ΠΠ΅ΡΠΎΠ΄ ΠΏΠΎΠ·Π²ΠΎΠ»ΡΠ΅Ρ ΠΎΡΡΡΠ΅ΡΡΠ²ΠΈΡΡ ΠΏΠΎΠ΄ΡΡΠ°Π½ΠΎΠ²ΠΊΡ ΠΏΠ°ΠΊΠ΅ΡΠΎΠ² Π½Π° ΡΡΠΎΠ²Π½Π΅ TCP-ΡΠΎΠ΅Π΄ΠΈΠ½Π΅Π½ΠΈΠΉ, ΠΏΡΠΎΡ
ΠΎΠ΄ΡΡΠΈΡ
Π²Π½ΡΡΡΠΈ ΡΠΈΡΡΠΎΠ²Π°Π½Π½ΠΎΠ³ΠΎ ΡΡΠ½Π½Π΅Π»Ρ, Π½ΠΎ Π½Π΅ ΠΏΠΎΠ·Π²ΠΎΠ»ΡΠ΅Ρ Π²ΠΊΠ»ΠΈΠ½ΠΈΠ²Π°ΡΡΡΡ Π² ΡΠΎΠ΅Π΄ΠΈΠ½Π΅Π½ΠΈΡ, ΠΏΡΠΈΠΌΠ΅Π½ΡΡΡΠΈΠ΅ Π΄ΠΎΠΏΠΎΠ»Π½ΠΈΡΠ΅Π»ΡΠ½ΡΠ΅ ΡΠ»ΠΎΠΈ ΡΠΈΡΡΠΎΠ²Π°Π½ΠΈΡ (Π½Π°ΠΏΡΠΈΠΌΠ΅Ρ, TLS, HTTPS, SSH). ΠΡΠΈΠΌΠ΅Π½ΡΠ΅ΠΌΡΠ΅ Π² VPN Π°Π»Π³ΠΎΡΠΈΡΠΌΡ ΡΠΈΡΡΠΎΠ²Π°Π½ΠΈΡ Π½Π΅ ΠΈΠΌΠ΅ΡΡ Π·Π½Π°ΡΠ΅Π½ΠΈΡ, ΡΠ°ΠΊ ΠΊΠ°ΠΊ ΠΏΠΎΠ΄Π΄Π΅Π»ΡΠ½ΡΠ΅ ΠΏΠ°ΠΊΠ΅ΡΡ ΠΏΠΎΡΡΡΠΏΠ°ΡΡ ΠΈΠ· Π²Π½Π΅ΡΠ½Π΅Π³ΠΎ ΠΈΠ½ΡΠ΅ΡΡΠ΅ΠΉΡΠ°, Π° ΠΎΠ±ΡΠ°Π±Π°ΡΡΠ²Π°ΡΡΡΡ ΡΠ΄ΡΠΎΠΌ ΠΊΠ°ΠΊ ΠΏΠ°ΠΊΠ΅ΡΡ ΠΈΠ· VPN-ΠΈΠ½ΡΠ΅ΡΡΠ΅ΠΉΡΠ°. ΠΠ°ΠΈΠ±ΠΎΠ»Π΅Π΅ Π²Π΅ΡΠΎΡΡΠ½ΠΎΠΉ ΡΠ΅Π»ΡΡ Π°ΡΠ°ΠΊΠΈ ΡΠ²Π»ΡΠ΅ΡΡΡ Π²ΠΌΠ΅ΡΠ°ΡΠ΅Π»ΡΡΡΠ²ΠΎ Π² Π½Π΅Π·Π°ΡΠΈΡΡΠΎΠ²Π°Π½Π½ΡΠ΅ ΡΠΎΠ΅Π΄ΠΈΠ½Π΅Π½ΠΈΡ HTTP, Π½ΠΎ
Π£ΡΠΏΠ΅ΡΠ½Π°Ρ ΠΏΠΎΠ΄ΠΌΠ΅Π½Π° ΠΏΠ°ΠΊΠ΅ΡΠΎΠ² ΠΏΡΠΎΠ΄Π΅ΠΌΠΎΠ½ΡΡΡΠΈΡΠΎΠ²Π°Π½Π° Π΄Π»Ρ ΡΡΠ½Π½Π΅Π»Π΅ΠΉ, ΡΠΎΠ·Π΄Π°Π²Π°Π΅ΠΌΡΡ
