Ródaí LAN agus cliant VPN: dhá ghléas, dhá thábla ródaithe

Seolann dhá ghléas an paicéad ar aghaidh agus coinníonn gach ceann a thábla féin. Tá a fhios ag ródaí LAN gur leis an gcliant VPN an réimír chianda, agus tá a fhios ag an gcliant VPN conas teacht ar an réimír sin trína thollán. Cumraigh an chéad tábla amháin agus sroicheann an paicéad meaisín nach bhfuil aon ród comhfhreagrach aige, mar sin fhágann sé arís tríd an réamhshocrú. Sin an mhainneachtain ar fad, agus ó thaobh an LAN de breathnaíonn sé cosúil le lúb ródaithe, mar is beagnach ea í.

Tarraing an dá hop sula mbaineann tú le ród

Tóg leagan amach léiritheach: óstaigh LAN ar 192.168.50.0/24, an gnáthródaí ag 192.168.50.1, cliant tiomnaithe ag 192.168.50.15, agus LAN chianda ag 10.60.0.0/24 nach féidir teacht uirthi ach tríd an tollán atá ag an gcliant sin. Ní thrasnaíonn ceachtar den dá raon príobháideach an ceann eile, agus tá a phlean seoladh féin ag an tollán.

Tá tábhacht leis an dá raon príobháideach mar is iad a shocraíonn cé acu gléas is féidir freagairt. Feicfidh an taobh cianda an paicéad ag teacht ó sheoladh tolláin an chliaint, agus caithfidh a fhreagra bealach ar ais chuig 192.168.50.0/24 a aimsiú. Mura bhfuil ach an treo amach cumraithe, féadfaidh an iarratas oibriú agus an freagra ag imeacht.

Céim 1: cuir an ródaí i dtreo an chliaint, ní i dtreo an tolláin

Ar an ródaí LAN, cuir ród cinn scríbe leis a bhfuil an chéad hop eile de mar sheoladh LAN an chliaint:

ip route add 10.60.0.0/24 via 192.168.50.15
ip route get 10.60.0.55

Deir an taifead sin «seachaid é chuig an meaisín ar féidir leis tollán a dhéanamh». Ní deir sé aon rud faoin gcaoi a dtógtar an tollán, agus ní chuirtear sé in ionad ród an chliaint féin. Ar ródaí bainistithe maireann an choibhéis ar leathanach ródanna statacha an ghléis; ar ródaí Linux baineann sé le cumraíocht an chomhéadain a shealbhaíonn an LAN, ní le sliogán a dhúnfaidh tú.

Seiceáil freagra an dara ordú. Má thuairiscíonn sé an cliant mar gateway agus comhéadan an LAN mar device, tá an chéad hop ceart agus tá an chuid eile den obair ar an meaisín eile.

Céim 2: tabhair ród dá chuid féin don chliant ar thaobh an tolláin

Faigheann an cliant anois paicéad do 10.60.0.0/24 agus féachann sé ina thábla féin. Má shuiteáil a chumraíocht tolláin ród don réimír sin, leanann an paicéad ar aghaidh go criptithe. Mura ndearna, tagann an paicéad leis an réamhshocrú gnáth agus téann sé ar ais chuig 192.168.50.1, a sheolann chuig an gcliant arís é.

Féach sula gcuireann tú aon rud leis:

ip route show table all | grep -E "10\.60\.0\.0/24|default"
sysctl net.ipv4.ip_forward

Is é ród réimíre atá ar iarraidh i ngach tábla an toradh atá tú a lorg. Cuir leis é trí chumraíocht an tolláin féin, ionas go n-athshuiteálfaidh an chéad athcheangal eile é; imíonn ip route add láimhe leis an seisiún agus tugann sé ar an locht filleadh ag an am is mí-oiriúnaí. Is é an chéad hop eile comhéadan an tolláin nó an seoladh a shannann an VPN mar a phiara, ag brath ar an gcliant, agus ba cheart don seoladh piara teacht ón bpróifíl reatha seachas ó shean-nóta.

