VPN வழியா அல்லது ஃபயர்வால் விதியா: பாக்கெட்டை விட்டெறிவது எது?

ஒரே பாக்கெட்டுக்கு இரண்டு சுயாதீன முடிவுகள் நடக்கின்றன, அவற்றில் எதுவும் கோரிக்கையை அமைதியாக முடிக்கலாம். வழித் தேடல் ஒரு இடைமுகத்தையும் அடுத்த தாவலையும் தேர்ந்தெடுக்கும், பின்னர் பாக்கெட் வடிகட்டி அந்தக் கலவை அனுமதிக்கப்படுகிறதா என்று முடிவு செய்யும். நேர முடிவு இரண்டில் ஒன்று மறுத்தது, எது என்று அல்ல என்று உங்களுக்குச் சொல்லும். நிலைகளை வரிசையாகச் செய்யுங்கள், பழுதுபார்ப்பு பொதுவாக ஊகமாக இருப்பதை நிறுத்தும்.

இரண்டு முடிவுகள், ஒரு பாக்கெட், இரண்டு உரிமையாளர்கள்

வழித் தேடல் முதலில் கொள்கை விதிகளைக் கலந்தாலோசித்து, பின்னர் அவை சுட்டும் அட்டவணையை, இலக்குடன் பொருந்தும் மிகக் குறிப்பிட்ட முன்னொட்டைத் தேர்ந்தெடுக்கும். சுரங்கப்பாதை வழியை நிறுவிய வாடிக்கையாளர் அந்த முடிவின் உரிமையாளர், ஃபயர்வால் விதியில் எதுவும் அதை மாற்ற முடியாது. தேடல் எதிர்பாராத இடத்தைச் சுட்டும்போது, ஒவ்வொரு அடுத்த நிலையும் தவறான பாக்கெட்டில் வேலை செய்யும்.

வடிகட்டுதல் தனித்துவம். Linux ஹோஸ்ட்டில் netfilter கொக்கிகள் பாக்கெட் யாருக்கானது என்பதன் அடிப்படையில் போக்குவரத்தைப் பிரிக்கின்றன: வெளியீடு இயந்திரத்தை விட்டு வெளியேறும், உள்ளீடு அதில் முடிவடையும், முன்னனுப்பல் அதன் வழியாகச் செல்லும். VPN வாடிக்கையாளர்களை ஏற்று அவர்களை LAN-க்கு வழிப்படுத்தும் நுழைவாயிலுக்கு முன்னனுப்பல் பாதை தேவை, அதுவே பெரும்பாலான இயல்புநிலை அமைப்புகள் காலியாக விடும் சங்கிலி.

மூலத் தேர்வு அதே முடிவைச் சேர்ந்தது, அங்கேதான் பெரும்பாலான பொருந்தாமைகள் மறைந்திருக்கின்றன. வழி ஒன்றைக் குறிப்பிடாவிட்டால் கர்னல் வெளிச்செல்லும் இடைமுகத்திலிருந்து மூல முகவரியைத் தேர்ந்தெடுக்கும், எனவே LAN துணை வலையமைப்புக்கு எழுதப்பட்ட வடிகட்டி விதி சுரங்கப்பாதை முகவரியுடன் வெளியேறும் பாக்கெட்டுடன் ஒருபோதும் பொருந்தாது.

தேடல் உண்மையில் எதைத் தேர்ந்தெடுத்தது என்பதைப் படியுங்கள்

முடிவை ஊகிக்காமல் அச்சிடுங்கள். கீழேயுள்ள கட்டளை அந்த இலக்குக்கு கர்னல் பயன்படுத்தும் வழியை, இடைமுகம் மற்றும் அது தேர்ந்தெடுக்கும் மூலத்துடன் தீர்க்கிறது:

ip route get 10.8.0.5
ip route get 10.8.0.5 from 192.0.2.44
ip rule show
ip route show table all | sed -n '1,40p'

VPN வாடிக்கையாளர்கள் பெரும்பாலும் பிரதான அட்டவணைக்குக் கீழேயுள்ள முன்னுரிமைகளில் கொள்கை விதிகளை நிறுவுகிறார்கள், எனவே சுத்தமான பிரதான அட்டவணை தானாக எதையும் நிரூபிக்காது. விதிகளின் முன்னுரிமைகளை அவை தேர்ந்தெடுக்கும் அட்டவணைகளுடன் ஒப்பிட்டு, சுரங்கப்பாதை வழி ஒரு முறை கைமுறையாகச் சேர்க்கப்படுவதற்குப் பதிலாக மீண்டும் இணைந்த பிறகும் நீடிக்கிறதா என்று பாருங்கள்.

