كيف تخطط تجمّع عناوين عملاء VPN بما يتلاءم مع شبكتك

ابدأ من حقل التجمّع على خادم VPN، لا من جدول بيانات. كل ما تكتبه هناك يصبح فضاء العناوين الداخلي لكل عميل يتصل بعد ذلك، وعليه أن يتعايش مع الشبكة المحلية التي تصل إليها تلك العملاء، والمواقع الموجّهة خلفها، وأي عنوان يحمله العميل أصلاً في منزله. صِل عميلاً واحداً فور حفظ التجمّع، لأن ذلك الاتصال الأول يخبرك هل تعمل القيمة عملياً. من هناك يتوسّع الشرح إلى الخارج: العنوان الذي تلقاه العميل، والمسار الذي يسلكه الرد، والسجل الذي تتركه خلفك.

ابدأ من حقل التجمّع، قبل أن يتصل أي عميل

كل منتج يكشف هذا بطريقة مختلفة، لذا ابحث عن الكائن الذي يوزّع العناوين فعلاً. يمتلك OpenVPN توجيهاً للتجمّع على جانب الخادم يمنح العنوان الحر التالي، ويمتلك بوابة IKEv2 قسماً للتجمّع مرتبطاً بإعداد النظير، ولا يمتلك WireGuard أياً منهما لأن كل نظير يحمل عنوانه الخاص في ملف إعداده. توجيه التجمّع وعنوان النظير الفردي ليسا قابلين للتبادل، وتحرير الخاطئ منهما يهدر بقية الشرح.

بعد أن تحصل على الحقل، اسرد النطاقات الموجودة أصلاً: شبكة المكتب المحلية، وكل موقع موجّه، وVPC السحابية، وأي تجمّع آخر لا يزال في الخدمة. يُحسم التداخل بحساب البادئة، لا بما إذا كانت أرقام المضيفين تبدو مألوفة، لذا قارن التجميع بكل من تلك النطاقات. نطاقان يبدوان كليهما مثل 10.x غير ضارين عندما لا تتقاطع تجميعاتهما، وحادثة دعم عندما تتقاطع.

ثم قرّر هل العنوان دالة في مَن يتصل أم في وقت اتصاله. التوزيع الديناميكي يمنح ما هو حر، بينما يربط التوزيع بحسب الهوية عنواناً ثابتاً ببيانات اعتماد. اكتب الاختيار، لأنه يغيّر الشكل الذي ينبغي أن تبدو عليه إعادة الاتصال لاحقاً.

اقرأ العنوان الذي تلقاه العميل فعلاً

صِل عميلاً واحداً واقرأ ما يبلّغ عنه النفق، لا ما وعد به التجمّع. يعرض العميل عنوانه الداخلي في حالة الاتصال، وعلى Linux تحمله الواجهة مباشرة.

قارن ذلك العنوان بالنطاق الذي حفظته. إذا كان خارج النطاق، فأنت تنظر إلى مسار توزيع مختلف عن الذي حرّرته. تحقّق من طول البادئة أيضاً، لأن عميلاً يحمل /32 ليس له نظير على الوصلة ويرسل كل وجهة عبر مساره الافتراضي.

ip -4 addr show tun0
ip route get 192.168.50.20

العميل الذي يتصل من موجّه منزلي يستخدم النطاق نفسه سيتصل ثم لا يصل إلى شيء تقريباً. يحتفظ العميل بمساره المحلي لتلك البادئة، فيتصادم عنوان النفق مع الشبكة خلفه ويخرج المرور عبر الواجهة الخاطئة. لا يمكن إصلاح تلك الحالة على الخادم؛ والعلاج الموثّق هو إعادة ترقيم الشبكة المنزلية أو اختيار نطاق تجمّع بعيد بما يكفي لتبقى التصادمات نادرة. سجّل الفشل والعلاج معاً، لأن مكتب المساعدة سيواجهه مجدداً.

أعد توصيل العميل نفسه وراقب العنوان. قد يعيد التجمّع الديناميكي القيمة نفسها أو قيمة مختلفة وكلاهما صحيح، بينما التجمّع بحسب الهوية الذي يغيّر العنوان لا يحترم الارتباط. يستغرق ذلك الفحص ثوانٍ ويحسم هل الوضع الذي سجّلته في القسم الأول هو الوضع النافذ.

تتبّع الرد عائداً من الخدمة

يعمل التجمّع فقط عندما تستطيع الردود العودة إليه. خدمة على الشبكة المحلية تجيب العنوان الداخلي، لذا تحتاج بوابتها إلى مسار للتجمّع أو ترجمة أمام الخدمة. عندما يصل طلب عبر النفق ويخرج الرد عبر مسار مختلف، تُسقطه جدار حماية يحفظ الحالة أو فحص المسار العكسي، ويرى العميل خدمة تتصل ثم تتوقف. ضع التجمّع في تصميم التوجيه ككتلة واحدة قابلة للتجميع بدلاً من إضافة مسارات لكل مضيف.

الترجمة تغيّر ما يراه بقية النظام. عندما يُعاد كتابة المصدر، يكون العنوان في جدار حماية المضيف وفي سجل التطبيق هو المترجم، لذا قاعدة مكتوبة مقابل عنوان التجمّع لا تطابق شيئاً، وسطر سجل لا يمكن تتبّعه إلى عميل. يغطي توثيق strongSwan لإعادة التوجيه النصف الخاص بالخادم من ذلك المسار لبوابة IKEv2. يفرض DNS القيد نفسه، لأن اسماً يُحلّ إلى عنوان لا يستطيع العميل الوصول إليه يفشل لاحقاً وفي مكان آخر.

عميلان، ثم إلغاء واحد

صِل عميلين في الوقت نفسه واقرأ العنوانين. يجب أن يكونا متمايزين وقابلين للاستخدام وداخل التجمّع، ويجب أن يصل كل منهما إلى الخدمة المقصودة له. التجمّع الذي يمنح عناوين مكررة يظهر عادة هنا لا في اختبار العميل الواحد الأول.

ألغِ بيانات اعتماد واحدة بينما يبقى العميل الآخر متصلاً، ثم جرّب الخدمة من العميل الباقي. الإلغاء الذي يزعج الجلسة الأخرى يشير إلى حالة مشتركة، وغالباً بيانات اعتماد واحدة أو عنوان واحد يُعاد استخدامه عبر الأجهزة. أعد توصيل العميل الملغى وتأكد من رفضه بدلاً من منحه العنوان المحرَّر.

أنهِ بوجهة ينبغي رفضها. العميل الذي يصل إلى كل شيء قد وُصل، لا اختُبر.

اكتب القيم الأربع حيث سيجدها التغيير القادم

السجل قصير: نطاق التجمّع وبادئته، ووضع التوزيع، ومسار العودة أو الترجمة المستخدمة، ونطاق DNS الذي يجيب عن تلك الوجهات. ضعه بجانب إعداد الخادم لا في تذكرة، وأرّخه. أي شخص يغيّر واحداً من الأربعة لاحقاً يحتاج الثلاثة الأخرى أمامه، لأن تغيير حجم التجمّع يكسر المسار وتغيير المسار يكسر إجابة DNS.

احتفظ معه بملاحظة الملكية: نطاق النفق يخص خادم VPN، و الحجز المصنوع في نطاق DHCP المحلي لا يحجز شيئاً لعميل داخل النفق. ذلك السطر الواحد يمنع أكثر إعادة العمل شيوعاً، حيث يضيف أحدهم حجزاً ويتوقع أن يتبعه عنوان النفق.