Lig do chliant OpenVPN amháin SSH a dhéanamh chuig ceann eile gan an linn a oscailt

Caithfidh cliant amháin teacht ar sheirbhís SSH cliaint eile, agus ba cheart don chuid eile den linn fanacht chomh leithliseach agus atá sí inniu. Is é client-to-client an lasc mhealltach, a chasann rochtain idirphiaraí ar siúl do gach duine in éineacht agus a thugann an cinneadh do OpenVPN in ionad don eithne. Coinníonn freagra níos cúinge an lasc sin múchta agus ligeann sé do ródú agus do bhalla dóiteáin an fhreastalaí go díreach sruth amháin a iompar.

Tá níos mó i gceist leis an meicníocht ná le téacs na rialach, mar cuireann an dá chur chuige an paicéad in áiteanna difriúla. Má tá a fhios agat cé acu a roghnaigh tú, míneoidh sé sin an riail nach ndéanann aon rud, de réir dealraimh, agus an piara a nascann gan í.

Cá n-aistríonn client-to-client an paicéad

Le client-to-client casta ar siúl, seolann an freastalaí paicéad piara go hinmheánach in ionad é a chur amach arís tríd an bhfeiste tolláin, mar sin ní shroicheann an paicéad cosán seolta an eithne riamh. Tá sin áisiúil agus ciallaíonn sé freisin nach bhfeiceann do bhalla dóiteáin riamh an sruth a cheaptar a phóilíneáil. Fág an rogha múchta agus ródaíonn an freastalaí an paicéad amach arís tríd an gcomhéadan céanna, rud a chuireann os comhair netfilter é. An comhéadan céanna isteach, an comhéadan céanna amach, agus faigheann an slabhra FORWARD an vóta.

Tá an mhalairt soiléir: gnóthaíonn tú pointe beartais agus glacann tú leis an obair ródaithe agus seolta a bhí á déanamh ag an aicearra ar do shon. Tá an obair sin beag do sruth amháin agus fásann sí le gach eisceacht a chuireann tú leis. Comhair na heisceachtaí anois, mar is sa tsraith rialacha atá beartas idirphiaraí ina chónaí i ndáiríre.

An cosán a thógann paicéad piara i ndáiríre

Abair seirbhís Linux Community OpenVPN 2.6, próiseáil TUN i spás úsáideora seachas DCO, toipeolaíocht foshríne, tun0, agus linn de 10.44.0.0/24 le cliant A ag 10.44.0.21 agus cliant B ag 10.44.0.37. Le toipeolaíocht foshríne clúdaíonn an seoladh agus an mhasc a fuair A an linn cheana féin, mar sin seolann A an paicéad chuig an bhfeiste tolláin gan gá le ród breise a bhrú. Seiceáil an ród éifeachtach ar A in ionad ceann a ghlacadh mar rud cinnte.

Ar an bhfreastalaí sroicheann an paicéad dírithe ar B, nach seoladh áitiúil é, mar sin cuirtear ar aghaidh é. Caithfear seoladh IPv4 a bheith casta ar siúl le go dtarlódh sé ar chor ar bith, agus caithfidh an cuardach róid an paicéad a chur amach arís trí tun0. Feiceann an balla dóiteáin mar sin sruth seolta le comhéadan céanna ar an dá thaobh, agus sin an mhionsonra a chailleann formhór na sraitheanna rialacha. Níl aon aistriú foinse ag teastáil anseo, agus is é seoladh A a choinneáil slán a ligeann do B a riail foinse-bhunaithe féin a chur i bhfeidhm.

Dhá riail ar an bhfreastalaí, san ord seo

Iompraíonn trí riail an deonú ar fad: seoladh, eisceacht na péire, agus díbirt réamhshocraithe don phéire tolláin. Ainmníonn an riail ghlactha an péire agus an tseirbhís, mar sin maireann an deonú linn a fhásann. Cuir í roimh aon diúltú cuimsitheach ar thrácht tollán-go-tollán, mar is é an chéad mheaitseáil a bhuann:

sysctl -w net.ipv4.ip_forward=1
iptables -A FORWARD -i tun0 -o tun0 -s 10.44.0.21 -d 10.44.0.37 -p tcp --dport 22 -j ACCEPT
iptables -A FORWARD -i tun0 -o tun0 -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
iptables -A FORWARD -i tun0 -o tun0 -j DROP

Tá na horduithe sin léiritheach agus baineann siad leis an meicníocht a úsáideann d'óstach chun rialacha a choinneáil; imíonn ionsáite ag am rite ag an gcéad tosú eile. Is é an riail stáit an ceann a ligeann d'fhreagraí B agus do chrannadh láimhe TCP filleadh gan dara glacadh scáthánach.

Seiceáil na háirimh ina dhiaidh sin seachas an liosta rialacha, mar tá cuma chomhionann ar riail nach meaitseálann riamh le ceann a oibríonn. Má fhanann na háirimh ag nialas, níl an paicéad ag tógáil an chosáin a cheapann tú.

Cad a chaithfidh B a cheadú fós

Ritheann B an tseirbhís SSH, mar sin socraíonn B an bhfuil rud éigin ag éisteacht ar sheoladh an tolláin agus an nglacann a bhalla dóiteáin ósta féin leis an bhfoinse. Ní cead é ceadú líonra ar an bhfreastalaí d'aon chuntas ar B, agus tá fíorú eochair ósta agus fíordheimhniú úsáideora i bhfeidhm fós mar a bheadh ó aon áit eile.

Tástáil an cás dearfach ar dtús: nasc SSH nua ó A go seoladh tolláin B, glactha leis an eochair ósta a bhfuiltear ag súil léi. Ansin tástáil piara eile nó port eile agus deimhnigh go ndiúltaítear dó, mar ní féidir deonú a cheadaíonn gach rud go ciúin a aithint ó cheann a oibríonn go dtí go mbíonn sé tábhachtach. Tá an dá leath den tástáil sin riachtanach, agus is í an dara ceann an ceann a scipeann daoine.

Taifead na seoltaí a shanntar, na róid éifeachtacha ar an dá chliant agus na rialacha cruinne ar an bhfreastalaí agus ar B. Ní chruthaíonn ping rathúil chuig an ngeata ná port oscailte ar an bhfreastalaí aon rud díobh seo, óir is féidir an dá rud a bheith fíor agus seoladh idirphiaraí fós blocáilte. Scríobh na huimhreacha sin síos agus an tollán suas, mar d'fhéadfadh an seoladh a fhaigheann cliant tar éis athnascadh a bheith éagsúil.