Ọ̀nà VPN tàbí òfin odi iná: èwo ni ó ń sọ pákẹ́ẹ̀tì nù?

Ìpinnu méjì tí ó dáńgájá ni ó ṣẹlẹ̀ lórí pákẹ́ẹ̀tì kan náà, àti èyíkéyìí nínú wọ́n lè parí ìbéèrè náà ní ìdákẹ́jẹ́. Ìwádìí ọ̀nà yan ìfarakanra kan àti ìgbésẹ̀ tó kàn, lẹ́yìn náà àyọkà pákẹ́ẹ̀tì pinnu bóyá àpapọ̀ yẹn gba ààyè. Àkókò píparí sọ fún ọ pé ọ̀kan nínú àwọn méjì kọ̀, kì í ṣe èwo. Tẹ̀lé àwọn ìpele ní tẹ̀léntẹ̀lẹ́n àti àtúnṣe yóò máa dáwọ́ dúró láti jẹ́ àròsọ.

Ìpinnu méjì, pákẹ́ẹ̀tì kan, olówó méjì

Ìwádìí ọ̀nà kọ́kọ́ ń gbà ìmọ̀ràn lọ́wọ́ àwọn òfin ìlànà, lẹ́yìn náà pátákó tí wọ́n ń tọ́ka sí, ó sì yan àkọ́sílẹ̀ tó ṣe pàtó jù tí ó bá ibi àfojúsùn mu. Ẹnì tí ó fi ọ̀nà ojú-ìmọ̀ọ́nà sílẹ̀ ni ó ni ìpinnu yẹn, kò sì sí nǹkan kankan nínú òfin odi iná tí ó lè rọ́pò rẹ̀. Nígbà tí ìwádìí bá tọ́ka sí ibi àìròtẹ́lẹ̀, gbogbo ìpele tó tẹ̀lé yóò ṣiṣẹ́ lórí pákẹ́ẹ̀tì tí kò tọ́.

Ìyọ̀nú yàtọ̀. Lórí ẹrọ Linux, àwọn ìkọkọ̀ netfilter ń pín ìrìnàjò nípa ẹni tí pákẹ́ẹ̀tì náà jẹ́ ti: ìjáde ń fi ẹrọ náà sílẹ̀, ìwọlé ń parí lórí rẹ̀, gbígbé jáde ń gbà á kọjá. Ẹnubodè tí ó gba àwọn oníbàárà VPN tí ó sì ń darí wọn sí LAN nílò ọ̀nà gbígbé jáde, ìyẹn sì ni ẹ̀wọ̀n tí ọ̀pọ̀ ìṣètò àìbáṣepọ̀ fi sílẹ̀ lófo.

Yíyàn orísun wà nínú ìpinnu kan náà, ibẹ̀ sì ni ọ̀pọ̀ àìbáramu ń fi ara pamọ́. Kọ̀mpútà yóò yan àdírẹ́sì orísun láti ìfarakanra jáde àyàfi tí ọ̀nà bá dárúkọ ọ̀kan, nítorí náà òfin àyọkà tí a kọ fún àwọn ẹ̀ka LAN kò ní bá pákẹ́ẹ̀tì tí ó jáde pẹ̀lú àdírẹ́sì ojú-ìmọ̀ọ́nà mu rí.

Ka ohun tí ìwádìí yàn gan-an

Tẹ̀wé ìpinnu náà jáde dípò kí o rò ó. Àṣẹ tó wà nísàlẹ̀ ń yanjú ọ̀nà tí kọ̀mpútà yóò lò fún ibi àfojúsùn yẹn, pẹ̀lú ìfarakanra àti orísun tí yóò yàn:

ip route get 10.8.0.5
ip route get 10.8.0.5 from 192.0.2.44
ip rule show
ip route show table all | sed -n '1,40p'

Àwọn oníbàárà VPN sábà máa ń fi àwọn òfin ìlànà sílẹ̀ ní àwọn ipò tó wà nísàlẹ̀ pátákó àkọ́kọ́, nítorí náà pátákó àkọ́kọ́ tó mọ́ kò fi nǹkan kan hàn fúnra rẹ̀. Fi àwọn ipò òfin wé àwọn pátákó tí wọ́n yàn, kí o sì ṣàyẹ̀wò bóyá ọ̀nà ojú-ìmọ̀ọ́nà wà lẹ́yìn ìsopọ̀ tún-tẹ̀ dípò kí a fi ọwọ́ kún un lẹ́ẹ̀kan.

