VPN పడిపోయినప్పుడు ఏమీ లీక్ కాకుండా Linux బయటకు వెళ్లే మార్గాన్ని ఎలా లాక్ చేయాలి

ఇంటి లైన్లో ఉన్న మీడియా బాక్స్ను ఊహించుకోండి, అది ఇంటర్నెట్ను ఒక టన్నెల్ ద్వారా మాత్రమే చేరుకోవాలి. టన్నెల్ పడిపోయినప్పుడు, అప్లికేషన్ భౌతిక ఇంటర్ఫేస్ ద్వారా నిశ్శబ్దంగా కొనసాగకుండా ఆగిపోవాలి. ఈ ప్రవర్తనను పొందడం రౌటింగ్ సమస్య కాదు, ఫైర్వాల్ సమస్య, మరియు ఈ భేదం ముఖ్యం ఎందుకంటే మార్గాన్ని డీమన్ రీస్టార్ట్ ద్వారా మార్చవచ్చు, కానీ ఫిల్టర్ మీరు పెట్టిన చోటే ఉంటుంది. తర్వాత ప్యాకెట్ మార్గం నిజంగా ఎలా నిర్ణయిస్తుంది, ఆపై టన్నెల్ను తిరిగి కనెక్ట్ చేసే మినహాయింపులను ఎలా పరిమితం చేయాలో చూద్దాం.

లోకల్ అవుట్పుట్ ఫార్వర్డింగ్ కంటే వేరే హుక్

యంత్రంలోని అప్లికేషన్ నుండి బయటకు వెళ్లే ప్యాకెట్ అవుట్పుట్ హుక్ గుండా వెళ్తుంది; యంత్రం మరో హోస్ట్ కోసం రౌట్ చేసే ప్యాకెట్ ఫార్వర్డింగ్ గుండా వెళ్తుంది. forward మాత్రమే పేర్కొనే విధానం రెండోదాన్ని పరిమితం చేసి మొదటిదాన్ని పూర్తిగా తెరిచి ఉంచుతుంది, అందుకే చాలా అవుట్పుట్ లాక్లు సరిగ్గా కనిపించి ఏమీ చేయవు. ఇంటర్ఫేస్ సరిపోలిక కూడా అదే నియమంలో ఉంటుంది: oifname "tun0" accept ఇప్పటికే టన్నెల్ ద్వారా రౌట్ అయిన ట్రాఫిక్ను దాటనిస్తుంది. రౌటింగ్ మరియు ఫిల్టరింగ్ కూడా వేర్వేరు నిర్ణయాలుగానే ఉంటాయి, కాబట్టి ఫిల్టర్ ప్యాకెట్ను తిరస్కరిస్తున్నప్పుడు కూడా అప్లింక్ మార్గం ఉండవచ్చు. మీరు ఆధారపడేది ఈ విభజనపైనే.

ఇతర పరికరాల కోసం ఫార్వర్డ్ చేసే గేట్వేకు రెండు హుక్లూ అవసరం. అవుట్పుట్ను మాత్రమే లాక్ చేయడం యంత్రాన్ని రక్షిస్తుంది, కింద ఉన్న ప్రతి క్లయింట్కు లీక్ అయ్యే స్వేచ్ఛను ఇస్తుంది.

మినహాయింపుల జాబితాను ఎండ్పాయింట్ నుండి బయటకు రాయండి

టన్నెల్ ఎండ్పాయింట్తో ప్రారంభించండి: ఒక గమ్య చిరునామా లేదా చిన్న ఆమోదిత సమితి, రవాణా ప్రోటోకాల్ మరియు గమ్య పోర్టు, ఉదాహరణకు udp dport 1194 ip daddr 203.0.113.7 accept. క్లయింట్ హోస్ట్నేమ్ను పరిష్కరిస్తే, ప్రారంభ DNS మార్పిడికి రిజాల్వర్కు మరియు పోర్టు 53కు పరిమితమైన దాని సొంత నియమం కావాలి, ఆ రిజాల్వర్ చిరునామాకు సాధారణ అనుమతి కాదు. ప్రతి మినహాయింపు అది ఎందుకు ఉందో కారణాన్ని చెప్పాలి. VPN పోర్టుకు అన్ని UDP ట్రాఫిక్కు అనుమతి మీరు ఊహించిన ఒకే ధృవీకరించిన సేవ కంటే చాలా ఎక్కువ కవర్ చేస్తుంది.

ప్రారంభ పరిష్కారం లాక్లు సాధారణంగా కుళ్లిపోయే చోటు. టైమర్తో రిఫ్రెష్ అయ్యే చిరునామా సమితికి రిఫ్రెష్ విఫలమైనప్పుడు నిర్వచిత ప్రవర్తన కావాలి, ఆ ప్రవర్తన విజయవంతమయ్యే వరకు లింక్ను తెరవడం కాకూడదు. టన్నెల్ నిలబడి ఉన్నప్పుడు టన్నెల్ ద్వారా రిఫ్రెష్ చేయండి, లేకపోతే చివరిగా తెలిసిన ఆరోగ్యకరమైన ఎండ్పాయింట్కు తిరిగి వెళ్లండి.

స్థానిక పరిపాలనకు కూడా అదే వైఖరి కావాలి. నిర్వహణ సబ్నెట్ దాని చిరునామాలు ప్రైవేట్ కావడం వల్ల మాత్రమే నమ్మదగినది కాదు, దానిని నమ్మే నియమం లాక్ చుట్టూ రెండో మార్గాన్ని ఆహ్వానిస్తుంది.

