதி முதலில் மதிப்பிடப்படும் வகையில் அவற்றை அந்த வரிசையில் ஏற்றுங்கள்.

nftables உடன் ஜோடி ஏற்கனவே உள்ள inet filter அட்டவணைக்குச் செல்கிறது, முதலில் அனுமதி, பின்னர் வீழ்த்தல். இரு பொருத்தங்களும் முகவரிகளுடன் இடைமுக ஜோடியையும் பிணைக்கின்றன.

nft add rule inet filter forward iifname "wg0" oifname "wg0" ip saddr 10.8.0.0/24 ip daddr 10.8.2.0/24 accept
nft add rule inet filter forward iifname "wg0" oifname "wg0" ip saddr 10.8.0.0/24 ip daddr 10.8.0.0/24 drop

ஏற்றிய பிறகு வெளியேறும் நிலையை நம்புவதற்குப் பதிலாக சங்கிலியை மீண்டும் படியுங்கள், இரு விதிகளும் நீங்கள் நினைத்த வரிசையில் இருப்பதை உறுதிப்படுத்துங்கள். IPv6 குளத்திற்கு பொருந்தும் ip6 விதிகளைச் சேர்க்கவும், இல்லையெனில் இரு அடுக்கு சுரங்கப்பாதையில் v4 ஜோடி வெறும் அலங்காரம். சேவையகத்தில் ஏற்கனவே அனுமதிக்கும் அனுப்பீட்டு கொள்கை இருந்தால், சங்கிலியை முழுவதுமாக மாற்றுவதற்குப் பதிலாக வீழ்த்தலைச் சேர்க்கவும்.

OpenVPN இல் client-to-client இயக்கப்பட்டால், இந்த அனுப்பீட்டு விதிகள் சக போக்குவரத்துடன் ஒருபோதும் பொருந்தாது, மறுப்பு டீமனின் சொந்த கட்டுப்பாடுகளில் இருக்க வேண்டும். புரவலனுக்கு அனுப்பப்பட்ட போக்குவரத்துக்கான கர்னல் விதிகளை வைத்திருங்கள், ஆனால் அவற்றை தனிமைப்படுத்தல் கட்டுப்பாடாக எண்ண வேண்டாம்.

மறுப்பை சேவையகத்திலிருந்து அல்ல, வாடிக்கையாளரிடமிருந்து நிரூபியுங்கள்

நுழைவாயிலிலிருந்து சோதிப்பது எதையும் நிரூபிக்காது, ஏனெனில் உள்ளூரில் உருவாக்கப்பட்ட போக்குவரத்து வெளியேறும் பாதையை எடுத்து அனுப்பீட்டு கொக்கியை ஒருபோதும் கடக்காது. இரு உண்மையான வாடிக்கையாளர்களைப் பயன்படுத்துங்கள்: சேவையை அடைய வேண்டிய ஒன்று, மறுக்கப்பட வேண்டிய ஒன்று. முதலில் அனுமதி நிலையை இயக்குங்கள், உடைந்த சுரங்கப்பாதை வேலை செய்யும் கொள்கையாகத் தவறாகக் கருதப்படாமல்.

அனுமதிக்கப்பட்ட வாடிக்கையாளரிடமிருந்து, சேவை தன் துறையில் பதிலளிப்பதை உறுதிப்படுத்துங்கள். அதே வாடிக்கையாளரிடமிருந்து சகனின் முகவரியை முயற்சி செய்து, மறுப்புக்குப் பதிலாக அமைதியான வீழ்த்தலை எதிர்பாருங்கள்:

ping -c 3 -W 2 10.8.0.5
nc -z -w 2 10.8.0.5 22
nft list chain inet filter forward
iptables -vnL FORWARD
ping -6 -c 3 -W 2 fd00:8::5

வீழ்த்தப்பட்ட பாக்கெட்டும் ஆஃப்லைன் சகனும் இரண்டும் நேரம் முடிந்ததைப் போலத் தெரிகின்றன, எனவே எந்த முடிவுக்கும் வரும் முன் கவுண்டர்களைச் சரிபார்க்கவும். சகன் தெளிவாக இயங்கும்போது வீழ்த்தல் விதியின் கவுண்டர் அதிகரிப்பதை உறுதிப்படுத்துங்கள். IPv6 இல் திரும்பச் செய்யுங்கள், அங்கு இல்லாத ip6 விதி v4 மறுப்பை பயனுள்ளதாகத் தெரியவிடுகிறது. ஏற்கப்பட்ட மற்றும் மறுக்கப்பட்ட முடிவுகளை தேதியுடன் இயக்க கையேட்டில் பதிவு செய்யுங்கள், ஏனெனில் அடுத்த இடம்பெயர்வு விதியை மீண்டும் பெறும்.