கொள்கை அடிப்படையிலான IPsec வழிப்படுத்தல் உள்ளடக்காத மூன்றாவது பொருத்துதல் நிலையைச் சேர்க்கிறது, strongSwan இன் முன்னனுப்பல் குறிப்புகள் சுரங்கப்பாதை மற்றும் போக்குவரத்து அமைப்புகளுக்கு விவரிப்பது போல. பாதுகாப்புக் கொள்கை போக்குவரத்தை முன்னொட்டு மற்றும் நெறிமுறையால் தேர்ந்தெடுக்கும், வழி பாதுகாப்பற்ற பாக்கெட் எங்கு செல்லும் என்பதை மட்டும் தீர்மானிக்கும். வழிப்படுத்தப்பட்டாலும் பொருந்தும் தேர்வி இல்லாத துணை வலையமைப்பு பாதுகாப்பற்றதாகவே இருக்கும் அல்லது உள்ளமைவைப் பொறுத்து தூக்கி எறியப்படும், எந்த முடிவும் ஃபயர்வால் பிரச்சினை போலத் தெரியவில்லை. கொள்கையை அச்சிட்டு அதன் தேர்விகளை சுரங்கப்பாதை சுமக்கும் என்று நீங்கள் எதிர்பார்த்த முன்னொட்டுகளுடன் ஒப்பிடுங்கள்.

வடிகட்டுதல் ஒரு கொக்கியில் பொருந்தும், வழியில் அல்ல

VPN கேட்பானை அனுமதிக்கும் விதி நுழைவாயிலுக்கே முகவரியிடப்பட்ட போக்குவரத்து பற்றிய விதி. அந்த நுழைவாயிலுக்குப் பின்னால் உள்ள ஹோஸ்ட்களை அடையும் வாடிக்கையாளர்கள் பற்றி அது எதுவும் சொல்லாது, ஏனெனில் முன்னனுப்பப்பட்ட போக்குவரத்து வேறு சங்கிலியின் வழியாகச் செல்கிறது. விதித் தொகுப்பை ஒரே தட்டையான பட்டியலாகப் படிப்பதே சரியாகத் தோன்றும் விதி ஒருபோதும் தூண்டப்படாததற்கான வழக்கமான காரணம்.

எண்ணிகள் கேள்வியை விரைவாகத் தீர்க்கின்றன. பூஜ்ஜிய பாக்கெட் எண்ணிக்கை உள்ள விதியை ஒருபோதும் அடையவில்லை, இது தவறான சங்கிலி, தவறான இடைமுகம் அல்லது முந்தைய நிராகரிப்பைக் காட்டுகிறது. நிராகரிப்புக் கொள்கையின் கீழ் எண்ணிக்கை அதிகரிக்கும் விதியே நீங்கள் தேடிய எல்லை, பாக்கெட் தவறாக வழிப்படுத்தப்படுவதற்குப் பதிலாக நிராகரிக்கப்படுகிறது.

வாடிக்கையாளர் பயன்படுத்தும் பாதை வழியாக ஒரு ஆய்வை அனுப்புங்கள்

நுழைவாயிலிலேயே இயக்கப்படும் சோதனைகள் நுழைவாயிலின் சொந்த மூல முகவரியுடன் வெளியீடு மற்றும் உள்ளீடு வழியாகச் செல்கின்றன. அது வாடிக்கையாளரின் முன்னனுப்பப்பட்ட கோரிக்கையிலிருந்து வேறுபட்ட பாதை, எனவே வெற்றிகரமான உள்ளூர் curl தோன்றுவதை விடக் குறைவாகவே நிரூபிக்கிறது. தோல்வியடையும் இயந்திரத்திலிருந்து சோதிக்கவும், அல்லது இடைமுகத்தையும் மூலத்தையும் வெளிப்படையாகப் பின்னவும்.

nc -vz -w 3 10.8.0.5 443
ping -c 3 -W 1 10.8.0.5
tcpdump -ni any host 10.8.0.5 and port 443
iptables -vnL FORWARD --line-numbers
nft list ruleset | sed -n '1,60p'

இரு முனைகளிலும் பிடிப்பு மீதமுள்ள நிகழ்வுகளைப் பிரிக்கிறது. வாடிக்கையாளரை விட்டு வெளியேறி ஒருபோதும் வராத SYN என்பது வழிப்படுத்தல், மறையாக்கம் அல்லது மேல்நிலை அணுகல் பட்டியல். வந்து பதிலைப் பெறாத SYN என்பது சேவை அல்லது அதன் ஹோஸ்ட் வடிகட்டி, சுரங்கப்பாதை ஒருபோதும் பிரச்சினையாக இருக்கவில்லை.

