VPN bezeroen helbide multzoa nola planifikatu, egokitzeko moduan

Hasi VPN zerbitzariko multzoaren eremuan, ez kalkulu orri batean. Han idazten duzuna geroago konektatzen den bezero bakoitzaren barne helbide-espazio bihurtzen da, eta batera bizi behar du bezero horiek iristen diren LANarekin, haren atzean dauden bideratutako guneekin eta bezeroak etxean jada duen edozein helbiderekin. Konektatu bezero bat multzoa gorde orduko, lehen konexio horrek esaten baitizun balioak praktikan funtzionatzen duen. Hortik aurrera ibilbidea kanporantz doa: bezeroak jasotako helbidea, erantzunak jarraitzen duen bidea eta atzean uzten duzun erregistroa.

Hasi multzoaren eremuan, edozein bezero konektatu aurretik

Produktu bakoitzak modu ezberinean erakusten du hau, beraz aurkitu helbideak benetan esleitzen dituen objektua. OpenVPNk zerbitzari aldeko multzo zuzentarau bat du hurrengo helbide librea banatzen duena, IKEv2 atebide batek parearen konfigurazioari lotutako multzo atal bat du, eta WireGuardek ez du bat ere ez, pare bakoitzak bere helbidea darama bere konfigurazio fitxategian. Multzo zuzentarau bat eta pareko helbide bat ez dira trukagarriak, eta okerra editatzeak ibilbidearen gainerakoa alferrik galtzen du.

Eremua duzunean, zerrendatu jada dauden barrutiak: bulegoko LANa, bideratutako gune bakoitza, hodeiko VPCa eta oraindik zerbitzuan dagoen beste edozein multzo. Gainjartzea aurrizki aritmetikaz erabakitzen da, ez ostalari zenbakiek ezagunak diruditen ala ez, beraz konparatu agregatua barruti horietako bakoitzarekin. Bi barruti 10.x bezala agertzen badira, kaltegabeak dira haien agregatuak ebakitzen ez direnean, eta laguntza istripua direnean.

Gero erabaki helbidea nork konektatzen duen edo noiz konektatzen duten funtzioa den. Esleipen dinamikoak librea dena banatzen du, eta identitate bidezko esleipenak helbide finko bat kredentzial bati lotzen dio. Idatzi aukera, geroago berriz konektatzeak nolakoa izan behar duen aldatzen baitu.

Irakurri bezeroak benetan jasotako helbidea

Konektatu bezero bat eta irakurri tunelek zer jakinarazten duen, ez multzoak agindu zuena. Bezeroak bere barne helbidea erakusten du konexio egoeran, eta Linuxen interfazeak zuzenean darama.

Konparatu helbide hori gordetako barrutiarekin. Barrutitik kanpo badago, editatu zenuenaz bestelako esleipen bide bat ikusten ari zara. Egiaztatu aurrizkiaren luzera ere, /32 bat duen bezeroak ez baitu estekako parearik eta helmuga bakoitza bere ibilbide lehenetsitik bidaltzen du.

ip -4 addr show tun0
ip route get 192.168.50.20

Barruti bera erabiltzen duen etxeko router batetik konektatzen den bezeroa konektatuko da eta gero ia ezer ez du lortuko. Bezeroak aurrizki horren tokiko ibilbidea gordetzen du, beraz tunelaren helbidea haren atzeko sarearekin talka egiten du eta trafikoak interfaze okerretik irteten du. Kasu hori ezin da zerbitzarian konpondu; dokumentatutako konponbidea etxeko sarea birzenbakitzea da edo nahikoa urrun dagoen multzo barruti bat aukeratzea, talkek arraro jarrai dezaten. Erregistratu hutsa eta konponbidea, laguntza zerbitzuak berriro topatuko baitu.

Konektatu berriro bezero bera eta behatu helbidea. Multzo dinamikoak balio bera edo ezberdina itzul dezake eta biak dira zuzenak, identitate bidezko multzo batek helbidea aldatzen badu lotura ez du errespetatzen. Egiaztapen horrek segundo batzuk hartzen ditu eta lehen atalean idatzitako modua indarrean dagoen modua den erabakitzen du.

Jarraitu erantzun bat atzera zerbitzutik

Multzoak soilik funtzionatzen du erantzunek hara atzera bidaia dezaketenean. LANeko zerbitzu batek barne helbideari erantzuten dio, beraz bere atebideak multzorako ibilbide bat edo zerbitzuaren aurrean itzulpen bat behar du. Eskaera tuneletik iristen denean eta erantzuna beste bide batetik irteten denean, egoera duen suebaki batek edo alderantzizko ibilbide egiaztapen batek baztertu egiten du, eta bezeroak konektatzen den eta gero zintzilik geratzen den zerbitzu bat ikusten du. Jarri multzoa bideratze diseinuan bloke laburbilgarri bakar gisa, ostalari bakoitzeko ibilbideak gehitu beharrean.

Itzulpenak sistemaren gainerakoak ikusten duena aldatzen du. Iturria berridazten denean, ostalariaren suebakian eta aplikazioaren erregistroan dagoen helbidea itzulia da, beraz multzoaren helbidearen aurka idatzitako arau bat ez dator ezerrekin bat eta erregistro lerro bat ezin da bezero batera arte jarraitu. strongSwanen birbidaltze dokumentazioak IKEv2 atebide baterako bide horren zerbitzari aldeko erdia hartzen du. DNSk murrizketa bera darama, bezeroak iritsi ezin duen helbide batera ebazten den izenak geroago eta beste leku batean huts egiten baitu.

Bi bezero, gero errebokazio bat

Konektatu bi bezero aldi berean eta irakurri bi helbideak. Bereiziak, erabilgarriak eta multzoaren barruan egon behar dute, eta bakoitzak xede duen zerbitzura iritsi behar du. Helbide bikoiztuak banatzen dituen multzo bat normalean hemen agertzen da, ez lehen bezero bakarreko proban.

Errebokatu kredentzial bat beste bezeroa konektatuta dagoela, gero probatu zerbitzua bizirik atera den bezerotik. Beste saioa aztoratzen duen errebokazio batek partekatutako egoera seinalatzen du, sarrienetan gailuen artean berrerabilitako kredentzial edo helbide bat. Konektatu berriro errebokatutako bezeroa eta egiaztatu ukatua dela, askatutako helbidea ematen zaion beharrean.

Amaitu ukatu beharko litzatekeen helmuga batekin. Dena iristen duen bezeroa konektatu egin da, ez probatu.

Idatzi lau balioak hurrengo aldaketak aurkituko dituen tokian

Erregistroa laburra da: multzoaren barrutia eta aurrizkia, esleipen modua, itzulera bidea edo erabiltzen ari den itzulpena, eta helmuga horien erantzule den DNS irismena. Jarri zerbitzariaren konfigurazioaren ondoan, txartel batean beharrean, eta eman data. Geroago lauetako bat aldatzen duenak beste hirurak behar ditu aurrean, multzoaren tamainaren aldaketak ibilbidea hausten baitu eta ibilbidearen aldaketak DNS erantzuna hausten baitu.

Gorde harekin jabetza oharra: tunelaren barrutia VPN zerbitzariarena da, eta LANeko DHCP irismenean egindako erreserba batek ez du ezer erreserbatzen tunelaren barruko bezero batentzat. Lerro bakar horrek ohikoen den berregitea saihesten du, non norbaitek erreserba bat gehitzen duen eta tunelaren helbideak hura jarraituko duela espero duen.