IPsec tí ó dá lórí ìlànà ń fi ìpele ìbáramu kẹta kún tí ìdarí ọ̀nà kò bo, gẹ́gẹ́ bí àwọn àkọsílẹ̀ gbígbé jáde strongSwan ṣe ṣàpèjúwe fún ìṣètò ojú-ìmọ̀ọ́nà àti gbígbé. Ìlànà ààbò ń yan ìrìnàjò nípa àkọ́sílẹ̀ àti ìlànà ìbáraẹnisọ̀rọ̀, nígbà tí ọ̀nà ń pinnu ibi tí pákẹ́ẹ̀tì tí kò ní ààbò yóò lọ. Ẹ̀ka tí a ń darí ṣùgbọ́n tí kò ní olùyàn tó bá mu yóò wà láìsí ààbò tàbí a ó sọ ọ́ nù, ní ìbámu pẹ̀lú ìṣètò, kò sì sí èyíkéyìí nínú àwọn àbájáde tí ó dà bí ìṣòro odi iná. Tẹ̀wé ìlànà náà jáde kí o sì fi àwọn olùyàn rẹ̀ wé àwọn àkọ́sílẹ̀ tí o retí pé ojú-ìmọ̀ọ́nà yóò gbé.

Ìyọ̀nú ń ṣiṣẹ́ ní ìkọkọ̀, kì í ṣe ní ọ̀nà

Òfin tí ó gba olùgbọ́ VPN láàyè jẹ́ òfin nípa ìrìnàjò tí a darí sí ẹnubodè fúnra rẹ̀. Kò sọ nǹkan kan nípa àwọn oníbàárà tí ó dé àwọn ẹrọ tó wà lẹ́yìn ẹnubodè yẹn, nítorí ìrìnàjò tí a gbé jáde ń gba ẹ̀wọ̀n mìíràn kọjá. Kíkà àpapọ̀ òfin gẹ́gẹ́ bí àkójọ pẹlẹbẹ kan ni ìdí tó wọ́pọ̀ tí òfin tó dà bí ẹni tó tọ́ kò fi ń tan imọ́ rárá.

Àwọn olùka ń yanjú ìbéèrè náà kíákíá. Òfin tí ìka pákẹ́ẹ̀tì rẹ̀ jẹ́ òdo ni a kò tíì dé ọ̀dọ̀ rẹ̀ rí, èyí tí ó tọ́ka sí ẹ̀wọ̀n tí kò tọ́, ìfarakanra tí kò tọ́ tàbí ìsọ nù tẹ́lẹ̀. Òfin tí ìka rẹ̀ ń pọ̀ sí i lábẹ́ ìlànà sísọ nù ni ààlà tí o ń wá, a sì ń sọ pákẹ́ẹ̀tì náà nù dípò kí a darí rẹ̀ lọ́nà tí kò tọ́.

Fi ìwádìí ránṣẹ́ nípasẹ̀ ọ̀nà tí oníbàárà ń lò

Àwọn ìdánwò tí a ṣe lórí ẹnubodè fúnra rẹ̀ ń gba ìjáde àti ìwọlé kọjá, pẹ̀lú àdírẹ́sì orísun ẹnubodè fúnra rẹ̀. Ìyẹn jẹ́ ọ̀nà mìíràn yàtọ̀ sí ìbéèrè tí a gbé jáde ti oníbàárà, nítorí náà curl àdúgbò tó ṣàṣeyọrí ń fi ohun tó kéré sí i hàn. Dánwò láti ẹrọ tí ó ń kùnà, tàbí fi ìfarakanra àti orísun múlẹ̀ gbangba.

nc -vz -w 3 10.8.0.5 443
ping -c 3 -W 1 10.8.0.5
tcpdump -ni any host 10.8.0.5 and port 443
iptables -vnL FORWARD --line-numbers
nft list ruleset | sed -n '1,60p'

Mímú ní ìparí méjèèjì ń ya àwọn ọ̀ràn tó kù sọ́tọ̀. SYN tí ó fi oníbàárà sílẹ̀ tí kò sì dé rí túmọ̀ sí ìdarí ọ̀nà, ìpamọ́ tàbí àkójọ ààyè lókè. SYN tí ó dé tí kò sì rí ìdáhùn túmọ̀ sí iṣẹ́ náà tàbí àyọkà ẹrọ rẹ̀, ojú-ìmọ̀ọ́nà kò sì jẹ́ ìṣòro rí.