ΠΏΡΠΈ ΠΏΠΎΠΌΠΎΡΠΈ OpenVPN, WireGuard ΠΈ IKEv2/IPSec.Tor ΠΏΡΠΎΠ±Π»Π΅ΠΌΠ΅ Π½Π΅ ΠΏΠΎΠ΄Π²Π΅ΡΠΆΠ΅Π½, ΡΠ°ΠΊ ΠΊΠ°ΠΊ ΠΈΡΠΏΠΎΠ»ΡΠ·ΡΠ΅Ρ SOCKS Π΄Π»Ρ ΠΏΡΠΎΠ±ΡΠΎΡΠ° ΡΡΠ°ΡΠΈΠΊΠ° ΠΈ ΠΏΡΠΈΠ²ΡΠ·ΠΊΡ ΠΊ loopback-ΠΈΠ½ΡΠ΅ΡΡΠ΅ΠΉΡΡ. ΠΠ»Ρ IPv4 Π°ΡΠ°ΠΊΠ° Π²ΠΎΠ·ΠΌΠΎΠΆΠ½Π° Π² ΡΠ»ΡΡΠ°Π΅ ΠΏΠ΅ΡΠ΅Π²ΠΎΠ΄Π° rp_filter Π² ΡΠ΅ΠΆΠΈΠΌ «Loose» (sysctl net.ipv4.conf.all.rp_filter = 2). ΠΠ·Π½Π°ΡΠ°Π»ΡΠ½ΠΎ Π² Π±ΠΎΠ»ΡΡΠΈΠ½ΡΡΠ²Π΅ ΡΠΈΡΡΠ΅ΠΌ ΠΏΡΠΈΠΌΠ΅Π½ΡΠ»ΡΡ ΡΠ΅ΠΆΠΈΠΌ «Strict», Π½ΠΎ Π½Π°ΡΠΈΠ½Π°Ρ Ρ
ΠΠ΅Ρ
Π°Π½ΠΈΠ·ΠΌ rp_filter
ΠΌΠ°ΡΡΡΡΡ ΠΎΡΠ²Π΅ΡΠ° ΠΌΠΎΠΆΠ΅Ρ ΠΏΡΠΎΡ
ΠΎΠ΄ΠΈΡΡ Π½Π΅ ΡΠ΅ΡΠ΅Π· ΡΠΎΡ ΡΠ΅ΡΠ΅Π²ΠΎΠΉ ΠΈΠ½ΡΠ΅ΡΡΠ΅ΠΉΡ, ΡΠ΅ΡΠ΅Π· ΠΊΠΎΡΠΎΡΡΠΉ ΠΏΠΎΡΡΡΠΏΠΈΠ» Π²Ρ
ΠΎΠ΄ΡΡΠΈΠΉ ΠΏΠ°ΠΊΠ΅Ρ.
Π ΡΠ΅ΠΆΠΈΠΌΠ΅ «Loose» Π²Ρ ΠΎΠ΄ΡΡΠΈΠΉ ΠΏΠ°ΠΊΠ΅Ρ ΠΏΡΠΎΠ²Π΅ΡΡΠ΅ΡΡΡ Π½Π° ΡΠΎΠΎΡΠ²Π΅ΡΡΡΠ²ΠΈΠ΅ ΡΠ°Π±Π»ΠΈΡΠ΅ ΠΌΠ°ΡΡΡΡΡΠΈΠ·Π°ΡΠΈΠΈ, Π½ΠΎ ΡΡΠΈΡΠ°Π΅ΡΡΡ Π΄ΠΎΠΏΡΡΡΠΈΠΌΡΠΌ, Π΅ΡΠ»ΠΈ Π°Π΄ΡΠ΅Ρ ΠΈΡΡΠΎΡΠ½ΠΈΠΊΠ° Π΄ΠΎΡΡΠΈΠΆΠΈΠΌ ΡΠ΅ΡΠ΅Π· Π»ΡΠ±ΠΎΠΉ ΠΈΠΌΠ΅ΡΡΠΈΠΉΡΡ ΡΠ΅ΡΠ΅Π²ΠΎΠΉ ΠΈΠ½ΡΠ΅ΡΡΠ΅ΠΉΡ. ΠΡΠ΅Π΄Π»ΠΎΠΆΠ΅Π½Π½Π°Ρ Π°ΡΠ°ΠΊΠ° ΡΡΡΠΎΠΈΡΡΡ Π½Π° ΡΠΎΠΌ, ΡΡΠΎ Π°ΡΠ°ΠΊΡΡΡΠΈΠΉ ΠΌΠΎΠΆΠ΅Ρ ΠΎΡΠΏΡΠ°Π²ΠΈΡΡ ΠΏΠ°ΠΊΠ΅Ρ Ρ ΠΏΠΎΠ΄ΠΌΠ΅Π½ΡΠ½Π½ΡΠΌ Π°Π΄ΡΠ΅ΡΠΎΠΌ ΠΈΡΡΠΎΡΠ½ΠΈΠΊΠ°, ΡΠΎΠΎΡΠ²Π΅ΡΡΡΠ²ΡΡΡΠΈΠΌ ΠΈΠ½ΡΠ΅ΡΡΠ΅ΠΉΡΡ VPN, ΠΈ Π½Π΅ΡΠΌΠΎΡΡΡ Π½Π° ΡΠΎ, ΡΡΠΎ Π΄Π°Π½Π½ΡΠΉ ΠΏΠ°ΠΊΠ΅Ρ ΠΏΠΎΡΡΡΠΏΠΈΡ Π² ΡΠΈΡΡΠ΅ΠΌΡ ΡΠ΅ΡΠ΅Π· Π²Π½Π΅ΡΠ½ΠΈΠΉ ΡΠ΅ΡΠ΅Π²ΠΎΠΉ ΠΈΠ½ΡΠ΅ΡΡΠ΅ΠΉΡ, Π° Π½Π΅ ΡΠ΅ΡΠ΅Π· VPN, Π² ΡΠ΅ΠΆΠΈΠΌΠ΅ rp_filter «Loose» ΡΠ°ΠΊΠΎΠΉ ΠΏΠ°ΠΊΠ΅Ρ Π½Π΅ Π±ΡΠ΄Π΅Ρ ΠΎΡΠ±ΡΠΎΡΠ΅Π½.
ΠΠ»Ρ ΡΠΎΠ²Π΅ΡΡΠ΅Π½ΠΈΡ Π°ΡΠ°ΠΊΠΈ Π·Π»ΠΎΡΠΌΡΡΠ»Π΅Π½Π½ΠΈΠΊ Π΄ΠΎΠ»ΠΆΠ΅Π½ ΠΊΠΎΠ½ΡΡΠΎΠ»ΠΈΡΠΎΠ²Π°ΡΡ ΡΠ»ΡΠ·, ΡΠ΅ΡΠ΅Π· ΠΊΠΎΡΠΎΡΡΠΉ ΠΏΠΎΠ»ΡΠ·ΠΎΠ²Π°ΡΠ΅Π»Ρ Π²ΡΡ
ΠΎΠ΄ΠΈΡ Π² ΡΠ΅ΡΡ (Π½Π°ΠΏΡΠΈΠΌΠ΅Ρ, ΡΠ΅ΡΠ΅Π· ΠΎΡΠ³Π°Π½ΠΈΠ·Π°ΡΠΈΡ MITM, ΠΏΡΠΈ ΠΏΠΎΠ΄ΠΊΠ»ΡΡΠ΅Π½ΠΈΠΈ ΠΆΠ΅ΡΡΠ²Ρ ΠΊ ΠΊΠΎΠ½ΡΡΠΎΠ»ΠΈΡΡΠ΅ΠΌΠΎΠΉ Π°ΡΠ°ΠΊΡΡΡΠΈΠΌ ΡΠΎΡΠΊΠ΅ Π±Π΅ΡΠΏΡΠΎΠ²ΠΎΠ΄Π½ΠΎΠ³ΠΎ Π΄ΠΎΡΡΡΠΏΠ° ΠΈΠ»ΠΈ ΡΠ΅ΡΠ΅Π·
ΠΡΡΡΠΌ Π³Π΅Π½Π΅ΡΠ°ΡΠΈΠΈ ΠΏΠΎΡΠΎΠΊΠ° ΡΠΈΠΊΡΠΈΠ²Π½ΡΡ ΠΏΠ°ΠΊΠ΅ΡΠΎΠ², Π² ΠΊΠΎΡΠΎΡΡΡ ΠΏΠΎΠ΄ΡΡΠ°Π²Π»ΡΠ΅ΡΡΡ IP-Π°Π΄ΡΠ΅Ρ ΠΈΠ½ΡΠ΅ΡΡΠ΅ΠΉΡΠ° VPN, ΠΎΡΡΡΠ΅ΡΡΠ²Π»ΡΡΡΡΡ ΠΏΠΎΠΏΡΡΠΊΠΈ ΠΏΠΎΠ²Π»ΠΈΡΡΡ Π½Π° ΡΡΡΠ°Π½ΠΎΠ²Π»Π΅Π½Π½ΠΎΠ΅ ΠΊΠ»ΠΈΠ΅Π½ΡΠΎΠΌ ΡΠΎΠ΅Π΄ΠΈΠ½Π΅Π½ΠΈΠ΅, Π½ΠΎ Π½Π°Π±Π»ΡΠ΄Π°ΡΡ Π·Π° Π²Π»ΠΈΡΠ½ΠΈΠ΅ΠΌ ΡΡΠΈΡ ΠΏΠ°ΠΊΠ΅ΡΠΎΠ² ΠΌΠΎΠΆΠ½ΠΎ Π»ΠΈΡΡ ΡΠ΅ΡΠ΅Π· ΠΏΠ°ΡΡΠΈΠ²Π½ΡΠΉ Π°Π½Π°Π»ΠΈΠ· Π·Π° ΡΠΈΡΡΠΎΠ²Π°Π½Π½ΡΠΌ ΠΏΠΎΡΠΎΠΊΠΎΠΌ ΡΡΠ°ΡΠΈΠΊΠ°, ΡΠ²ΡΠ·Π°Π½Π½ΡΠΌ Ρ ΡΠ°Π±ΠΎΡΠΎΠΉ ΡΡΠ½Π½Π΅Π»Ρ. ΠΠ»Ρ ΠΏΡΠΎΠ²Π΅Π΄Π΅Π½ΠΈΡ Π°ΡΠ°ΠΊΠΈ Π½Π΅ΠΎΠ±Ρ ΠΎΠ΄ΠΈΠΌΠΎ ΡΠ·Π½Π°ΡΡ Π½Π°Π·Π½Π°ΡΠ΅Π½Π½ΡΠΉ VPN-ΡΠ΅ΡΠ²Π΅ΡΠΎΠΌ IP-Π°Π΄ΡΠ΅Ρ ΡΠ΅ΡΠ΅Π²ΠΎΠ³ΠΎ ΠΈΠ½ΡΠ΅ΡΡΠ΅ΠΉΡΠ° ΡΡΠ½Π½Π΅Π»Ρ, Π° ΡΠ°ΠΊΠΆΠ΅ ΠΎΠΏΡΠ΅Π΄Π΅Π»ΠΈΡΡ, ΡΡΠΎ Π² Π΄Π°Π½Π½ΡΠΉ ΠΌΠΎΠΌΠ΅Π½Ρ ΡΠ΅ΡΠ΅Π· ΡΡΠ½Π½Π΅Π»Ρ Π°ΠΊΡΠΈΠ²Π½ΠΎ ΡΠΎΠ΅Π΄ΠΈΠ½Π΅Π½ΠΈΠ΅ ΠΊ ΠΎΠΏΡΠ΅Π΄Π΅Π»ΡΠ½Π½ΠΎΠΌΡ Ρ ΠΎΡΡΡ.
ΠΠ»Ρ ΠΎΠΏΡΠ΅Π΄Π΅Π»Π΅Π½ΠΈΡ IP Π²ΠΈΡΡΡΠ°Π»ΡΠ½ΠΎΠ³ΠΎ ΡΠ΅ΡΠ΅Π²ΠΎΠ³ΠΎ ΠΈΠ½ΡΠ΅ΡΡΠ΅ΠΉΡΠ° VPN ΠΈΡΠΏΠΎΠ»ΡΠ·ΡΠ΅ΡΡΡ ΠΎΡΠΏΡΠ°Π²ΠΊΠ° Π½Π° ΡΠΈΡΡΠ΅ΠΌΡ ΠΆΠ΅ΡΡΠ²Ρ SYN-ACK ΠΏΠ°ΠΊΠ΅ΡΠΎΠ², ΠΏΠΎΡΠ»Π΅Π΄ΠΎΠ²Π°ΡΠ΅Π»ΡΠ½ΠΎ ΠΏΠ΅ΡΠ΅Π±ΠΈΡΠ°Ρ Π²Π΅ΡΡ Π΄ΠΈΠ°ΠΏΠ°Π·ΠΎΠ½ Π²ΠΈΡΡΡΠ°Π»ΡΠ½ΡΡ Π°Π΄ΡΠ΅ΡΠΎΠ² (Π² ΠΏΠ΅ΡΠ²ΡΡ ΠΎΡΠ΅ΡΠ΅Π΄Ρ ΠΏΠ΅ΡΠ΅Π±ΠΈΡΠ°ΡΡΡΡ Π°Π΄ΡΠ΅ΡΠ°, ΠΈΡΠΏΠΎΠ»ΡΠ·ΡΠ΅ΠΌΡΠ΅ Π² VPN ΠΏΠΎ ΡΠΌΠΎΠ»ΡΠ°Π½ΠΈΡ, Π½Π°ΠΏΡΠΈΠΌΠ΅Ρ Π² OpenVPN ΠΈΡΠΏΠΎΠ»ΡΠ·ΡΠ΅ΡΡΡ ΠΏΠΎΠ΄ΡΠ΅ΡΡ 10.8.0.0/24). Π ΡΡΡΠ΅ΡΡΠ²ΠΎΠ²Π°Π½ΠΈΠΈ Π°Π΄ΡΠ΅ΡΠ° ΠΌΠΎΠΆΠ½ΠΎ ΡΡΠ΄ΠΈΡΡ Π½Π° ΠΎΡΠ½ΠΎΠ²Π΅ ΠΏΠΎΡΡΡΠΏΠ»Π΅Π½ΠΈΡ ΠΎΡΠ²Π΅ΡΠ° Ρ ΡΠ»Π°Π³ΠΎΠΌ RST.
