VPN uzilsa hech narsa oqib ketmasligi uchun Linux chiqishini qanday qulflash kerak

Uy liniyasidagi media qutisini tasavvur qiling, u internetga faqat tunnel orqali chiqishi kerak. Tunnel uzilganda dastur jismoniy interfeys orqali jimgina davom etish o'rniga to'xtashi kerak. Bunday xatti-harakatni olish marshrutlash emas, xavfsizlik devori masalasidir va farq muhim, chunki marshrutni demonni qayta ishga tushirish bilan almashtirish mumkin, filtr esa siz qo'ygan joyda qoladi. Quyida paket yo'li aslida qanday qaror qabul qilishi, so'ng tunnelni qayta ulashga imkon beruvchi istisnolarni qanday cheklash ko'rsatilgan.

Mahalliy chiqish uzatishdan boshqa ilgak

Mashinadagi dasturdan chiqayotgan paket chiqish ilgagidan o'tadi; mashina boshqa xost uchun marshrutlaydigan paket uzatishdan o'tadi. Faqat forward ni eslatuvchi siyosat ikkinchisini cheklaydi va birinchisini butunlay ochiq qoldiradi, shuning uchun ko'plab chiqish qulflari to'g'ri ko'rinadi va hech narsa qilmaydi. Interfeys mosligi ham xuddi shu qoidaga kiradi: oifname "tun0" accept allaqachon tunnel orqali marshrutlangan trafikni o'tkazadi. Marshrutlash va filtrlash ham alohida qaror bo'lib qoladi, shuning uchun filtr paketni rad etayotganda ham yuqori liniya marshruti mavjud bo'lishi mumkin. Siz aynan shu ajratishga tayanasiz.

Boshqa qurilmalar uchun uzatadigan shlyuz ikkala ilgakka ham muhtoj. Faqat chiqishni qulflash mashinaning o'zini himoya qiladi va pastdagi har bir mijozi oqib ketish erkinligida qoldiradi.

Istisnolar ro'yxatini so'nggi nuqtadan tashqariga qarab yozing

Tunnelning so'nggi nuqtasidan boshlang: bitta manzil yoki kichik tasdiqlangan to'plam, transport protokoli va manzil porti, masalan udp dport 1194 ip daddr 203.0.113.7 accept. Agar mijoz xost nomini hal qilsa, boshlang'ich DNS almashinuviga o'z qoidasi kerak, u hal qiluvchi va 53-port bilan cheklanishi lozim, o'sha hal qiluvchi manziliga umumiy ruxsat emas. Har bir istisno o'zining mavjudlik sababini aytishi kerak. VPN portiga barcha UDP trafigiga ruxsat siz o'ylagan bitta autentifikatsiyalangan xizmatdan ancha ko'proq narsani qamrab oladi.

Boshlang'ich hal qilish qulflar odatda chirigan joydir. Taymer bilan yangilanadigan manzillar to'plami yangilanish muvaffaqiyatsiz bo'lganda belgilangan xatti-harakatni talab qiladi va bu xatti-harakat muvaffaqiyatga erishgunga qadar liniyani ochish bo'lishi mumkin emas. Tunnel turgan ekan tunnel orqali yangilang, aks holda oxirgi ma'lum sog'lom so'nggi nuqtaga qayting.

Mahalliy boshqaruv ham xuddi shunday munosabatni talab qiladi. Boshqaruv quyi tarmog'i manzillari shaxsiy bo'lgani uchun ishonchli emas va unga ishonadigan qoida qulf atrofida ikkinchi yo'lni chaqiradi.

Interfeys mosligi sog'lom tunnelning isboti emas

tun0 dan chiqayotgan hamma narsani qabul qiladigan qoidalar o'sha interfeysdagi paket tunneldan kelgan deb hisoblaydi. Interfeys nomlari qayta yaratiladi va nom kriptografik shaxsiyat emas. Hamkor ketgan bo'lishi ham mumkin, interfeys esa yuqorida turadi, bu qoidani juda ishonarli harakatsizlikka aylantiradi.

Ulanishlarni kuzatish shunga bog'liq tuzoqni qo'shadi. O'rnatilgan ulanishlar uchun keng qoida oqim ilgari olgan ruxsatni qayta o'ynaydi, shuning uchun tunnel uzilishidan oldin boshlangan sessiya keyin ham ishlaydi. Holatga asoslangan qabulni haqiqatan nazarda tutgan interfeyslar va manzillar bilan cheklang, aks holda o'zini ochadigan qulf qurgansiz. Kirish va chiqish qoidalari ham turli savollarga javob beradi va birini mustahkamlab ikkinchisini e'tiborsiz qoldirish mashinani siz o'ylamagan yo'nalishda yetib boradigan holatda qoldiradi.

Demon halokatidan nima omon qoladi

Tunnel ko'tarilgandan keyin ishlaydigan skript o'rnatgan filtr tunnel bilan birga yo'qoladi, aynan u kerak bo'lgan paytda. Qulfni yuklash paytida yuklang va demonga faqat o'z istisnolarini boshqarishga ruxsat bering.

Standart marshrutni o'chirish ham o'rinbosar emas. Marshrut demon egalik qiladigan va qayta yozadigan holat va uni olib tashlash qayta ulanish uchun kerak bo'lgan yo'lni olib qo'yishi mumkin. IPv6 o'z rejasiga muhtoj, chunki qo'shnilarni aniqlash va marshrutizator e'lonlari oddiy trafik bloklangan paytda ham ishlashi kerak bo'lgan bog'lanish xizmatlaridir. DHCP ham shu toifaga kiradi. Bularni keyinroq uzilishlar sifatida topish o'rniga maqsadli istisnolar sifatida yozib qo'ying.

Joriy etishdan oldin tiklanish yo'li

Qulfni qanday ishdan chiqishiga qarab sinab ko'ring: tunnelsiz yuklash, demonni o'ldirish, so'nggi nuqtani o'zgartirish va qayta ulanish. Har bir holatda dasturlar to'xtashi va tiklanish kanali ishlashi kerak. Buni konsoldan qiling, chunki masofaviy qobiq o'z qoidangiz bilan eng ko'p qulflanadigan sessiyadir.

So'ng oddiy dastur qayerga hali yetib borishini tekshiring, zararsiz manzil va tekshira oladigan so'rov bilan. Siz xohlagan natija liniyada rad etilish va tunnel orqali muvaffaqiyat, ikkalasini ham anglatishi mumkin bo'lgan noaniq kutish emas. Qoidalar to'plamini butun jadvalni shell skriptidan almashtirish o'rniga xavfsizlik devorining qolgan qismi bilan bir egasi ostida saqlang. Har bir ruxsat o'zini oqlay oladigan siyosat, hech kim tushuntira olmaydigan uzun qoidalar to'plamidan qimmatroq.