Ìrìnàjò ìpadàbọ̀ yẹ fún ìwò tirẹ̀. Ìdarí ọ̀nà aláìdọ́gba pẹ̀lú ìyọ̀nú ọ̀nà yíyípadà ń sọ àwọn ìdáhùn tí ó dé lórí ìfarakanra tí kò tọ́ nù, èyí tí ó farahàn gẹ́gẹ́ bí ìsopọ̀ ọ̀nà kan dípò ibùdókọ̀ tí a dí. Ṣàyẹ̀wò iye sysctl kí o tó dá odi iná lẹ́bi fún àmì tí kò ṣẹ̀.

Ìkọsílẹ̀ ń ṣiṣẹ́ gẹ́gẹ́ bí èrò kejì, kì í ṣe ìgbésẹ̀ àkọ́kọ́. Gbólóhùn ìkọsílẹ̀ ìgbà díẹ̀ lórí ẹ̀wọ̀n gbígbé jáde ń dárúkọ ìfarakanra àti àwọn àdírẹ́sì tí ó kọlu rẹ̀, ó sì rọrùn láti yọ kúrò lẹ́yìn náà. Tí o bá fi sílẹ̀ títí láé, o ti kọ́ ìṣòro ìwọ̀n ìkọsílẹ̀ dípò ìdáhùn.

Fi gbogbo ìyípadà sí ibi tí yóò wà lẹ́yìn ìsopọ̀ tún-tẹ̀

Ọ̀nà tí a fi ip route add kún yóò wà títí ìfarakanra yóò fi ṣubú. Fi pamọ́ sínú profáìlì ìsopọ̀ dípò: NetworkManager gba àwọn ọ̀nà àfikún lórí ìsopọ̀, netplan sì ń pa wọ́n mọ́ láàárín àwọn ìbẹ̀rẹ̀. Òfin kan náà kan ìyọkuro odi iná ní ẹ̀gbẹ́ oníbàárà, tí yóò padà sílẹ̀ lẹ́yìn ìkójọ́sí tó kàn.

Àwọn òfin ní ẹ̀gbẹ́ olùpèsè jẹ́ ti fáìlì ìṣètò tí iṣẹ́ náà ń kójọ́sí ní ìbẹ̀rẹ̀, kì í ṣe ti ìpàdé ìbáraẹnisọ̀rọ̀ tí ó parí nígbà tí o bá ti í. Kọ òfin náà, kójọ́sí lẹ́ẹ̀kan sí i, kí o sì jẹ́rìí pé olùka náà gbé, nítorí ìkójọ́sí tí ó kọ̀ ìlànà yóò fi àpapọ̀ òfin àtijọ́ sílẹ̀ ní ipò rẹ̀ ní ìdákẹ́jẹ́.

Lẹ́yìn náà tún ìbéèrè ohun èlò àkọ́kọ́ ṣe láti ìbẹ̀rẹ̀ dé ìparí kí o sì ṣàkọsílẹ̀ ìpele tí ó yípadà. Àtúnṣe ọ̀nà tí ó tún nílò ìyípadà àyọkà yóò ṣì kùnà, àti pé ìkùnà kejì ń rọrùn láti kà nígbà tí o bá mọ̀ pé èkíní ti lọ. Ṣàkọsílẹ̀ ọjọ́ àti ẹ̀yà oníbàárà lẹ́gbẹ̀ẹ́ àbájáde náà, nítorí àwọn ìpàdánù ìdarí ọ̀nà àti ìyọ̀nú ń yípadà láàárín àwọn ìtẹ̀jáde. Tọ́jú àkọsílẹ̀ yẹn lórí tíkẹ́ẹ̀tì kí ẹni tó kàn lè bẹ̀rẹ̀ níbi tí o ti dáwọ́ dúró dípò kí ó tún ìrìnàjò ìpele méjì ṣe.