ΠΠ½Π°Π»ΠΎΠ³ΠΈΡΠ½ΡΠΌ ΠΎΠ±ΡΠ°Π·ΠΎΠΌ ΠΎΠΏΡΠ΅Π΄Π΅Π»ΡΠ΅ΡΡΡ Π½Π°Π»ΠΈΡΠΈΠ΅ ΡΠΎΠ΅Π΄ΠΈΠ½Π΅Π½ΠΈΡ Ρ ΠΎΠΏΡΠ΅Π΄Π΅Π»ΡΠ½Π½ΡΠΌ ΡΠ°ΠΉΡΠΎΠΌ ΠΈ Π½ΠΎΠΌΠ΅Ρ ΠΏΠΎΡΡΠ° Π½Π° ΡΡΠΎΡΠΎΠ½Π΅ ΠΊΠ»ΠΈΠ΅Π½ΡΠ° — ΠΏΠ΅ΡΠ΅Π±ΠΈΡΠ°Ρ Π½ΠΎΠΌΠ΅ΡΠ° ΠΏΠΎΡΡΠΎΠ² Π² ΡΡΠΎΡΠΎΠ½Ρ ΠΏΠΎΠ»ΡΠ·ΠΎΠ²Π°ΡΠ΅Π»Ρ ΠΎΡΠΏΡΠ°Π²Π»ΡΠ΅ΡΡΡ SYN-ΠΏΠ°ΠΊΠ΅Ρ, Π² ΠΊΠ°ΡΠ΅ΡΡΠ²Π΅ Π°Π΄ΡΠ΅ΡΠ° ΠΈΡΡΠΎΡΠ½ΠΈΠΊΠ°, Π² ΠΊΠΎΡΠΎΡΠΎΠΌ ΠΏΠΎΠ΄ΡΡΠ°Π²Π»Π΅Π½ IP ΡΠ°ΠΉΡΠ°, Π° Π°Π΄ΡΠ΅ΡΠ° Π½Π°Π·Π½Π°ΡΠ΅Π½ΠΈΡ Π²ΠΈΡΡΡΠ°Π»ΡΠ½ΡΠΉ IP VPN. Π‘Π΅ΡΠ²Π΅ΡΠ½ΡΠΉ ΠΏΠΎΡΡ ΠΌΠΎΠΆΠ½ΠΎ ΠΏΡΠ΅Π΄ΡΠ³Π°Π΄Π°ΡΡ (80 Π΄Π»Ρ HTTP), Π° Π½ΠΎΠΌΠ΅Ρ ΠΏΠΎΡΡΠ° Π½Π° ΡΡΠΎΡΠΎΠ½Π΅ ΠΊΠ»ΠΈΠ΅Π½ΡΠ° ΠΌΠΎΠΆΠ½ΠΎ Π²ΡΡΠΈΡΠ»ΠΈΡΡ ΠΏΠ΅ΡΠ΅Π±ΠΎΡΠΎΠΌ, Π°Π½Π°Π»ΠΈΠ·ΠΈΡΡΡ Π΄Π»Ρ ΡΠ°Π·Π½ΡΡ Π½ΠΎΠΌΠ΅ΡΠΎΠ² ΠΈΠ·ΠΌΠ΅Π½Π΅Π½ΠΈΠ΅ ΠΈΠ½ΡΠ΅Π½ΡΠΈΠ²Π½ΠΎΡΡΠΈ ACK-ΠΎΡΠ²Π΅ΡΠΎΠ² Π² ΡΠΎΡΠ΅ΡΠ°Π½ΠΈΠΈ Ρ ΠΎΡΡΡΡΡΡΠ²ΠΈΠ΅ΠΌ ΠΏΠ°ΠΊΠ΅ΡΠ° Ρ ΡΠ»Π°Π³ΠΎΠΌ RST.
