VPN இணைக்கப்பட்டுள்ளது ஆனால் ஃபயர்வால் இன்னும் தடுக்கிறது: எது என்று தெரிவது எப்படி

கிளையண்ட் இணைக்கப்பட்டுள்ளது என்கிறது, வளம் இன்னும் மறுக்கிறது, அடுத்த வழக்கமான படி எதையாவது முடக்குவது. அந்த வாக்கியத்தின் இரண்டு கட்டுப்பாடுகளும் வெவ்வேறு வேலைகளைச் செய்கின்றன: VPN மூடப்பட்ட போக்குவரத்துக்கு பாதையை உருவாக்குகிறது, ஃபயர்வால் ஒவ்வொரு இணைப்புக்கும் போக்குவரத்து கடக்கலாமா என்று முடிவு செய்கிறது. மறுக்கும் கொள்கையுடன் இயங்கும் சுரங்கப்பாதை பயனரின் இருக்கையிலிருந்து பழுதடைந்த சுரங்கப்பாதை போலவே தெரிகிறது, எனவே எந்த அடுக்கு பதிலளிக்கிறது என்பதைக் கண்டுபிடிப்பதே வேலை. நான் பின்பற்றும் வரிசை இதோ, நிற்கச் சொல்லும் வாசிப்புடன்.

பாதையைக் கொள்கையிலிருந்து பிரிக்கவும்

தோல்வியின் வடிவத்திலிருந்து தொடங்குங்கள், ஏனெனில் அது இலவச தகவல். பாக்கெட் விழும்போது கால வரம்பு ஏற்படுகிறது: கிளையண்ட் மீண்டும் முயல்கிறது, எதுவும் திரும்பி வரவில்லை, கட்டளை விட்டுக்கொடுக்கும் வரை தொங்குகிறது. மறுப்பு மறுதலையோ மீட்டமைப்பையோ உருவாக்குகிறது: ஏதோ பதிலளித்து இல்லை என்றது. கேட்காத சேவை ஹோஸ்ட்டிலேயே மறுக்கிறது, எந்த ஃபயர்வாலும் இல்லாமல்.

அந்த மூன்று முடிவுகளும் வெவ்வேறு அடுக்குகளைக் குறிக்கின்றன. கால வரம்பு என்றால் எங்கோ ஒரு கொள்கை அமைதியாக வீசுகிறது, அல்லது பாதை இயந்திரத்தை விட்டு வெளியேறுவதே இல்லை. மறுக்கப்பட்டது என்றால் நீங்கள் ஹோஸ்ட்டை அடைந்தீர்கள், அதன் ஸ்டாக் அல்லது உள்ளூர் ஃபயர்வால் மறுத்தது. முழுமையான அமைதி, சுரங்கப்பாதை இடைமுகம் இயங்கிய நிலையில் இலக்குக்கு பாதை இல்லாமல், பாதை தவறு என்றும் எந்த ஃபயர்வால் விதியும் அதைச் சரிசெய்யாது என்றும் பொருள்.

பாதையை ஒரே பார்வையில் படியுங்கள்

ஒரு விதியையும் பார்க்கும் முன் சுரங்கப்பாதை இலக்கை மூடுகிறதா என்பதை உறுதிப்படுத்துங்கள். அலுவலக துணை வலைப்பின்னலை மட்டும் சுமக்கும் பிளவு சுரங்கப்பாதை மற்றொரு வரம்புக்கு கோரிக்கையை அனுப்பாது, அப்போது தோல்வி ஃபயர்வால் தடைபோலத் தெரியும், அது அல்லாதபோதும்:

ip route get 10.20.4.15
ip -brief address show
wg show
sudo ipsec statusall

பாதையின் வெளியீடு பாக்கெட் எந்த இடைமுகத்திலிருந்து வெளியேறும், எந்த மூல முகவரியைச் சுமக்கும் என்பதைச் சொல்கிறது. அந்த இடைமுகம் சுரங்கப்பாதை அல்ல, உங்கள் இயற்பியல் பிணைய அட்டையாக இருந்தால், சிக்கல் வழிமாற்றத்தில் அல்லது சுரங்கப்பாதையின் அனுமதிக்கப்பட்ட வரம்புகளில் உள்ளது, அது ஃபயர்வாலுக்கு அல்ல, VPN கட்டமைப்புக்கு உரியது.

