வீட்டு NAT உங்கள் VPN இடைமுகத்தை ஏன் பாதுகாக்கவில்லை
வீட்டு ரவுட்டர் சுரங்கப்பாதையை அனுப்புகிறது, ஆனால் ஹோஸ்ட் மறைகுறியாக்கப்பட்ட பாக்கெட்டை மதிப்பிடுகிறது. செவியேற்பவர், உள் பாதை, உள்வரும் கொள்கையைத் தனித்தனியாகப் படியுங்கள்.
வீட்டு ரவுட்டருக்குப் பின்னால் போர்ட் ஃபார்வர்டிங் இல்லாமல் உள்ள மடிக்கணினிகள் VPN வழியாக வரும் SSH இணைப்புகளை இன்னும் ஏற்றுக்கொள்கின்றன. இது முரண்பாடு அல்ல, ஏனெனில் இரண்டு வேறு சாதனங்கள் இரண்டு வேறு பாக்கெட்டுகளை மதிப்பிடுகின்றன. ரவுட்டர் மறைகுறியாக்கப்பட்ட போக்குவரத்தை அனுப்புகிறது, ஹோஸ்ட் தனது சுரங்கப்பாதை இடைமுகத்தை அடையும் மறைகுறியாக்கப்பட்ட பாக்கெட்டை என்ன செய்வது என்று முடிவு செய்கிறது. இந்த இரண்டு முடிவுகளையும் தனித்தனியாக வைத்திருப்பதே முழுப் பயிற்சி.
ரவுட்டர் சுரங்கப்பாதையை அனுப்புகிறது, ஹோஸ்ட் பாக்கெட்டை மதிப்பிடுகிறது
ஒரு விதியைப் பார்ப்பதற்கு முன்பே தொலை மூலத்திலிருந்து சேவை வரையிலான பாதையை வரையுங்கள். வெளிப்புறப் பகுதி VPN போக்குவரத்து, அதை ரவுட்டரும் கேட்வேயும் கையாளுகின்றன. உட்புறப் பகுதி, முனைப்புள்ளி சுரங்கப்பாதை அடுக்கை அகற்றி, தனது VPN முகவரிக்கு அனுப்பப்பட்ட பாக்கெட்டை ஹோஸ்ட் பெறும்போது தொடங்குகிறது.
இந்த இரண்டு பகுதிகளையும் இணையுங்கள், ஹோஸ்ட் எடுக்கும் முடிவுக்கான பெருமையை ரவுட்டர் பெறும். போர்ட் ஃபார்வர்டிங் பக்கம் அல்லது ரவுட்டர் பதிவு வெளிப்புற உரையாடல்களை மட்டுமே விவரிக்கின்றன, அவற்றில் எதுவும் ஹோஸ்ட் எந்த மறைகுறியாக்கப்பட்ட போக்குவரத்தை ஏற்றுக்கொள்ளும் என்று சொல்லவில்லை. ஹோஸ்ட் உள் பாக்கெட்டுக்கு தனது சொந்த உள்வரும் கொள்கையைப் பயன்படுத்துகிறது, ஒரு இடைமுகத்துக்கு வரும் எந்தப் பாக்கெட்டுக்கும் பயன்படுத்துவது போல. அந்தக் கொள்கையில்தான் வெளிப்பாட்டின் கேள்வி உண்மையில் தீர்மானிக்கப்படுகிறது.
வைல்ட்கார்டு செவியேற்பவர் பொது சேவை அல்ல
Linux-இல் INADDR_ANY-உடன் பிணைப்பது ஒவ்வொரு உள்ளூர் முகவரியையும் குறிக்கும், எனவே ஒரு சேவை தான் பெயரிடாத சுரங்கப்பாதை இடைமுகத்தில் பதிலளிக்க முடியும். IP சாக்கெட் குறிப்பு அந்தப் பிணைப்பை விவரிக்கிறது, செவியேற்பவர் பட்டியலிலிருந்து முடிவுகளை எடுப்பதற்கு முன் அதைப் படிக்க வேண்டும். வைல்ட்கார்டு பதிவு சாக்கெட்டைப் பற்றிய உண்மை, அடையக்கூடிய தன்மை பற்றிய கூற்று அல்ல.
கீழே உள்ள இரண்டு வரிகளும் ஒரே சேவையின் இரண்டு வேறு பிணைப்புகள், வேறுபாடே இடைமுகம் முக்கியமா என்ற கேள்விக்கான முழுப் பதில். எல்லாவற்றுக்கும் முன் சாக்கெட் எந்த முகவரியில் அமர்ந்திருக்கிறது என்பதைப் படியுங்கள்.
ss -lntp "sport = :22"
LISTEN 0 4096 0.0.0.0:22 0.0.0.0:* users:(("sshd",pid=812,fd=3))
LISTEN 0 4096 10.8.0.6:22 0.0.0.0:* users:(("sshd",pid=812,fd=4))போர்ட்டை அடையக்கூடிய ஏற்பாட்டைப் பெயரிடுங்கள்
மூன்று ஏற்பாடுகள் அந்த இடைமுகத்தில் பாக்கெட்டை வைக்கின்றன, அவற்றின் உரிமையாளர்கள் வேறு. சரியானதைப் பெயரிடுவது யார் கொள்கையை மாற்ற வேண்டும் என்பதைத் தீர்மானிக்கிறது.