ΠΠ° Π΄Π°Π½Π½ΠΎΠΌ ΡΡΠ°ΠΏΠ΅ Π°ΡΠ°ΠΊΡΡΡΠΈΠΉ Π·Π½Π°Π΅Ρ Π²ΡΠ΅ ΡΠ΅ΡΡΡΠ΅ ΡΠ»Π΅ΠΌΠ΅Π½ΡΠ° ΡΠΎΠ΅Π΄ΠΈΠ½Π΅Π½ΠΈΡ (Π°Π΄ΡΠ΅ΡΠ°/ΠΏΠΎΡΡ IP ΠΈΡΡΠΎΡΠ½ΠΈΠΊΠ° ΠΈ Π°Π΄ΡΠ΅Ρ/ΠΏΠΎΡΡ IP Π½Π°Π·Π½Π°ΡΠ΅Π½ΠΈΡ), Π½ΠΎ Π΄Π»Ρ ΡΠΎΠ³ΠΎ, ΡΡΠΎΠ±Ρ ΡΠ³Π΅Π½Π΅ΡΠΈΡΠΎΠ²Π°ΡΡ ΡΠΈΠΊΡΠΈΠ²Π½ΡΠΉ ΠΏΠ°ΠΊΠ΅Ρ, ΠΊΠΎΡΠΎΡΡΠΉ Π²ΠΎΡΠΏΡΠΈΠΌΠ΅Ρ ΡΠΈΡΡΠ΅ΠΌΠ° ΠΆΠ΅ΡΡΠ²Ρ, Π°ΡΠ°ΠΊΡΡΡΠΈΠΉ Π΄ΠΎΠ»ΠΆΠ΅Π½ ΠΎΠΏΡΠ΅Π΄Π΅Π»ΠΈΡΡ Π½ΠΎΠΌΠ΅ΡΠ° ΠΏΠΎΡΠ»Π΅Π΄ΠΎΠ²Π°ΡΠ΅Π»ΡΠ½ΠΎΡΡΠΈ ΠΈ ΠΏΠΎΠ΄ΡΠ²Π΅ΡΠΆΠ΄Π΅Π½ΠΈΡ (seq ΠΈ ack) TCP-ΡΠΎΠ΅Π΄ΠΈΠ½Π΅Π½ΠΈΡ. ΠΠ»Ρ ΠΎΠΏΡΠ΅Π΄Π΅Π»Π΅Π½ΠΈΡ Π΄Π°Π½Π½ΡΡ ΠΏΠ°ΡΠ°ΠΌΠ΅ΡΡΠΎΠ² Π°ΡΠ°ΠΊΡΡΡΠΈΠΉ Π½Π΅ΠΏΡΠ΅ΡΡΠ²Π½ΠΎ ΠΎΡΠΏΡΠ°Π²Π»ΡΠ΅Ρ ΠΏΠΎΠ΄Π΄Π΅Π»ΡΠ½ΡΠ΅ RST-ΠΏΠ°ΠΊΠ΅ΡΡ, ΠΏΠ΅ΡΠ΅Π±ΠΈΡΠ°Ρ ΡΠ°Π·Π½ΡΠ΅ Π½ΠΎΠΌΠ΅ΡΠ° ΠΏΠΎΡΠ»Π΅Π΄ΠΎΠ²Π°ΡΠ΅Π»ΡΠ½ΠΎΡΡΠΈ, Π΄ΠΎ ΡΠ΅Ρ ΠΏΠΎΡ, ΠΏΠΎΠΊΠ° Π½Π΅ Π·Π°ΡΠΈΠΊΡΠΈΡΡΠ΅Ρ ΠΎΡΠ²Π΅ΡΠ½ΡΠΉ ACK-ΠΏΠ°ΠΊΠ΅Ρ, ΠΏΠΎΡΡΡΠΏΠ»Π΅Π½ΠΈΠ΅ ΠΊΠΎΡΠΎΡΠΎΠ³ΠΎ ΡΠΊΠ°Π·ΡΠ²Π°Π΅Ρ, ΡΡΠΎ Π½ΠΎΠΌΠ΅Ρ ΠΏΠΎΠΏΠ°Π΄Π°Π΅Ρ Π² ΠΎΠΊΠ½ΠΎ TCP.