ఇంటర్ఫేస్ సరిపోలిక ఆరోగ్యకరమైన టన్నెల్కు రుజువు కాదు

tun0 నుండి బయటకు వెళ్లే ప్రతిదాన్ని అంగీకరించే నియమాలు ఆ ఇంటర్ఫేస్లోని ప్యాకెట్ టన్నెల్ నుండి వచ్చిందని భావిస్తాయి. ఇంటర్ఫేస్ పేర్లు మళ్లీ సృష్టించబడతాయి, పేరు క్రిప్టోగ్రాఫిక్ గుర్తింపు కాదు. ఇంటర్ఫేస్ పైన ఉన్నప్పుడే పీర్ వెళ్లిపోయి ఉండవచ్చు, ఇది నియమాన్ని చాలా నమ్మదగిన నిష్క్రియత్వంగా మారుస్తుంది.

కనెక్షన్ ట్రాకింగ్ సంబంధిత ఉచ్చును జోడిస్తుంది. స్థాపిత కనెక్షన్ల కోసం విస్తృత నియమం ఒక ప్రవాహం ముందు పొందిన అనుమతిని మళ్లీ ప్లే చేస్తుంది, కాబట్టి టన్నెల్ పడకముందు ప్రారంభమైన సెషన్ తర్వాత కూడా కొనసాగుతుంది. స్థితి ఆధారిత అంగీకారాన్ని మీరు నిజంగా ఉద్దేశించిన ఇంటర్ఫేస్లు మరియు చిరునామాలకు మాత్రమే పరిమితం చేయండి, లేకపోతే తనంతట తానే తెరుచుకునే లాక్ను నిర్మించారు. ఇన్పుట్ మరియు అవుట్పుట్ నియమాలు కూడా వేర్వేరు ప్రశ్నలకు సమాధానం ఇస్తాయి, ఒకదాన్ని గట్టిగా చేసి మరొకదాన్ని పట్టించుకోకపోతే యంత్రం మీరు పరిగణించని దిశలో చేరుకోగలిగేలా మిగిలిపోతుంది.

డీమన్ క్రాష్ నుండి ఏమి మిగులుతుంది

టన్నెల్ పైకి వచ్చిన తర్వాత అమలయ్యే స్క్రిప్ట్ ఇన్స్టాల్ చేసే ఫిల్టర్ టన్నెల్తో పాటే అదృశ్యమవుతుంది, అది అవసరమైన సరైన క్షణంలోనే. లాక్ను బూట్లో లోడ్ చేయండి మరియు డీమన్కు దాని మినహాయింపులను మాత్రమే నిర్వహించనివ్వండి.

డిఫాల్ట్ మార్గాన్ని తొలగించడం కూడా ప్రత్యామ్నాయం కాదు. మార్గం అనేది డీమన్ సొంతం చేసుకుని తిరిగి రాసే స్థితి, దాన్ని తీసివేయడం తిరిగి కనెక్ట్ అవ్వడానికి అవసరమైన దారిని తీసుకుపోవచ్చు. IPv6కు దాని సొంత ప్రణాళిక కావాలి, ఎందుకంటే పొరుగు అన్వేషణ మరియు రౌటర్ ప్రకటనలు సాధారణ ట్రాఫిక్ బ్లాక్ చేయబడినప్పుడు కూడా పనిచేయాల్సిన లింక్ సేవలు. DHCP కూడా అదే విభాగంలో ఉంటుంది. వీటిని తర్వాత అంతరాయాలుగా కనుగొనే బదులు లక్ష్యంతో కూడిన మినహాయింపులుగా రాసిపెట్టండి.

అమలు చేయడానికి ముందు పునరుద్ధరణ మార్గం

లాక్ విఫలమయ్యే విధంగానే పరీక్షించండి: టన్నెల్ లేకుండా బూట్, డీమన్ను చంపడం, ఎండ్పాయింట్ మార్చడం మరియు తిరిగి కనెక్ట్ అవ్వడం. ప్రతి సందర్భంలోనూ అప్లికేషన్లు ఆగాలి, పునరుద్ధరణ ఛానెల్ పనిచేయాలి. దీన్ని కన్సోల్ నుండి చేయండి, ఎందుకంటే రిమోట్ షెల్ మీ స్వంత నియమం వల్ల లాక్ అయ్యే అవకాశం ఎక్కువ ఉన్న సెషన్.

తర్వాత సాధారణ అప్లికేషన్ ఇంకా ఎక్కడికి చేరుకోగలదో తనిఖీ చేయండి, హాని లేని గమ్యం మరియు తనిఖీ చేయగల అభ్యర్థనతో. మీరు కోరుకునే ఫలితం అప్లింక్పై తిరస్కరణ మరియు టన్నెల్ ద్వారా విజయం, రెండింటినీ సూచించగల అస్పష్టమైన సమయ పరిమితి కాదు. నియమాల సమితిని షెల్ స్క్రిప్ట్ నుండి మొత్తం పట్టికను మార్చే బదులు ఫైర్వాల్ మిగిలిన భాగం యొక్క అదే యజమాని కింద ఉంచండి. ప్రతి అనుమతి తనను తాను సమర్థించుకోగల విధానం, ఎవరూ వివరించలేని పొడవైన నియమాల సమితి కంటే ఎక్కువ విలువైనది.