VPN-க்கே உரிய ஒரு பொறி தனி சரிபார்ப்புக்குரியது. WireGuard-ல் ஒரு சகாவின் AllowedIPs ஒரே நேரத்தில் பாதையும் குறியாக்க வடிகட்டியும் ஆகும்: மூல முகவரி சகாவின் அனுமதிக்கப்பட்ட தொகுப்புடன் பொருந்தாத பாக்கெட் எந்த ஃபயர்வால் விதியும் பார்க்கப்படும் முன்பே வீசப்படுகிறது. எனவே முற்றிலும் சரியான ஹோஸ்ட் ஃபயர்வாலும் கொள்கை போலத் தெரியும் அமைதியான வீசுதலுக்குப் பின்னால் இருக்கலாம், தீர்வு விதி அல்ல, விசை கட்டமைப்பின் ஒரு வரி.

பதிலளிக்கும் அடுக்கில் கொள்கையைப் படியுங்கள்

பாதை சரியானதும், ஹோஸ்ட்டிலிருந்து வெளிப்புறமாக கொள்கையைக் கடந்து, கவுண்டர்கள் நகரும் ஒரே அடுக்கைக் கவனியுங்கள்:

ss -ltn | grep ':443'
sudo nft list ruleset
sudo iptables -S INPUT
sudo ufw status verbose

கேட்கும் சாக்கெட் விதிகளை விட வேறு கேள்விக்கு பதிலளிக்கிறது. போர்ட்டில் எதுவும் கேட்கவில்லை என்றால், கர்னல் இணைப்பை மறுக்கிறது, எந்த உள்வரும் விதியும் பொருந்தாது. சாக்கெட் இருந்து தொலை கிளையண்டிலிருந்து இணைப்பு காலாவதியானால், பாதையில் எங்கோ வீசுதல் நடக்கிறது, விதிகளின் கவுண்டர்கள் அது இங்கே நடக்கிறதா என்று சொல்கின்றன.

வெளியிலிருந்து ஊகிப்பதற்குப் பதிலாக நீங்கள் சந்தேகிக்கும் சுயவிவரம் அல்லது சங்கிலிக்கு பதிவு செயல்படுத்துங்கள். மூலம், இலக்கு, போர்ட் ஆகியவற்றைக் குறிக்கும் ஒரு பதிவுசெய்யப்பட்ட வீசுதல் அடுக்கையும் விதியையும் அடையாளம் காட்டுகிறது, பாக்கெட் வந்ததையும் நிரூபிக்கிறது, இதை கிளையண்ட் பக்கத்தின் எந்தச் சோதனையும் நிறுவ முடியாது.

சுரங்கப்பாதை அங்கே முடிவடைந்தால் நுழைவாயிலின் முடிவைப் படியுங்கள்

தளம்-முதல்-தளம் அல்லது தொலை அணுகல் நுழைவாயிலில், VPN பயனரை அங்கீகரிக்கிறது, கொள்கை வளத்தை அனுமதிக்கிறது, அவை தனித்தனி அனுமதிகள். சுரங்கப்பாதைக்குள் அனுமதிக்கப்பட்ட பயனர் ஒவ்வொரு உள் ஹோஸ்ட்டுக்கும் தானாக அனுமதிக்கப்படுவதில்லை, மறுப்பு பல நேரங்களில் சுரங்கப்பாதை ஆரோக்கியமாக இருக்கும்போது அனுப்பு விதியிலிருந்து வருகிறது. அதே பிரிவு IPsec-லும் தெரிகிறது, அங்கு போக்குவரத்தைத் தேர்ந்தெடுக்கும் பாதுகாப்புக் கொள்கை அதை அனுமதிக்கும் வடிகட்டியிலிருந்து வேறுபடுகிறது, அதனால்தான் இரண்டும் வெவ்வேறு வழிமுறைகளாக RFC 4301.