| Arrangement | What reaches the port | Where the decision lives |
|---|---|---|
| Another permitted VPN peer | A packet from the same tunnel subnet | Gateway forwarding policy and host input rules |
| A deliberate public forward | Traffic the gateway publishes on purpose | Gateway service definition |
| A subnet routed behind the gateway | Client traffic from the far side | Gateway route and host input rules |
பொது வெளியேறும் முகவரியைக் காட்டும் உலாவி முடிவு மூன்றில் எதைப் பற்றியும் எதுவும் சொல்லவில்லை, ஏனெனில் அது வெளிச்செல்லும் போக்குவரத்து எப்படி வெளியேறுகிறது என்பதை விவரிக்கிறது, உள்வரும் போக்குவரத்துக்கு என்ன அனுமதி என்பதை அல்ல. அதற்குப் பதிலாக செவியேற்பவர் மற்றும் சேவைப் பதிவில் உள்ள மூல முகவரியிலிருந்து பின்னோக்கி வேலை செய்யுங்கள். மூலம் மற்றொரு சுரங்கப்பாதைத் துணையாக இருந்தால், கேட்வே கொள்கையே சுவாரசியமான ஆவணம். அது மொழிபெயர்க்கப்பட்ட முகவரியாக இருந்தால், விதியை மாற்றும் முன் மொழிபெயர்ப்பைக் கண்டறியுங்கள்.
சேவையை நீங்கள் நோக்கிய பாதைக்கு மட்டுப்படுத்துங்கள்
SSH நிர்வாகப் பாதையிலிருந்து மட்டுமே தேவைப்பட்டால், அந்தப் பாதையை மூல வரம்பு மற்றும் ஒரு இடைமுகமாக எழுதுங்கள். பிறகு ஹோஸ்டின் உள்வரும் விதிகளை பிணையப் பெயருக்குப் பதிலாக இடைமுகம், இலக்கு மற்றும் மூலம் அடிப்படையில் மட்டுப்படுத்துங்கள், ஏனெனில் தனிப்பட்டதாகத் தோன்றும் பெயர் எந்த முகவரியையும் குறிக்கலாம். அடுத்த சிக்கலைத் தீர்ப்பவருக்கு ஒரு வழியை விட்டுச் செல்லுங்கள்.
nft add rule inet filter input iifname "tun0" ip saddr 10.8.0.0/24 tcp dport 22 accept
nft list chain inet filter inputசுரங்கப்பாதை இடைமுகத்தையும் நிர்வாக வரம்பையும் பெயரிடும் விதி நோக்கத்தை ஒரே இடத்தில் தெரிவிக்கிறது. Wi-Fi பிணையத்துக்காக எழுதப்பட்ட விதியுடன் ஒப்பிடுங்கள், அது மறைகுறியாக்கப்பட்ட சுரங்கப்பாதைப் போக்குவரத்து பற்றி எதுவும் சொல்லவில்லை. இரண்டு அடுக்குகளும் ஒத்துப்போகாதபோது, பாக்கெட் சந்திக்கும் கொள்கை ஹோஸ்டின் கொள்கையே.
உள்நுழைவுகளையும் இணைப்புகளையும் இருக்கும் இடத்திலேயே விடுங்கள்; ஒரு போர்ட்டை அடைவது அதைப் பயன்படுத்த அனுமதி பெறுவதற்கு ஒருபோதும் சமமாக இல்லை. அறியாத எந்த மூலத்துக்கும் முகவரிக் குடும்பம் மற்றும் நேரத்தைப் பதிவு செய்யுங்கள், ஒரு அம்சத்தையோ பாதிப்பையோ குறை சொல்லும் முன் விசாரணை செய்யுங்கள். ஒவ்வொரு சுரங்கப்பாதைத் துணையையும் அனுமதிக்கும் விதி நிர்வாக துணைப்பிணையை அனுமதிப்பதிலிருந்து வேறு வடிவமைப்பு, எந்தப் பதிவு வரியும் எது நோக்கப்பட்டது என்று சொல்லாது.
திருத்தத்தை ஒரு வெற்றி மற்றும் ஒரு மறுப்புடன் ஏற்றுக்கொள்ளுங்கள்
இரு பகுதிகளையும் நிரூபியுங்கள்: ஒரு அனுமதிக்கப்பட்ட இணைப்பு வெற்றி பெறுகிறது, ஒரு விலக்கப்பட்ட பாதை மறுக்கப்படுகிறது. மறுப்பே மக்கள் தவிர்க்கும் பாதி, அதுவே விதி வேலை செய்கிறது என்பதைக் காட்டுகிறது, அனுமதிக்கும் இயல்புநிலையின் பக்கத்தில் நிற்கவில்லை. விலக்கப்பட்ட பக்கத்திலிருந்து சோதியுங்கள், அதைப் பற்றி யோசிப்பதற்குப் பதிலாக.
மீண்டும் இணைந்த பிறகு இணையை மீண்டும் செய்யுங்கள், ஏனெனில் வேறு இடைமுகப் பெயருடன் திரும்பும் சுரங்கப்பாதை பழையதற்கு வரம்பிடப்பட்ட விதியை அமைதியாகத் தவிர்க்கலாம். முக்கியமான எல்லை என்பது ஹோஸ்ட் உண்மையில் பெறும் பாக்கெட்டுகளுக்குப் பயன்படுத்துவதே.