UFW இன் before.rules இல் VPN NAT எங்கே வர வேண்டும், அதை எப்படிச் சோதிப்பது

ஷெல்லில் தட்டச்சு செய்யும்போது வேலை செய்யும் NAT விதி before.rules இல் ஒட்டும்போது தோல்வியடைகிறது, ஏனெனில் அந்தக் கோப்பு ஒரு ஸ்கிரிப்ட் அல்ல. அது அட்டவணைப் பிரிவுகள், சங்கிலி அறிவிப்புகள் மற்றும் ஒவ்வொரு அட்டவணைக்கும் COMMIT குறி கொண்ட மீட்பு வடிவ ஆவணம். தவறான இடத்தில் உள்ள வரி முழு மீட்பையும் நிறுத்தும் அல்லது நீங்கள் இருப்பதாக நினைத்த விதிகளை அமைதியாக விட்டுவிடும். கீழேயுள்ள வழிகாட்டி துண்டை கட்டமைப்பு எதிர்பார்க்கும் இடத்தில் வைத்து அடுத்த மீள்ஏற்றலுக்கு முன் முடிவை நிரூபிக்கிறது.

ஷெல் கட்டளை மீட்புக் கோப்பு அல்ல

iptables -t nat இல் தொடங்கும் வரி iptables பைனரிக்கான அறிவுறுத்தல், ஆனால் UFW படிக்கும் கோப்பு முழுமையான விதித் தொகுப்பின் விவரணை. வேறுபாடு அலங்காரமானது அல்ல: மீட்பு வடிவம் எந்த அட்டவணையில் உள்ளது, எந்தச் சங்கிலிகள் உள்ளன, அட்டவணை எங்கே முடிகிறது என்பதைத் தெரிந்திருக்க வேண்டும். அந்த ஆவணத்தில் ஒட்டப்படும் கட்டளை ஒன்று தொடரியல் பிழை அல்லது, மோசமானது, தவறான அட்டவணையுடன் இணைக்கப்பட்ட விதி. கட்டமைப்பு இந்தக் கோப்புகளை மீட்புக் கருவிகள் மூலம் ஏற்றுவது அவை தொடர்ச்சியானவை அல்ல, அறிவிப்பு இயல்புடையவை என்பதாலேயே.

ஆவணம் முழுமையாகவும் ஏற்றப்படுகிறது, எனவே ஒரு சிதைந்த பிரிவு மீதமுள்ள கோப்பு பயன்படுத்தப்படுவதைத் தடுக்கலாம். எனவே NAT துண்டில் ஒரு சிறிய தவறு வடிகட்டி விதிகளையும் சேர்த்துக் கீழே இழுக்கிறது, அதனால் தீர்வரிச் சுவர் மாற்றம் ஒரு இடையூறாக மாறுகிறது.

துண்டை ஏற்கனவே உள்ள அட்டவணைப் பிரிவுக்குள் வையுங்கள்

NAT துண்டுக்கு ஒரு வடிவம் உள்ளது, வடிவம் அதிலுள்ள விதி உரையை விட முக்கியம். அட்டவணைத் தலைப்பு பிரிவைத் திறக்கிறது, சங்கிலி அறிவிப்புகள் கணக்கிகளை நிறுவுகின்றன, விதிகள் தொடர்கின்றன, COMMIT பிரிவை மூடுகிறது.

