Sut i gynllunio pwll cyfeiriadau cleientiaid VPN sy'n gweddu

Dechreuwch yn null y pwll ar y gweinydd VPN, nid mewn taenlen. Beth bynnag a deipiwch yno sy'n dod yn ofod cyfeiriadau mewnol ar gyfer pob cleient sy'n cysylltu wedyn, ac mae'n rhaid iddo gydfodoli â'r LAN y mae'r cleientiaid hynny'n ei chyrraedd, y safleoedd wedi'u llwybro y tu ôl iddi, a pha gyfeiriad bynnag sydd eisoes gan y cleient gartref. Cysylltwch un cleient cyn gynted ag y caiff y pwll ei gadw, oherwydd mae'r cysylltiad cyntaf hwnnw'n dweud wrthych a yw'r gwerth yn gweithio yn ymarferol. Oddi yno mae'r daith yn symud tuag allan: y cyfeiriad a gafodd y cleient, y llwybr y mae ateb yn ei ddilyn, a'r cofnod a adewch ar ôl.

Dechreuwch yn null y pwll, cyn i unrhyw gleient gysylltu

Mae pob cynnyrch yn ei ddatgelu'n wahanol, felly darganfyddwch y gwrthrych sy'n aseinio cyfeiriadau mewn gwirionedd. Mae gan OpenVPN gyfarwyddeb pwll ar ochr y gweinydd sy'n dosbarthu'r cyfeiriad rhydd nesaf, mae gan borth IKEv2 adran pwll yn rhwym i gyfluniad y cymar, ac nid oes gan WireGuard y naill na'r llall oherwydd mae pob cymar yn cario ei gyfeiriad ei hun yn ei ffeil gyfluniad. Nid yw cyfarwyddeb pwll a chyfeiriad fesul cymar yn gyfnewidiol, ac mae golygu'r un anghywir yn gwastraffu gweddill y daith.

Unwaith y cewch y maes, rhestru'r ystodau sy'n bodoli eisoes: LAN y swyddfa, pob safle wedi'i lwybro, VPC y cwmwl, ac unrhyw bwll arall sydd o hyd mewn gwasanaeth. Penderfynir gorgyffwrdd drwy rifyddeg rhagddodiad, nid drwy ba un a yw'r rhifau gwesteiwr yn edrych yn gyfarwydd, felly cymharwch y crynhoad â phob un o'r ystodau hynny. Mae dau ystod sy'n edrych fel 10.x ill dau yn ddiniwed pan nad yw eu crynhoadau'n croestorri ac yn ddigwyddiad cymorth pan fyddant.

Yna penderfynwch a yw'r cyfeiriad yn ffwythiant o bwy sy'n cysylltu neu o ba bryd maent yn cysylltu. Mae aseinio deinamig yn dosbarthu'r hyn sy'n rhydd, tra bod aseinio fesul hunaniaeth yn rhwymo cyfeiriad sefydlog i gymhwyster. Ysgrifennwch y dewis, oherwydd mae'n newid sut y dylai ailgysylltu edrych yn ddiweddarach.

Darllenwch y cyfeiriad a gafodd y cleient mewn gwirionedd

Cysylltwch un cleient a darllenwch beth mae'r twnnel yn ei adrodd, nid beth a addawodd y pwll. Mae'r cleient yn dangos ei gyfeiriad mewnol yn statws y cysylltiad, ac ar Linux mae'r rhyngwyneb yn ei gario'n uniongyrchol.

Cymharwch y cyfeiriad hwnnw â'r ystod a gadwch. Os yw y tu allan i'r ystod, rydych yn edrych ar lwybr aseinio gwahanol i'r un a olygwyd gennych. Gwiriwch hyd y rhagddodiad hefyd, oherwydd nid oes gan gleient sy'n dal /32 unrhyw gymar ar-gyswllt ac mae'n anfon pob cyrchfan drwy ei lwybr diofyn.

ip -4 addr show tun0
ip route get 192.168.50.20

Bydd cleient sy'n cysylltu o rywtyr cartref sy'n defnyddio'r un ystod yn cysylltu ac yna'n cyrraedd bron i ddim. Mae'r cleient yn cadw ei lwybr lleol ar gyfer y rhagddodiad hwnnw, felly mae cyfeiriad y twnnel yn gwrthdaro â'r rhwydwaith y tu ôl iddo ac mae traffig yn gadael drwy'r rhyngwyneb anghywir. Ni ellir trwsio'r achos hwnnw ar y gweinydd; y feddyginiaeth a ddogfennwyd yw ailrifo'r rhwydwaith cartref neu ddewis ystod pwll sy'n ddigon pell fel bod gwrthdrawiadau'n parhau'n brin. Cofnodwch y methiant a'r feddyginiaeth ill dau, oherwydd bydd y ddesg gymorth yn ei gyfarfod eto.