ΠΠ°Π»Π΅Π΅ Π°ΡΠ°ΠΊΡΡΡΠΈΠΉ ΡΡΠΎΡΠ½ΡΠ΅Ρ ΠΏΡΠ°Π²ΠΈΠ»ΡΠ½ΠΎΡΡΡ ΠΎΠΏΡΠ΅Π΄Π΅Π»Π΅Π½ΠΈΡ ΠΎΡΠΏΡΠ°Π²ΠΊΠΎΠΉ ΠΏΠ°ΠΊΠ΅ΡΠΎΠ² Ρ ΡΠ΅ΠΌ ΠΆΠ΅ Π½ΠΎΠΌΠ΅ΡΠΎΠΌ ΠΈ Π½Π°Π±Π»ΡΠ΄Π°Ρ Π·Π° ΠΏΠΎΡΡΡΠΏΠ»Π΅Π½ΠΈΠ΅ΠΌ ACK-ΠΎΡΠ²Π΅ΡΠΎΠ², ΠΏΠΎΡΠ»Π΅ ΡΠ΅Π³ΠΎ ΠΏΠΎΠ΄Π±ΠΈΡΠ°Π΅Ρ ΡΠΎΡΠ½ΡΠΉ Π½ΠΎΠΌΠ΅Ρ ΡΠ΅ΠΊΡΡΠ΅ΠΉ ΠΏΠΎΡΠ»Π΅Π΄ΠΎΠ²Π°ΡΠ΅Π»ΡΠ½ΠΎΡΡΠΈ. ΠΠ°Π΄Π°ΡΠ° ΡΡΠ»ΠΎΠΆΠ½Π΅Π½Π° ΡΠ΅ΠΌ, ΡΡΠΎ ΠΎΡΠ²Π΅ΡΡ ΠΎΡΠΏΡΠ°Π²Π»ΡΡΡΡΡ Π²Π½ΡΡΡΠΈ ΡΠΈΡΡΠΎΠ²Π°Π½Π½ΠΎΠ³ΠΎ ΡΡΠ½Π½Π΅Π»Ρ ΠΈ Π°Π½Π°Π»ΠΈΠ·ΠΈΡΠΎΠ²Π°ΡΡ ΠΈΡ Π½Π°Π»ΠΈΡΠΈΠ΅ Π² ΠΏΠ΅ΡΠ΅Ρ Π²Π°ΡΡΠ²Π°Π΅ΠΌΠΎΠΌ ΠΏΠΎΡΠΎΠΊΠ΅ ΡΡΠ°ΡΠΈΠΊΠ° ΠΌΠΎΠΆΠ½ΠΎ Π»ΠΈΡΡ ΠΊΠΎΡΠ²Π΅Π½Π½ΡΠΌΠΈ ΠΌΠ΅ΡΠΎΠ΄Π°ΠΌΠΈ. Π€Π°ΠΊΡ ΠΎΡΠΏΡΠ°Π²ΠΊΠΈ Π°Π΄ΡΠ΅ΡΠΎΠ²Π°Π½Π½ΠΎΠ³ΠΎ VPN-ΡΠ΅ΡΠ²Π΅ΡΡ ACK-ΠΏΠ°ΠΊΠ΅ΡΠ° ΠΊΠ»ΠΈΠ΅Π½ΡΠΎΠΌ ΠΎΠΏΡΠ΅Π΄Π΅Π»ΡΠ΅ΡΡΡ Π½Π° ΠΎΡΠ½ΠΎΠ²Π΅ ΡΠ°Π·ΠΌΠ΅ΡΠ° ΠΈ Π·Π°Π΄Π΅ΡΠΆΠΊΠΈ ΡΠΈΡΡΠΎΠ²Π°Π½Π½ΡΡ ΠΎΡΠ²Π΅ΡΠΎΠ², ΠΊΠΎΡΡΠ΅Π»ΠΈΡΡΡΡΠΈΡ Ρ ΠΎΡΠΏΡΠ°Π²ΠΊΠΎΠΉ ΠΏΠΎΠ΄Π΄Π΅Π»ΡΠ½ΡΡ ΠΏΠ°ΠΊΠ΅ΡΠΎΠ². ΠΠ°ΠΏΡΠΈΠΌΠ΅Ρ, Π΄Π»Ρ OpenVPN ΡΠΈΡΡΠΎΠ²Π°Π½Π½ΡΠΉ ΠΏΠ°ΠΊΠ΅Ρ Ρ ΡΠ°Π·ΠΌΠ΅ΡΠΎΠΌ 79 ΠΏΠΎΠ·Π²ΠΎΠ»ΡΠ΅Ρ ΡΠΎΡΠ½ΠΎ ΡΡΠ΄ΠΈΡΡ, ΡΡΠΎ Π²Π½ΡΡΡΠΈ ΡΠΎΠ΄Π΅ΡΠΆΠΈΡΡΡ ACK-ΠΏΠΎΠ΄ΡΠ²Π΅ΡΠΆΠ΄Π΅Π½ΠΈΠ΅.
