Dẹkun àwọn oníbàárà VPN láti dé ọ̀dọ̀ ara wọn nínú ọ̀nà

Àwọn oníbàárà méjì lè ṣí olùgbàlejò fò mọ́lẹ̀ pẹ̀lú, síbẹ̀ wọn kò ní iṣẹ́ láti ṣí ara wọn. Dé iṣẹ́ kan jẹ́ ìpinnu ìtọ́jú, nígbà tí dé ẹlẹgbẹ́ kan jẹ́ ìpinnu ìlànà, àti ọ̀pọ̀lọpọ̀ àwọn ẹ̀ka VPN máa ń pa wọ́n mọ́ nínú àwọn ohun ọ̀tọ̀ọ̀tọ̀. Kò sí ohun tí o ṣètò fún èkínní tí ó ń fi èkejì ṣiṣẹ́. Nítorí náà iṣẹ́ kì í ṣe fífi ìlànà kún, bí kò ṣe wíwo ohun tí ó ń pinnu ìrìn àwọn ẹlẹgbẹ́ lórí sáfà yìí, kíkọ ìkọ̀ síbẹ̀ àti fífi ẹ̀rí hàn láti ọ̀dọ̀ oníbàárà.

Ọ̀nà sí iṣẹ́ àjọpín kì í ṣe àṣẹ láàárín àwọn ẹlẹgbẹ́

Fífi ẹ̀ka àwọn oníbàárà hàn ń sọ fún ẹlẹgbẹ́ bí ó ṣe lè gbé pọ́kẹ́tì sórí okùn sí ọ̀dọ̀ àdírẹ́sì oníbàárà mìíràn. Bóyá pọ́kẹ́tì yẹn yóò dé ni a pinnu lẹ́yìn náà, nípasẹ̀ ohun tí ó ń tọ́jú rẹ̀. Ní ẹnu-ọ̀nà Linux ìyẹn ni ẹ̀wọ̀n FORWARD; nínú dẹ́mọ́nì nínú ààyè olùlò ìyẹn ni tábìlì ìpàdé ọ̀nà fúnra rẹ̀. Ọ̀nà ń dáhùn fún ìdèrè, ó sì fi àṣẹ sílẹ̀ láìfọwọ́ kàn.

Ìdí ni pé àyẹ̀wò ìpínyà tí ó kàn ń ka àwọn ọ̀nà kò fi ẹ̀rí kankan hàn. /24 lè jẹ́ títì sí gbogbo oníbàárà nígbà tí gbogbo pọ́kẹ́tì láàárín àwọn ẹlẹgbẹ́ ń jẹ́ sísọ nù ní ìkọ́ ìtọ́jú. Ipò léwu ni ìdàkejì: kò sí ìlànà pọ̀n-ọn-nì, àpapọ̀ àìkọ́ jáde wà, àti ìpínyà tí ó wà kìkì nítorí pé ẹnikẹ́ni kò dán an wò.

Kọ ohun tí a nílò sórí ìlà kan kí o tó ṣí tẹ́mínà. Dé ẹ̀ka iṣẹ́ àti olùgbàlejò fò, má dé ohunkóhun mìíràn nínú ẹ̀ka oníbàárà.

Wádìí ẹni tí ó ń tọ́jú pọ́kẹ́tì ẹlẹgbẹ́ ní ti gidi

Ìhùwàsí méjì sáfà dà bí ẹyọ kan láti ọ̀dọ̀ oníbàárà, wọ́n sì nílò àwọn ìlànà ọ̀tọ̀ọ̀tọ̀. Bóyá kọ́mpútà ń tún pọ́kẹ́tì tọ́jú jáde kúrò nínú ẹ̀rọ ọ̀nà, tàbí dẹ́mọ́nì ń dà á láàárín àwọn ìpàdé, kọ́mpútà kò sì rí i rí.

WireGuard wà nínú ẹ̀ka àkọ́kọ́: kò ní ìyípadà láàárín àwọn ẹlẹgbẹ́, nítorí náà pọ́kẹ́tì láti 10.8.0.4 sí 10.8.0.5 ń dé lórí wg0, ó ń lu ìkọ́ ìtọ́jú, a sì tún ń tọ́ ọ jáde kúrò ní wg0 nígbà tí AllowedIPs bò àwọn àdírẹ́sì méjèèjì. OpenVPN ni ẹ̀ka èkejì ní kété tí a bá gbé client-to-client sínú ìṣètò sáfà, nítorí pé ìtọ́nisọ́nà yẹn ń fi pọ́kẹ́tì lélẹ̀ láàárín àwọn ìpàdé nínú ààyè olùlò. Ṣàyẹ̀wò ìṣètò tí a gbé wọlé fún ìtọ́nisọ́nà yẹn kí o tó kọ ohunkóhun. Ìlànà kọ́mpútà tí kò rí ìrìn rí kò lè yàtọ̀ sí ìlànà tí ó ń ṣiṣẹ́, àti bẹ́ẹ̀ ni ìtẹ̀wọ́bọ̀ kan ń parí láìsí ìpínyà kankan.