Ailgysylltwch yr un cleient a gwylio'r cyfeiriad. Gall pwll deinamig ddychwelyd yr un gwerth neu un gwahanol ac mae'r naill a'r llall yn gywir, tra nad yw pwll fesul hunaniaeth sy'n newid y cyfeiriad yn anrhydeddu'r rhwymiad. Mae'r gwiriad hwnnw'n cymryd eiliadau ac yn setlo ai'r modd a gofnodwyd gennych yn yr adran gyntaf yw'r modd sydd mewn grym.

Dilynwch ateb yn ôl o'r gwasanaeth

Dim ond pan all atebion deithio'n ôl ato y mae'r pwll yn gweithio. Mae gwasanaeth ar y LAN yn ateb y cyfeiriad mewnol, felly mae angen llwybr ar gyfer y pwll ar ei borth neu gyfieithiad o flaen y gwasanaeth. Pan fydd cais yn cyrraedd drwy'r twnnel ac mae'r ateb yn gadael ar lwybr gwahanol, mae mur tân cyflwr neu wiriad llwybr gwrthdro yn ei ollwng, ac mae'r cleient yn gweld gwasanaeth sy'n cysylltu ac yna'n hongian. Rhowch y pwll yn y cynllun llwybro fel un bloc crynhoiadwy yn lle ychwanegu llwybrau fesul gwesteiwr.

Mae cyfieithu yn newid yr hyn y mae gweddill y system yn ei weld. Pan ailysgrifennir y ffynhonnell, y cyfeiriad ym mur tân y gwesteiwr ac yng nghofnod y cymhwysiad yw'r un cyfieithiedig, felly nid yw rheol a ysgrifennwyd yn erbyn cyfeiriad y pwll yn cyfateb i ddim ac ni ellir olrhain llinell gofnod yn ôl i gleient. Mae dogfennaeth anfon ymlaen strongSwan yn cwmpasu hanner ochr y gweinydd o'r llwybr hwnnw ar gyfer porth IKEv2. Mae DNS yn cario'r un cyfyngiad, oherwydd mae enw sy'n datrys i gyfeiriad na all y cleient ei gyrraedd yn methu'n ddiweddarach ac yn rhywle arall.

Dau gleient, yna un dirymiad

Cysylltwch ddau gleient ar yr un pryd a darllenwch y ddau gyfeiriad. Rhaid iddynt fod yn wahanol, yn ddefnyddiadwy ac o fewn y pwll, ac mae'n rhaid i bob un gyrraedd y gwasanaeth y'i bwriadwyd ar ei gyfer. Mae pwll sy'n dosbarthu cyfeiriadau dyblyg fel arfer yn dangos ei hun yma yn hytrach nag yn y prawf cyntaf gydag un cleient.

Dirymwch un cymhwyster tra bod y cleient arall yn parhau'n gysylltiedig, yna rhowch gynnig ar y gwasanaeth o'r cleient sydd wedi goroesi. Mae dirymiad sy'n amharu ar y sesiwn arall yn cyfeirio at gyflwr a rennir, yn fwyaf aml un cymhwyster neu un cyfeiriad a ailddefnyddiwyd ar draws dyfeisiau. Ailgysylltwch y cleient a ddirymwyd a chadarnhau ei fod yn cael ei wrthod yn hytrach na chael y cyfeiriad a ryddhawyd.

Gorffennwch gyda chyrchfan y dylid ei gwrthod. Mae cleient sy'n cyrraedd popeth wedi cael ei gysylltu, nid ei brofi.

Ysgrifennwch y pedwar gwerth lle bydd y newid nesaf yn eu cael

Mae'r cofnod yn fyr: ystod a rhagddodiad y pwll, y modd aseinio, y llwybr dychwelyd neu'r cyfieithiad sydd ar waith, a chwmpas DNS sy'n ateb ar gyfer y cyrchfannau hynny. Rhowch ef wrth ochr cyfluniad y gweinydd yn hytrach nag mewn tocyn, a dyddiedig ef. Mae angen y tri arall o'i flaen ar unrhyw un sy'n newid un o'r pedwar yn ddiweddarach, oherwydd mae ailfeintio'r pwll yn torri'r llwybr ac mae newid llwybr yn torri ateb DNS.

Cadwch y nodyn perchnogaeth gydag ef: mae ystod y twnnel yn perthyn i'r gweinydd VPN, ac nid yw archeb a wnaed yng nghwmpas DHCP y LAN yn archebu dim ar gyfer cleient y tu mewn i'r twnnel. Mae'r un llinell honno'n atal yr ailwaith mwyaf cyffredin, lle mae rhywun yn ychwanegu archeb ac yn disgwyl i gyfeiriad y twnnel ei dilyn.