திரும்பி வரும் போக்குவரத்து தனக்கென ஒரு பார்வைக்குத் தகுதியானது. சமச்சீரற்ற வழிப்படுத்தல் மற்றும் தலைகீழ் பாதை வடிகட்டுதல் தவறான இடைமுகத்தில் வரும் பதில்களை நிராகரிக்கின்றன, இது மூடப்பட்ட துறைமுகத்திற்குப் பதிலாக ஒரு வழி இணைப்பாகத் தோன்றுகிறது. ஃபயர்வால் ஏற்படுத்தாத அறிகுறிக்கு அதைக் குறை கூறுவதற்கு முன் sysctl மதிப்பைச் சரிபார்க்கவும்.

பதிவு செய்வது முதல் படியாக அல்ல, இரண்டாவது கருத்தாகச் செயல்படுகிறது. முன்னனுப்பல் சங்கிலியில் உள்ள தற்காலிக பதிவு அறிக்கை அதைத் தாக்கிய இடைமுகத்தையும் முகவரிகளையும் பெயரிடுகிறது, பின்னர் அதை அகற்றுவது எளிது. அதை நிரந்தரமாக விட்டால் பதிலுக்குப் பதிலாக பதிவு அளவு பிரச்சினையை உருவாக்கியுள்ளீர்கள்.

ஒவ்வொரு மாற்றத்தையும் மீண்டும் இணைந்த பிறகு நீடிக்கும் இடத்தில் வைக்கவும்

ip route add மூலம் சேர்க்கப்பட்ட வழி இடைமுகம் கீழே விழும் வரை வாழும். அதற்குப் பதிலாக இணைப்புச் சுயவிவரத்தில் சேமிக்கவும்: NetworkManager இணைப்பில் கூடுதல் வழிகளை ஏற்கிறது, netplan அவற்றை துவக்கங்களுக்கு இடையே வைத்திருக்கிறது. அதே விதி வாடிக்கையாளர் பக்க ஃபயர்வால் விலக்கிற்கும் பொருந்தும், அது அடுத்த மீள்ஏற்றுதலுக்குப் பிறகு போய்விடும்.

சேவையகப் பக்க விதிகள் சேவை தொடங்கும் போது ஏற்றும் உள்ளமைவு கோப்புக்குரியவை, நீங்கள் மூடும்போது முடியும் ஊடாடும் அமர்வுக்கு அல்ல. விதியை எழுதி, மீள்ஏற்றி, எண்ணி நகர்ந்ததை உறுதிசெய்யவும், ஏனெனில் தொடரியலை நிராகரித்த மீள்ஏற்றுதல் பழைய விதித் தொகுப்பை அமைதியாக அதன் இடத்தில் விட்டுவிடும்.

பின்னர் அசல் பயன்பாட்டுக் கோரிக்கையை தொடக்கத்திலிருந்து இறுதி வரை மீண்டும் செய்து எந்த அடுக்கு மாறியது என்பதைப் பதிவு செய்யுங்கள். வடிகட்டி மாற்றமும் தேவைப்பட்ட வழிப் பழுது இன்னும் தோல்வியடையும், முதல் ஒன்று போய்விட்டது என்று தெரிந்த பிறகு இரண்டாவது தோல்வியைப் படிப்பது மிகவும் எளிது. முடிவுக்கு அருகில் தேதியையும் வாடிக்கையாளர் பதிப்பையும் குறிப்பிடுங்கள், ஏனெனில் வழிப்படுத்தல் மற்றும் வடிகட்டுதலின் இயல்புநிலைகள் இரண்டும் வெளியீடுகளுக்கு இடையே நகர்கின்றன. அந்தக் குறிப்பை டிக்கெட்டில் வைத்திருங்கள், அடுத்த நபர் இரண்டு-நிலைப் பயணத்தை மீண்டும் செய்யாமல் நீங்கள் நிறுத்திய இடத்திலிருந்து தொடங்கட்டும்.