OpenVPN ń ṣiṣẹ́ ní ilé ṣùgbọ́n kì í ṣiṣẹ́ lórí nẹ́tíwọ́kì kan: UDP tàbí TCP?

Prófáìlì kan náà ń so mọ́ ní ilé ó sì dúró lórí nẹ́tíwọ́kì òtẹ́ẹ̀lì, kámpọ̀sì tàbí ẹ̀ka. Àwọn ẹ̀rí ìdánimọ̀ kò yí padà, nítorí náà oníyè tó wúni lórí ni ọ̀nà: OpenVPN kí ni ó ṣẹlẹ̀ sí àwọn pákẹ́tì kí ó tó kà wọ́n. Fífi àwọn ohun tó lè fa ìdìpọ̀ mẹ́rin wé lẹ́sẹẹsẹ tí a lè dán wò dára ju fíronú nípa àwọn ẹ̀rí-ẹ̀rí lọ. Ọ̀kọ̀ọ̀kan fi àmì tó yàtọ̀ sílẹ̀, àmì náà sì ni ó ń yà wọ́n sọ́tọ̀.

Ipele wo ni ó kùnà ni ó sọ àfiwé wo ni ó ṣe pàtàkì

Àkọsílẹ̀ oníbàárà ti ń gbasilẹ bí o ṣe lọ jìnnà tó. Ìlà tó sọ pé ìdúnàádúrà kọ́kọ́rọ́ TLS kò ṣẹlẹ̀ láàárín àkókò tí a pèsè túmọ̀ sí pé pákẹ́tì àkọ́kọ́ jáde, kò sì sí ìdáhùn tó wúlò tó padà, èyí tó ń tọ́ka sí ọ̀nà. Kíkọ̀sílẹ̀ ẹ̀rí-ẹ̀rí yàtọ̀ pátápátá: ìdáhùn ń dé, lẹ́yìn náà àṣìṣe ìmúdájú kan pàtó ń dárúkọ ìdí. Ṣàkíyèsí ìlà tó kẹ́yìn kí ìyípadà àtúnṣe tó bẹ̀rẹ̀, nítorí iye tí o ń fi wé láàárín àwọn nẹ́tíwọ́kì ni ìyẹn.

Gbà nígbà tí o ń tún gbìyànjú, kì í ṣe lẹ́yìn náà. Lórí oníbàárà, tcpdump -ni any udp port 1194 fi hàn bóyá ìdáhùn kankan ń padà. Tún ṣe é lórí WAN interface ti sáfà tí o ń darí, èyí tó fi hàn bóyá àwọn pákẹ́tì yẹn dé òpin ọ̀nà jìnnà.

Ìrìn-ìsọ̀nà ẹ̀gbẹ́ kan ni èsì tó wúlò jù tí ó wà níbí, nítorí ó yí ẹ̀dùn ọkàn tó ń dé lẹ́ẹ̀kọ̀ọ̀kan padà sí ìtọ́sọ́nà ìwádìí. Tọ́jú àwọn fáìlì gbígbà, nítorí ìròyìn tó kàn nípa ìṣòro kan náà yóò rọrùn láti parí pẹ̀lú ẹ̀rí ju pẹ̀lú àpèjúwe lọ.

Àyẹ̀wò UDP lòdì sí ibùdó tí a ti sé

Ọ̀pọ̀lọpọ̀ nẹ́tíwọ́kì ìwọlé ka UDP tí ń dúró pẹ́ sí ohun tí ó yẹ kí a fura sí, àwọn ISP kan sì gbà bẹ́ẹ̀. Ibùdó tí a ti sé ń mú ìdákẹ́jẹ́ kanna jáde láti ẹ̀gbẹ́ oníbàárà. Ìyàtọ̀ ni àṣàyàn: àyẹ̀wò máa ń yan ohun tó ń ju àwọn ibi tàbí ibùdó wo lọ, nígbà tí ibùdó tí a ti sé ń kọ ohun gbogbo tí ó tọ́ sí ibùdó yẹn.