Níl an lúb, nuair a tharlaíonn sí, gan teorainn go praiticiúil: titeann an TTL ar gach pas agus faigheann an paicéad bás le teachtaireacht ama imithe thar a cheann. Sin an fáth gur féidir le traceroute athchleachtach timthriall a mholadh agus cliant nach bhfuil ag seoladh ar aghaidh go simplí ag ligean an phaicéid chéanna titim go ciúin.

Céim 3: ceadaigh an seoladh ar aghaidh agus roghnaigh an bealach fillte

Is ceadanna difriúla iad fáil agus seoladh ar aghaidh. Ligeann net.ipv4.ip_forward=1 ar an gcliant d'idirthuras ag leibhéal an eithne, agus caithfidh riail balla dóiteáin fós é a cheadú idir comhéadan an LAN agus an tollán. Ní cheadóidh riail a ligeann rochtain ar leathanach bainistíochta an chliaint féin idirthuras chuig an LAN chianda, agus is furasta an t-idirdhealú a chailleadh nuair a fhreagraíonn an t-óstach céanna pings go háitiúil.

Tá fadhb an scátháin ag an taobh cianda. Caithfidh sé a bheith ar eolas aige go bhfuil 192.168.50.0/24 inrochtana tríd an gcliant fíordheimhnithe seo. Le OpenVPN ciallaíonn sé sin de ghnáth ród in aghaidh an chliaint a bhrúnn cumraíocht an fhreastalaí, nó comhad a bhaineann go sonrach leis an gcliant ar an bhfreastalaí a dhearbhaíonn an LAN taobh thiar den chliant. Gan é sin, caitheann an LAN chianda an freagra amach nó seolann sé chuig a geata réamhshocraithe féin é, is é sin an t-idirlíon.

Is é aistriú na foinse an rogha eile nuair nach féidir réimír an LAN a fhógairt. Athscríobhann riail masquerade scóipeáilte ar an gcliant an fhoinse chuig seoladh an tolláin, agus fillfidh freagraí go nádúrtha ansin. Ceileann sé freisin cé acu óstach LAN a rinne an t-iarratas, agus ní ligeann sé ann féin don taobh cianda naisc a thosú isteach. Roghnaigh an mhalartú sin go toiliúil seachas masquerade uileghabhálach a chur leis agus an fo-iarmhairt a aimsiú níos déanaí.

Céim 4: déan an dá chinneadh a mhaireann, ansin déan tástáil ar an mbealach fíor

Tá úinéir ag gach ród, agus is é an t-úinéir an chumraíocht a athghintear ag am tosaithe nó ag am athcheangail. Ar an ródaí féadfaidh sé a bheith ina iontráil róid statach; ar an gcliant féadfaidh sé a bheith ina phróifíl VPN, NetworkManager nó systemd-networkd. Fíoraigh tríd an tollán a athcheangal agus an cliant a ath-thosú, ansin an tábla a léamh arís seachas muinín a chur as an eagarthóireacht.

Coinnigh an ród réamhshocraithe a iompraíonn nasc seachtrach an tolláin slán. Má chuirtear ina ionad chun an socrú a «shimpliú», brisfidh sé an bealach criptithe sula féidir le haon trácht inmheánach é a úsáid, agus is é an siomptóm tollán nach n-athbhunaítear choíche tar éis an athraithe.

Déan tástáil ó ghnáthóstach LAN, ní ón gcliant, mar ní fheidhmíonn iarratas a thagann chun cinn ar an gcliant céad hop an ródaí riamh. Faigh seirbhís nach bhfuil ach ar an LAN chianda agus deimhnigh corp an fhreagra, ansin féach ar chuntair nó ar logaí an chliaint chun an t-idirthuras a fheiceáil. Cruthaíonn traceroute inmheánach a thaispeánann hops príobháideacha go ndéantar seoladh ar aghaidh, ní an chriptiú: is breathnóireacht ar leith an bealach seachtrach, agus ní thaispeánann ach cuntair chomhéadan an tolláin féin cad a d’imigh tríd.