Ka ìṣètò tí ó ń ṣiṣẹ́ dípò fáìlì tí o rò pé a gbé wọlé, nítorí pé àwọn àkójọpọ̀ ìpín pin àwọn àfikún tiwọn. Bí dẹ́mọ́nì bá ń tọ́jú, ìkọ̀ wà nínú àwọn ìṣàkóso tirẹ̀ fún oníbàárà kọ̀ọ̀kan, fàìràwọ́ọ̀lì olùgbàlejò sì kàn ń ṣe àyọ̀ ìrìn tí a darí sí olùgbàlejò. Bí kọ́mpútà bá ń tọ́jú, ìkọ́ ìtọ́jú ni ibi kan ṣoṣo tí ó ṣe pàtàkì.

Àwọn ìtẹ̀wọ́bọ̀ tí a tọ́ ọ̀nà àti tí a túmọ̀ nílò àyẹ̀wò mìíràn: orísun tí oníbàárà jìnnà rí lè máà jẹ́ èyí tí o retí. Nígbà náà ìlànà tí ó bá ẹ̀ka oníbàárà mu kò bá ohunkóhun mu. Ṣàkọsílẹ̀ àdírẹ́sì tí ó yè kúrò nínú ìtúmọ̀ kí o tó kọ ìbámu, kí o sì yàn láti bá ẹ̀yà ẹ̀rọ mu dípò síṣe àfojúsùn àwọn àdírẹ́sì NAT.

Fún gbogbo àdírẹ́sì ní ìdánimọ̀ tí a lè fagilé fúnra rẹ̀

Ìpínyà ń wó lulẹ̀ ní kété tí ẹ̀rọ méjì bá pín ẹ̀rí kan. Ìlànà tí ó so mọ́ ìdánimọ̀ yẹn kò lè pín wọn, àti fífagilé kọ̀mpútà gbéni tí ó sọnù ń fagilé gbogbo ẹ̀ka. Àwọn ẹ̀rí fún ẹ̀rọ kọ̀ọ̀kan tàbí àwọn kọ́kọ́rọ́ fún ẹlẹgbẹ́ kọ̀ọ̀kan ń pa fífagilé mọ́ sí àdúgbò, ìlànà sì ṣeé kà, nítorí gbogbo àdírẹ́sì bá ẹnìkan tàbí ẹ̀rọ kan mu gan-an. Níbi tí àpẹẹrẹ kò ti lè ṣe bẹ́ẹ̀, sọ ọ́ nínú ìwé ìṣiṣẹ́ dípò kí o ṣàpèjúwe ìlànà náà gẹ́gẹ́ bí ó fẹ́.

Pípín àwọn àdírẹ́sì gbọ́dọ̀ bá ìlànà mu. Pa ẹ̀ka kan mọ́ fún àwọn iṣẹ́, ẹ̀ka kan fún àwọn oníbàárà, kí o sì pín àwọn àdírẹ́sì oníbàárà láti inú àkójọpọ̀ tí ìwọ ń ṣàkóso dípò ìlà tí ẹni àkọ́kọ́ tó dé ń gbà. Bí sáfà bá ń túmọ̀ tàbí ń ṣe afárá, pa tábìlì ìbámu mọ́ lẹ́gbẹ̀ẹ́ ìṣètò, nítorí pé tábìlì yẹn ni ohun tí olùkà tó kàn nílò láti tún ìlànà yọ jáde.

Gbé ìkọ̀ sí ibi tí pọ́kẹ́tì ti ń kọjá ọ̀nà

Ní ẹnu-ọ̀nà tí ó ń tọ́jú ìrìn WireGuard, àwọn ìlànà méjì ń bo ipò náà: gba ẹ̀ka iṣẹ́ láàyè, lẹ́yìn náà sọ ìyókù ẹ̀ka oníbàárà nù. Ẹ̀yà ẹ̀rọ ṣe pàtàkì bí àwọn àdírẹ́sì, nítorí pé ìbámu sí ibi ìlọ nìkan tún ń mú ìrìn tí ó ti LAN wá. Gbé wọn wọlé ní ìtòlẹ́sẹẹsẹ yẹn kí a lè ṣàyẹ̀wò àṣẹ kọ́kọ́.