ΠΠΎ ΡΠΎΠ³ΠΎ, ΠΊΠ°ΠΊ Π·Π°ΡΠΈΡΠ° ΠΎΡ Π°ΡΠ°ΠΊΠΈ Π±ΡΠ΄Π΅Ρ Π΄ΠΎΠ±Π°Π²Π»Π΅Π½Π° Π² ΡΠ΄ΡΠΎ ΠΎΠΏΠ΅ΡΠ°ΡΠΈΠΎΠ½Π½ΠΎΠΉ ΡΠΈΡΡΠ΅ΠΌΡ, Π² ΠΊΠ°ΡΠ΅ΡΡΠ²Π΅ Π²ΡΠ΅ΠΌΠ΅Π½Π½ΠΎΠ³ΠΎ ΠΌΠ΅ΡΠΎΠ΄Π° Π±Π»ΠΎΠΊΠΈΡΠΎΠ²Π°Π½ΠΈΡ ΠΏΡΠΎΠ±Π»Π΅ΠΌΡ
iptables -t raw -I PREROUTING ! -i wg0 -d 10.182.12.8 -m addrtype ! —src-type LOCAL -j DROP
ΠΈΠ»ΠΈ Π΄Π»Ρ nftables
nft add table ip raw
nft add chain ip raw prerouting ‘{ type filter hook prerouting priority 0; }’
nft add rule ip raw prerouting ‘iifname != «wg0» ip daddr 10.182.12.8 fib saddr type != local drop’
ΠΠ»Ρ Π·Π°ΡΠΈΡΡ ΠΏΡΠΈ ΠΈΡΠΏΠΎΠ»ΡΠ·ΠΎΠ²Π°Π½ΠΈΠΈ ΡΡΠ½Π½Π΅Π»Π΅ΠΉ Ρ Π°Π΄ΡΠ΅ΡΠ°ΠΌΠΈ IPv4 Π΄ΠΎΡΡΠ°ΡΠΎΡΠ½ΠΎ ΠΏΠ΅ΡΠ΅Π²Π΅ΡΡΠΈ rp_filter Π² ΡΠ΅ΠΆΠΈΠΌ «Strict» («sysctl net.ipv4.conf.all.rp_filter = 1»). Π‘ΠΎ ΡΡΠΎΡΠΎΠ½Ρ VPN ΠΌΠ΅ΡΠΎΠ΄ ΠΎΠΏΡΠ΅Π΄Π΅Π»Π΅Π½ΠΈΡ Π½ΠΎΠΌΠ΅ΡΠ° ΠΏΠΎΡΠ»Π΅Π΄ΠΎΠ²Π°ΡΠ΅Π»ΡΠ½ΠΎΡΡΠΈ ΠΌΠΎΠΆΠ΅Ρ Π±ΡΡΡ Π±Π»ΠΎΠΊΠΈΡΠΎΠ²Π°Π½ ΠΏΡΡΡΠΌ Π΄ΠΎΠ±Π°Π²Π»Π΅Π½ΠΈΡ ΠΊ Π·Π°ΡΠΈΡΡΠΎΠ²Π°Π½Π½ΡΠΌ ΠΏΠ°ΠΊΠ΅ΡΠ°ΠΌ Π΄ΠΎΠ±Π°Π²ΠΎΡΠ½ΠΎΠ³ΠΎ Π·Π°ΠΏΠΎΠ»Π½Π΅Π½ΠΈΡ, Π΄Π΅Π»Π°ΡΡΠ΅Π³ΠΎ ΡΠ°Π·ΠΌΠ΅Ρ Π²ΡΠ΅Ρ ΠΏΠ°ΠΊΠ΅ΡΠΎΠ² ΠΎΠ΄ΠΈΠ½Π°ΠΊΠΎΠ²ΡΠΌ.
ΠΡΡΠΎΡΠ½ΠΈΠΊ: opennet.ru