திரும்பும் பாதையையும் செல்லும் பாதை அளவுக்கு கவனமாகச் சரிபார்க்கவும். நிலை வடிகட்டலுக்கு பதிலைப் பார்க்க வேண்டும், எனவே சுரங்கப்பாதை வழியாக ஒரு திசையில், அதைச் சுற்றி மறு திசையில் அசமச்சீர் வழிமாற்றம் சீரற்றதாகத் தெரியும், சில கிளையண்டுகளிலிருந்து மட்டும் மீண்டும் நிகழும் வீசுதல்களை உருவாக்குகிறது. போக்குவரத்து நுழைவாயிலை அடைந்து நின்றால், எதையும் விரிவாக்கும் முன் அனுப்பு விதியையும் திரும்பும் பாதையையும் சேர்த்துப் படியுங்கள்.

நுழைவாயில் NAT அல்லது மறைப்பு விதி உண்மையான மூலத்தை மறைக்கக்கூடிய இடமும் ஆகும். உள் ஹோஸ்ட்கள் கிளையண்டுக்குப் பதிலாக நுழைவாயிலின் முகவரியைக் கண்டால், கிளையண்ட் குளத்துடன் பொருந்த வேண்டிய அவற்றின் ஹோஸ்ட் ஃபயர்வால் விதிகள் ஒருபோதும் பொருந்தாது, தீர்வு ஒவ்வொரு சேவையகத்திலும் அல்ல, நுழைவாயிலில் உள்ளது.

மிகக் குறுகிய அடுக்கை மாற்றுங்கள், பிறகு சரிபார்க்கவும்

பரந்த பழுதுநீக்கத்தை எதிருங்கள். ஹோஸ்ட் ஃபயர்வாலை முடக்குவது, எல்லாவற்றையும் அனுமதிக்கும் விதியைச் சேர்ப்பது, அல்லது ஒவ்வொரு இடைமுகத்தையும் நம்பகமான சுயவிவரத்தில் தள்ளுவது — ஒவ்வொன்றும் தன் வேலையைச் செய்த கட்டுப்பாட்டை நீக்குகிறது, மாற்றம் சம்பவத்திற்குப் பிறகும் நீடிக்கிறது. மூல வரம்பு மற்றும் தொடர்புடைய போர்ட்டுக்கு வரம்பிடப்பட்ட விதி மீள்பார்வைக்கு எளிது, நீக்குவதற்கு எளிது, இயந்திரத்தின் மீதமுள்ள கொள்கையை அப்படியே வைக்கிறது.

தோல்வியடைந்த அதே சோதனையில், அதே கிளையண்டிலிருந்து சரிபார்க்கவும், பிறகு மீண்டும் இணைந்த பிறகு ஒருமுறை, ஏனெனில் சுரங்கப்பாதை மீண்டும் பேச்சுவார்த்தை நடத்தும் முன் பொருந்திய விதி பிறகு பொருந்தாமல் போகலாம்:

nc -vz 10.20.4.15 443
curl -v --max-time 5 https://10.20.4.15/

அதை மூடும் முன்:

• இலக்குக்கான பாதை சுரங்கப்பாதை இடைமுகத்திலிருந்து வெளியேறுகிறது, மூல முகவரி கொள்கை எதிர்பார்ப்பதுடன் பொருந்துகிறது.
• போர்ட்டில் ஏதோ கேட்கிறது, மறுப்பு அல்லது கால வரம்பு ஊகமல்ல, பெயரிடப்பட்ட விதிக்கு காரணமாக்கப்படுகிறது.
• நுழைவாயில் இரு திசைகளிலும் அனுப்புகிறது, இலக்கு உங்கள் விதிகள் எழுதப்பட்ட மூலத்தைக் காண்கிறது.
• சோதனை கடக்க எந்தக் கட்டுப்பாடும் முடக்கப்படவில்லை, நீங்கள் செய்த மாற்றம் ஒரு மூல வரம்பையும் ஒரு போர்ட்டையும் குறிக்கிறது.