Prófáìlì TCP lórí ibùdó 443 ni ojútùú tó wọ́pọ̀, nítorí ó dà bí ìṣàn HTTPS lasan, ó sì ń kọjá ọ̀pọ̀lọpọ̀ portal captive àti àyẹ̀wò àjáde. Àwọn ipò méjì gbọ́dọ̀ wà. Sáfà gbọ́dọ̀ fetí sílẹ̀ pẹ̀lú proto tcp-server oníbàárà sì gbọ́dọ̀ bá proto tcp-client mu, olùṣiṣẹ́ sì gbọ́dọ̀ gbé ojú-ọ̀nà àbẹ̀yà yẹn jáde. Kíkọ àkọsílẹ̀ UDP tó ń ṣiṣẹ́ lẹ́ẹ̀kan sí i gẹ́gẹ́ bí TCP 443 kò ní èrè nígbà tí kò sí ẹnikẹ́ni tó ń fetí sílẹ̀ ní ẹ̀gbẹ́ kejì.

Ibùdó tí a ti sé jẹ́ ìṣòro ìṣètò, kì í ṣe ìṣòro ìfòfindè. Sáfà tó wà lẹ́yìn router ilé nílò gbígbé ibùdó UDP rẹ̀ kọjá, firewall router sì gbọ́dọ̀ gbà á láàyè. Nígbà tí a kò gbà ibùdó náà láàyè rárá, gbogbo oníbàárà ń kùnà ní ìdúnàádúrà láìka àwọn ẹ̀rí ìdánimọ̀, ìkùnà náà sì ń tẹ̀lé sáfà dípò nẹ́tíwọ́kì.

Àwọn ìlànà àtijọ́ kò dára ní àfiwé lórí ipa yìí. PPTP nílò TCP 1723 pẹ̀lú GRE, GRE kì í sì í ṣe ibùdó bí kò ṣe ìlànà IP 47, nítorí náà gbígbé ibùdó lasan kò lè ṣàpèjúwe rẹ̀.

Nígbà tí swíìṣì ni ó ń ju àwọn pákẹ́tì nù

Swíìṣì tí a ń darí lè mọ̀ọ́mọ̀ ju túnẹ́lì nù. Àwọn àwòrán HPE àti Aruba kan ń pèsè ìdánudarí ààbò ìkún omi UDP, tí a máa ń pè ní Prevent UDP Blat Attack nígbà míì, nínú ẹ̀ka ààbò ìlọsíwájú wọn. Ní kété tí ìdánudarí yẹn bá ń ṣiṣẹ́, sáfà tó wà lẹ́yìn swíìṣì kò dáhùn ohunkóhun, gbogbo oníbàárà sì ń parí àkókò ní ọ̀nà kanna. Yíyọkúrò àti fífipamọ́ ìṣètò tó ń ṣiṣẹ́ ni àtúnṣe náà lápapọ̀, ṣùgbọ́n lẹ́yìn tí o bá ti fìdí rẹ̀ múlẹ̀ pé swíìṣì wà ní ọ̀nà gan-an.

Ẹ̀rí òdì ni ó ń yà ìjùnù swíìṣì sọ́tọ̀ kúrò nínú ìdènà olùpèsè. Ka àwọn olùká interface àti àkọsílẹ̀ ààbò ìkún omi kí o tó ṣí tíkẹ́ẹ̀tì pẹ̀lú ISP. Àwọn router oníbàárà tó ní ààbò DoS tàbí ìkún omi ń kùnà ní ìrísí kanna, bẹ́ẹ̀ sì ni àpótí àárín kankan tó ní àkókò ìdákẹ́jẹ́ UDP kúkúrú. Ìfọwọ́sọ̀rọ̀ tí kò parí rárá ń tọ́ka sí ìjùnù, nígbà tí túnẹ́lì tó kú lẹ́yìn ìṣẹ́jú mélòó kan tí kò sí ohun tó ń ṣẹlẹ̀ ń tọ́ka sí àkókò ààlà.