*nat
:POSTROUTING ACCEPT [0:0]
-A POSTROUTING -s 10.55.0.0/24 -o ens3 -j MASQUERADE
COMMIT

மேலே உள்ள குழு மற்றும் இடைமுகம் உங்கள் மதிப்புகளுக்கான இடமாற்றிகள்; நகலெடுக்கத் தகுந்த பகுதி கட்டமைப்பே. கோப்பில் ஏற்கனவே *nat பிரிவு இருந்தால், இரண்டாவதைத் திறக்காமல் அதே பிரிவுக்குள் விதியைச் சேர்க்கவும், ஏனெனில் வடிவம் ஒவ்வொரு அட்டவணைக்கும் ஒரு COMMIT எதிர்பார்க்கிறது, ஒரே அட்டவணைக்கு இரண்டு பிரிவுகள் நிகழ்வதற்குக் காத்திருக்கும் பழுதாகும். விநியோகத்தின் சங்கிலி வரையறைகளை அப்படியே வைத்திருங்கள், விற்பனையாளர் தனது சொந்த ஒருங்கிணைப்புக்காகச் சேர்த்தவை உட்பட. UFW கட்டமைப்பு கையேடு before, user மற்றும் after கோப்புகளையும் பொருந்தும் COMMIT தேவையையும் ஆவணப்படுத்துகிறது.

கோப்பு காலியாக இருந்தால், அதை டுடோரியலில் இருந்து நிரப்ப வேண்டாம். எந்தத் தொகுப்பு அதைச் சொந்தமாகக் கொண்டுள்ளது, உண்மையான நேரடிக் கொள்கை என்ன என்பதை உறுதிப்படுத்துங்கள், ஏனெனில் காலியான நிலையான கோப்பு கர்னலில் விதிகள் இல்லை என்பதை நிரூபிக்காது, ஏற்றப்பட்ட விதித் தொகுப்பு அடுத்த மீள்ஏற்றலுக்குப் படிக்க முழுமையான கோப்பு இருக்கும் என்பதை நிரூபிக்காது. முதலில் ஆதரிக்கப்படும் அடிப்படைக் கோட்டை மீட்டெடுத்து, பின்னர் தள மாற்றங்களை அதன் மேல் மீண்டும் பயன்படுத்துங்கள்.

பயன்படுத்தாமல் வேட்பாளரைச் சோதியுங்கள்

மீட்புக் கருவி ஒரு விதித் தொகுப்பைப் பயன்படுத்தாமலேயே பகுப்பாய்வு செய்து உருவாக்க முடியும், இதுவே கிடைக்கும் மலிவான சோதனை. அதை நேரடிக் கோப்பில் அல்ல, பாதுகாக்கப்பட்ட நகலில் இயக்கி, வெளியேறும் நிலையை மட்டுமல்ல பிழை உரையையும் படியுங்கள். பகுப்பாய்வுத் தோல்வி ஒரு வரியையும் பொதுவாக ஒரு அட்டவணையையும் பெயரிடும், இது தோல்வியடைந்த மீள்ஏற்றல் சொல்வதை விட அதிகம்.

sudo cp /etc/ufw/before.rules /root/before.rules.bak
sudo iptables-restore --test < /root/before.rules.bak
echo "exit: 0"

அந்தச் சரிபார்ப்பைக் கடப்பது ஆவணம் பகுப்பாய்வு செய்யப்படுகிறது என்பதை மட்டுமே நிரூபிக்கிறது, வேறொன்றும் இல்லை. வேட்பாளர் இன்னும் UFW சார்ந்திருக்கும் ஒவ்வொரு சங்கிலியையும் கொண்டுள்ளது, நீங்கள் நோக்கிய மூலங்களுக்கு மட்டுமே அனுமதி அளிக்கிறது, அல்லது தொலைநிலை நிர்வாகம் அணுகக்கூடியதாகவே உள்ளது என்பதை அது நிரூபிக்கவில்லை. இவை தனித்தனி மதிப்பாய்வுகள், கடைசியானது தொடங்குவதற்கு முன் திறக்கப்படும் இரண்டாவது அமர்வுக்குத் தகுதியானது.

நிறுவப்பட்ட பின்தளம் மற்றும் முகவரிக் குடும்பத்திற்குப் பொருந்தும் கருவியைத் தேர்ந்தெடுக்கவும். இணக்க அடுக்கு வழியாக nft பின்தளத்தை இயக்கும் ஹோஸ்ட்டுக்கு தொடர்புடைய கட்டளை தேவை, IPv6 விதிகள் முற்றிலும் வேறு கோப்பில் வாழ்கின்றன.