Pẹ̀lú nftables ẹ̀yà náà ń wọ inú tábìlì inet filter tí ó ti wà, àṣẹ kọ́kọ́ àti sísọ nù lẹ́yìn. Àwọn ìbámu méjèèjì ń so ẹ̀yà ẹ̀rọ pẹ̀lú àwọn àdírẹ́sì.

nft add rule inet filter forward iifname "wg0" oifname "wg0" ip saddr 10.8.0.0/24 ip daddr 10.8.2.0/24 accept
nft add rule inet filter forward iifname "wg0" oifname "wg0" ip saddr 10.8.0.0/24 ip daddr 10.8.0.0/24 drop

Ka ẹ̀wọ̀n náà padà lẹ́yìn gbígbé wọlé dípò gbígbẹ́kẹ̀ lé ipò jáde, kí o sì jẹ́rìí pé àwọn ìlànà méjèèjì wà ní ìtòlẹ́sẹẹsẹ tí o ní lọ́kàn. Fi àwọn ìlànà ip6 tí ó bá mu kún fún àkójọpọ̀ IPv6, bí bẹ́ẹ̀ kọ ẹ̀yà v4 kàn jẹ́ ọ̀ṣọ́ lórí ọ̀nà ẹ̀ka méjì. Bí sáfà bá ti ní ìlànà ìtọ́jú tí ó ń gba láàyè, fi sísọ nù kún dípò kí o rọ́pò gbogbo ẹ̀wọ̀n.

Nígbà tí client-to-client wà ní ṣíṣí lórí OpenVPN, àwọn ìlànà ìtọ́jú wọ̀nyí kò bá ìrìn láàárín àwọn ẹlẹgbẹ́ mu rí, ìkọ̀ sì gbọ́dọ̀ wà nínú àwọn ìṣàkóso dẹ́mọ́nì fúnra rẹ̀. Pa àwọn ìlànà kọ́mpútà mọ́ fún ìrìn tí a darí sí olùgbàlejò, ṣùgbọ́n má ṣe kà wọ́n gẹ́gẹ́ bí ìṣàkóso ìpínyà.

Fi ẹ̀rí ìkọ̀ hàn láti ọ̀dọ̀ oníbàárà, kì í ṣe láti ọ̀dọ̀ sáfà

Ìdánwò láti ẹnu-ọ̀nà kò fi ẹ̀rí kankan hàn, nítorí ìrìn tí a dá sí àdúgbò ń gba ọ̀nà jáde, kò sì kọjá ìkọ́ ìtọ́jú rí. Lo àwọn oníbàárà gidi méjì: ọ̀kan tí ó yẹ kí ó dé iṣẹ́, ọ̀kan tí ó yẹ kí a kọ̀. Ṣe ipò àṣẹ kọ́kọ́, kí a má baà kà ọ̀nà tí ó já lórí gẹ́gẹ́ bí ìlànà tí ó ń ṣiṣẹ́.

Láti ọ̀dọ̀ oníbàárà tí a gbà láàyè, jẹ́rìí pé iṣẹ́ ń dáhùn lórí ibùdókọ̀ rẹ̀. Láti ọ̀dọ̀ oníbàárà kan náà, dán àdírẹ́sì ẹlẹgbẹ́ wò kí o sì retí sísọ nù ní ìdákẹ́jẹ́ dípò ìkọ̀:

ping -c 3 -W 2 10.8.0.5
nc -z -w 2 10.8.0.5 22
nft list chain inet filter forward
iptables -vnL FORWARD
ping -6 -c 3 -W 2 fd00:8::5

Pọ́kẹ́tì tí a sọ nù àti ẹlẹgbẹ́ tí kò sí lórí ìtàkùn méjèèjì dà bí àkókò tí ó tán, nítorí náà ṣàyẹ̀wò àwọn olùkà kí o tó pinnu ohunkóhun. Jẹ́rìí pé olùkà ìlànà sísọ nù ń pọ̀ sí i nígbà tí ẹlẹgbẹ́ ń ṣiṣẹ́ kedere. Tún ṣe lórí IPv6, níbi tí àìsí ìlànà ip6 ń jẹ́ kí ìkọ̀ v4 dà bí ó ń ṣiṣẹ́. Kọ àwọn èsì tí a gbà àti tí a kọ̀ sínú ìwé ìṣiṣẹ́ pẹ̀lú ọjọ́, nítorí ìṣípòpadà tó kàn yóò tún ìlànà yọ jáde.