VPN ஃபயர்வால் கொக்கி அதே விதியை இரண்டு முறை சேர்ப்பது ஏன்

கொக்கி முதல் முறை வேலை செய்கிறது, மேலும் மூன்று மீள் இணைவுகளுக்குப் பிறகு சங்கிலியில் அதே விதியின் மூன்று நகல்கள் இருக்கும். எதுவும் சத்தமாகத் தோல்வியடையவில்லை; ஸ்கிரிப்ட் ஒவ்வொரு முறை இயங்கும்போதும் சொன்னதையே செய்தது. VPN கொக்கி ஒரு முறைக்கு மேல் இயங்கக்கூடிய கட்டமைப்புச் செயல்பாடு, எனவே அதற்கு உரிமையாளர், விரும்பிய நிலை மற்றும் வரிசைப்படுத்தப்பட்ட மாற்றம் தேவை. அந்த வரிசையில் செல்லுங்கள், நகல்கள் நிற்கும்.

எந்த விதியையும் எழுதும் முன் விதிகளுக்கு ஒரு உரிமையாளரைக் கொடுங்கள்

ஒரு விதியும் எழுதும் முன் இந்த ஒருங்கிணைப்பு எந்தச் சங்கிலி அல்லது அட்டவணையைச் சொந்தமாகக் கொண்டுள்ளது என்பதை முடிவு செய்யுங்கள். கொக்கி உருவாக்கி காலி செய்யும் தனிச்சிறப்புச் சங்கிலி உரிமையின் தெளிவான வடிவம், ஏனெனில் சுத்தம் செய்வது மற்றவரின் கொள்கையைத் தொடாமல் அந்தச் சங்கிலியை அகற்ற முடியும். பகிரப்பட்ட சங்கிலியில் விதிகளைச் சேர்க்க வேண்டியிருந்தால், பின்னர் தேடும்போது சரியாக உங்களுடையதைக் கண்டுபிடிக்கும்படி அவற்றுக்கு குறிப்பு வைக்கவும். உரிமையே அகற்றலைப் பாதுகாப்பாக்குகிறது, அகற்றலே அமைதியாகத் தோல்வியடையும் பகுதி.

iptables -N VPN_HOOK 2>/dev/null || true
iptables -C INPUT -j VPN_HOOK 2>/dev/null || iptables -I INPUT -j VPN_HOOK
iptables -S VPN_HOOK

இங்கே குறிப்பு அலங்காரம் அல்ல. உங்கள் விதியை அகற்றுவதற்கும் தற்செயலாக ஒத்த தோற்றமுடைய விதியை அகற்றுவதற்கும் இடையிலான வேறுபாடு அது, மேலும் சேமிக்கப்பட்ட விதித்தொகுப்பில் அது நீடிக்கிறது. குறிப்பை ஒருமுறை ஒரு மாறியில் எழுதி, சேர்க்கும், சோதிக்கும் அல்லது நீக்கும் ஒவ்வொரு கட்டளையிலும் அதே சரத்தைப் பயன்படுத்தவும்.

மீண்டும் சேர்ப்பதற்கு பதிலாக விரும்பிய நிலையைச் சோதிக்கவும்

சுரங்கம் மேலே இருக்கும்போது என்ன இருக்க வேண்டும் என்பதை எழுதுங்கள்: எந்த இடைமுகங்கள், எந்த மூலமும் இலக்கும், எந்த நெறிமுறை மற்றும் எந்த துறை. பின்னர் ஒவ்வொரு விதியையும் ஒரு சோதனை அதைத் தொடர்ந்து செருகல் என்று வெளிப்படுத்துங்கள், இரண்டாம் முறை இயங்கும்போது விதி கிடைத்து எதுவும் நடக்காது. விதி இருக்கும்போது சரிபார்ப்பு கட்டளை பூஜ்ஜியத்துடன் முடிகிறது, ஸ்கிரிப்டுக்குத் தேவையானது சரியாக அந்த அறிகுறிதான். iptables குறிப்பு இங்கே பயன்படுத்தப்படும் சரிபார்ப்பு, சேர்த்தல் மற்றும் செருகல் வடிவங்களை ஆவணப்படுத்துகிறது.

iptables -C VPN_HOOK -i tun0 -p tcp --dport 443 -j ACCEPT ||
  iptables -A VPN_HOOK -i tun0 -p tcp --dport 443 -j ACCEPT

நிலையைப் பற்றி கவனமாக இருங்கள். ஒரு விதியைச் சரிபார்த்து மேலே செருகுவது முன்பு முதலில் வந்த வேண்டுமென்றே செய்யப்பட்ட மறுப்புக்கு முன் ஒரு அனுமதியை நகர்த்தலாம், எனவே இரண்டாம் முறை எதையும் சேர்க்காவிட்டாலும் நடத்தையை மாற்றுகிறது. உங்கள் சொந்தச் சங்கிலிக்குள் இறுதியில் சேர்க்கவும், அந்தச் சங்கிலிக்கான தாவல் எங்கே உள்ளது என்பதன் மூலம் வரிசையைக் கட்டுப்படுத்தவும். சங்கிலிக்குள் வரிசை முக்கியமானால், விதி விதியாக ஒட்டு வேலை செய்வதற்கு பதிலாக அறியப்பட்ட பட்டியலிலிருந்து சங்கிலியை மீண்டும் கட்டியெழுப்பவும்.