Kọ gbogbo ẹ̀rọ tó wà láàárín oníbàárà àti sáfà sílẹ̀ kí o tó yí prófáìlì padà. Àtúnṣe tí a fi sí ìpele tí kò tọ́ yóò dà bí ẹni pé ó tọ́ títí di nẹ́tíwọ́kì tó kàn. Àkọsílẹ̀ yẹn tún sọ fún ẹlẹ́rọ̀ tó kàn ibi tí ó yẹ kí ó wò láìtún ìwádìí náà ṣe.

Ìforígbá àdírẹ́sì tó dà bí ìkùnà DNS

Nẹ́tíwọ́kì ìwọlé tí a nọ́mbà rẹ̀ nínú 10.0.0.0/8 lè forí gbá pẹ̀lú àkójọ túnẹ́lì, olùyẹ́jú sì máa ń gbé inú àkójọ yẹn. Nígbà tí kọ̀mpútà ń gbà àdírẹ́sì bí 10.184.178.50 pẹ̀lú máàsìkì /8 lórí Wi-Fi, gbogbo ibi tí 10.x ń lọ jẹ́ ti àdúgbò gẹ́gẹ́ bí ìtumọ̀. Àwọn pákẹ́tì fún 10.4.0.1 yóò lọ sí LAN, túnẹ́lì yóò dúró, yíyẹ́jú orúkọ yóò sì kùnà.

ip addr ń fi ìforígbá hàn ní ojú kan, ip route get 10.4.0.1 ń fi ibi tí a óò gbé pákẹ́tì náà lọ gan-an hàn. Nítorí àmì tí a rí ni ìkùnà olùyẹ́jú, èyí sábà máa ń yè bọ́gbọ́n àwọn ìyípadà DNS mélòó kan.

Tún nọ́mbà àkójọ náà tàbí kí o pa nẹ́tíwọ́kì ìwọlé yẹn mọ́ sí ẹ̀gbẹ́ ìwọ̀n. Kò sí ìṣètò ẹ̀gbẹ́ oníbàárà tó ń gbà á padà kúrò nínú ìforígbá.

Yíyan láàárín ọ̀nà àbẹ̀yà TCP àti àtúnṣe ọ̀nà

Yan ọ̀nà àbẹ̀yà TCP nígbà tí o kò ní darí ọ̀nà tí àwọn olùlò sì nílò láti ṣiṣẹ́ lónìí, kí o sì gba àwọn ìnáwó rẹ̀: TCP nínú TCP kò dára ní àwọn ìsopọ̀ tí ó ń pàdánù, ọ̀nà àbẹ̀yà sì nílò olùgbọ́ tí ìwọ fúnra rẹ ń darí. Yan àtúnṣe ọ̀nà nígbà tí ìdènà wà lórí àwọn ohun àmúlò tí ìwọ ni, nítorí ìlànà firewall din owó ju olùgbọ́ kejì lọ. Ní ọ̀nà kankan, kọjá àwọn ìpele lẹ́sẹẹsẹ: ìsopọ̀, gbígbé àjáde, ìdúnàádúrà, ìtọ́sọ́nà inú. Ipele tó kùnà lórí nẹ́tíwọ́kì yẹn ni òtítọ́ kan ṣoṣo tó ṣe pàtàkì.

Gbàsílẹ̀ èsì fún nẹ́tíwọ́kì kọ̀ọ̀kan, kì í ṣe fún olùlò kọ̀ọ̀kan. Ìròyìn tó kàn nípa ìkùnà kan náà yóò bẹ̀rẹ̀ láti ipele tí a mọ̀ dípò láti ìmọ̀ràn ẹ̀rí-ẹ̀rí. Àkọsílẹ̀ yẹn tún ni ó ń dá olùgbọ́ kejì tó dúró pẹ́ láre, bí ó bá ṣe pàtàkì nígbà kan.