முன்னனுப்புதல், NAT மற்றும் அணுகல் கொள்கையைத் தனியே வைத்திருங்கள்

மூல மொழிபெயர்ப்பு முகவரி சிக்கலைத் தீர்க்கிறது, எதையும் வழங்காது. முன்னனுப்புதல் sysctl மற்றும் வடிகட்டி அட்டவணையால் கட்டுப்படுத்தப்படும் தனி அனுமதி, சுரங்கப்பாதை வழிமாற்றினாலும் போக்குவரத்தைக் கடத்தாதபோது மக்கள் அதைத்தான் மறக்கிறார்கள். அணுகல் கொள்கை எந்த மூலங்கள் எந்தச் சேவைகளை அடையலாம் என்பதற்கான மூன்றாவது முடிவு, எந்த NAT விதியும் அதை வெளிப்படுத்தவில்லை. இந்த மூன்றையும் தனித்தனியாக வைத்திருப்பதே ஒரு தெளிவற்ற அறிகுறிக்குப் பதிலாக தோல்வியைக் கண்டறியக்கூடியதாக்குகிறது.

sysctl net.ipv4.ip_forward
sudo iptables -t nat -S POSTROUTING
sudo iptables -S FORWARD

அந்த மூன்று வெளியீடுகளையும் ஒன்றாகப் படியுங்கள், ஒவ்வொன்றாக அல்ல. முன்னனுப்புதல் முடக்கப்பட்ட masquerade விதி இணைக்கப்பட்டு எங்கும் சேராத வாடிக்கையாளரை உருவாக்குகிறது, இது வாடிக்கையாளர் பக்கத்திலிருந்து சரியாக வழிமாற்றக் கோளாறு போலவே தெரிந்து மக்களைத் தவறான கோப்புக்கு அனுப்புகிறது. வடிகட்டி அட்டவணை மிக அகலமான accept மறைந்திருக்கும் இடமும் ஆகும், எனவே அங்கிருக்கும்போது அதன் இயல்புநிலைக் கொள்கையையும் சரிபார்க்கவும்.

மீள்ஏற்றல், மறுப்பு மற்றும் VPN இழப்பைச் சரிபார்க்கவும்

மூன்று அவதானிப்புகள் முழுமையான ஏற்புச் சோதனையை உருவாக்குகின்றன: மீள்ஏற்றல் வெற்றியடைகிறது, அனுமதிக்கப்பட்ட வாடிக்கையாளர் செயல்பாடு வேலை செய்கிறது, மறுக்கப்பட வேண்டிய கோரிக்கை உண்மையில் மறுக்கப்படுகிறது. மூன்றாவதுதான் தவிர்க்கப்படுகிறது, கொள்கை ஏதாவது செய்கிறது என்பதற்கான ஒரே சான்று அதுவே.

sudo ufw reload
sudo ufw status verbose
sudo iptables -t nat -L POSTROUTING -n -v

பின்னர் நீங்கள் வடிவமைத்த தோல்வியைச் சோதியுங்கள். சுரங்கப்பாதையை வீழ்த்தி ஹோஸ்ட் என்ன செய்கிறது என்பதைப் பாருங்கள், ஏனெனில் VPN இயங்கும்போது மட்டும் வேலை செய்யும் கொள்கை சொல்லப்படாத சார்பு கொண்ட கொள்கை. பின்னர் இன்னொரு முறை மீள்ஏற்றி, வேலை செய்யும் முடிவை மீதமுள்ள இயக்க நிலை அல்ல, கோப்பே வழங்குகிறது என்பதை நிரூபிக்கவும்.

IPv4 இன் NAT IPv6 பற்றி எதுவும் சொல்லாது, எனவே விதியுடன் அதே குறிப்பில் இரு குடும்பங்களுக்கும் நோக்கிய பரப்பைக் குறிப்பிடுங்கள். இலக்கு ஒத்திசைவான நிர்வகிக்கப்பட்ட கொள்கை, தற்செயலாகப் பகுப்பாய்வு செய்யப்பட்ட துண்டு அதற்குச் சான்றல்ல.