தேவையான விதியை நிலையான சோதனையாக வெளிப்படுத்த முடியாவிட்டால் நிறுத்துங்கள். பொதுவாக அதன் பொருள் விரும்பிய நிலை இன்னும் தெளிவற்றது என்பதே.

நிலைத்திருக்கும் என்ற நம்பிக்கைக்கு பதிலாக மாற்றத்தை வரிசைப்படுத்தவும்

கொக்கியின் இரண்டு அழைப்புகள் ஒன்றுடன் ஒன்று மேலிடலாம், மேலும் ஒன்று சேர்ப்பதற்கு முன் இரண்டும் விதி இல்லாததைக் காணலாம். xtables இன் காத்திருப்பு விருப்பம் ஒரு கட்டளையைப் பூட்டுக்காகக் காத்திருக்கச் செய்கிறது, ஆனால் இரண்டு கட்டளைகளுக்கு இடையே சரிபார்த்து-பிறகு-சேர் என்பதை அணுவாக்காது. முழுச் செயல்பாட்டையும் உங்கள் சொந்தப் பூட்டால் வரிசைப்படுத்தவும், அல்லது அறிவிக்கப்பட்ட தொகுதியை ஒரே பரிவர்த்தனையாகப் பயன்படுத்தும் மேலாளரைப் பயன்படுத்தவும். nftables பிந்தையதைச் செய்யும், அது கிடைக்கும் ஹோஸ்ட்களில் அதற்கு முன்னுரிமை தருவதற்கு இது ஒரு காரணம்.

flock /run/vpn-hook.lock /usr/local/sbin/vpn-firewall-apply
nft -f /etc/nftables/vpn-hook.nft

எந்த முறையைத் தேர்ந்தெடுத்தாலும், முக்கியமான பகுதியைக் குறுகியதாக வைத்து மீண்டும் நுழையக்கூடியதாக ஆக்குங்கள்: பாதியில் தோல்வியடையும் கொக்கி மீண்டும் இயக்குவதற்குப் பாதுகாப்பாக இருக்க வேண்டும். முடிவைப் பதிவு செய்யுங்கள், மீளச் செயல்படுத்துதல் விதிகளின் எண்ணிக்கையிலிருந்து ஊகிக்காமல் இதழில் தெரிவதற்கு. வெவ்வேறு இரண்டு மேற்பார்வையாளர்கள் கொக்கியை அழைக்க முடிந்தால், முதலில் அதைச் சரிசெய்யுங்கள்; எந்தப் பூட்டும் இரண்டு உரிமையாளர்களைச் சரிசெய்யாது.

உங்களுக்குச் சொந்தமானதை மட்டும் அகற்றவும்

அகற்றல் மாற்று இணைப்பை அது ஓய்வுபெறச் செய்த இணைப்பிலிருந்து வேறுபடுத்த வேண்டும், மேலும் ஒருபோதும் மென்மையான சுத்தத்தைப் பெறாத நிகழ்வைத் தாங்க வேண்டும். சேர்க்கப் பயன்படுத்திய அதே அடையாளங்களால் நீக்குங்கள், சுத்தத்தை எளிதாக்கப் பகிரப்பட்ட சங்கிலியை ஒருபோதும் காலி செய்யாதீர்கள். கடினமான நிறுத்தத்திற்குப் பிறகு, கீழ் கொக்கி இயங்கியது எனக் கருதுவதற்கு பதிலாக அடுத்த தொடக்கத்தில் ஒரு சமரசச் சுற்றை இயக்குங்கள்.

iptables -D VPN_HOOK -i tun0 -p tcp --dport 443 -j ACCEPT
iptables -F VPN_HOOK
ip -brief link show type tun

இடைமுகத்தின் ஆயுளும் வடிவமைப்பின் பகுதி. மீள் இணைவு வேறு பெயருள்ள சாதனத்தை உருவாக்கலாம், எனவே இரண்டாவது சுரங்கத்தின் பெயரைக் கடினமாக குறியாக்கும் விதி செல்லுபடியாகத் தோன்றிக்கொண்டே பழையதாகிறது. இணைப்பே வெளிப்படுத்தும் அடையாளத்திற்கு முன்னுரிமை தாருங்கள், ஒவ்வொரு முறை இயக்கும்போதும் அதை மீண்டும் படியுங்கள். மூன்று நிகழ்வுகளையும் தனித்தனியாகச் சோதியுங்கள்: மீளும் இணைப்பு, மாற்று இணைப்பு மற்றும் நிறுத்தம். அனுமதிக்கப்பட்ட போக்குவரத்து மூன்றையும் நகல்கள் இல்லாமல் கடக்க வேண்டும், தொடர்பில்லாத சேவைகள் தொடப்படாமல் இருக்க வேண்டும்.

கொக்கிக்கு ஒரு உரிமையாளர், அது சேர்க்கும் ஒவ்வொரு விதிக்கும் சோதனை, ஒரு வரிசைப்படுத்தப்பட்ட பாதை மற்றும் தன் நிலையை மட்டும் நீக்கும் அகற்றல் இருக்கும்போது இந்த நடை முடிகிறது. இரண்டு முறை இயக்கப் பாதுகாப்பான கொக்கி ஒருமுறை புத்திசாலியான கொக்கியை விட மதிப்புமிக்கது.