Teastaíonn trí riail ó ghléas amháin trí VPN ródaire, ní lasc

Níl lasc in aghaidh an ghléis ar VPN ródaire; is aicearra é an lasc a bhfuil tú ag lorg a scríobhann rialacha ródaithe beartais ar do shon. An nóiméad a gcaithfidh ríomhaire glúine amháin, raon port amháin, liosta seoladh amháin nó deighleog LAN amháin an tollán a úsáid agus gach rud eile fós ar an WAN, tá tú ag tógáil bealach beartais seachas ag cumasú gné. Tá trí phíosa ghluaiste sa tasc, agus teipeann ar gach ceann ar bhealach difriúil: breathnaíonn tábla marcáilte gan bealach mar chiúnas, breathnaíonn marc a cuireadh sa slabhra mícheart amhail nár tharla aon rud, agus breathnaíonn riail NAT atá ar iarraidh mar thollán a nascann agus nach n-iompraíonn aon rud. Tá dhá phíosa eile ar iarraidh toisc nach bhfeictear riamh sa riail mangle iad, agus is iad sin DNS agus IPv6.

An miotas: is socrú cliaint é an tollán

Déanann cliant VPN ar thaobh an ródaire rud amháin garbh go maith: cuireann sé 0.0.0.0/0 sa phríomhthábla ródaithe agus díríonn sé ar an tollán é. Faigheann WireGuard é sin ó AllowedIPs, faigheann OpenVPN ó redirect-gateway brúite é, agus athraíonn an dá cheann an cosán do gach óstach taobh thiar den ródaire. Athraíonn caolú AllowedIPs nó cur route-nopull leis an méid a shuiteálann an cliant. Ní athraíonn sé cé dó a bhfuil an tsuiteáil i bhfeidhm, mar ní fheiceann an cliant gléis riamh. Ní fheiceann sé ach paicéid.

Is cinneadh ródaithe é roghnú de réir foinse nó cinn scríbe, mar sin baineann sé le ciseal beartais an ródaire: riail mangle móide dara tábla ar RouterOS, MARK móide ip rule ar OpenWrt nó DD-WRT, nó riail balla dóiteáin a bhfuil an tollán ina geata aici ar pfSense. Is é oideas cliant WireGuard Netgate an ceann ba chóir a léamh sula ndéanann tú buille faoi thuairim, mar ar an ardán sin caithfidh geata na rialach, sannadh an chomhéadain agus iontráil NAT amach uile teacht le chéile sula n-úsáideann cliant amháin an tollán.

Is é an dara leath den mhiotas an dara ródaire. Oibríonn ceannach bosca eile nó bogadh an ghléis chuig SSID aoi go minic, agus ní hé an crua-earraí an chúis: cuireann sé an gléas ar a fholíonra féin, rud a thugann an roghnóir foinse duit a thuigeann an firmware cheana féin. Má tá tú in ann an deighleog sin a shainiú ar an ródaire atá agat, réitíonn an bosca breise fadhb nach raibh agat.

Píosa a haon: tollán nach é an bealach réamhshocraithe é

Ar RouterOS, cuir an cliant leis gan bealach réamhshocraithe agus tabhair a thábla féin don tollán. Is é an chéad bhealach an réamhshocrú marcáilte; is é an dara ceann leath na teipe.

/ip route add dst-address=0.0.0.0/0 gateway=VPN_GATEWAY_IP routing-mark=vpn distance=1
/ip route add dst-address=0.0.0.0/0 type=unreachable routing-mark=vpn distance=2

Is é an bealach unreachable an chúis a sháraíonn tábla marcáilte liosta eisceachtaí sa phríomhthábla. Nuair a thiteann an tollán, faigheann paicéid mharcáilte unreachable láithreach in ionad titim go ciúin ar ais chuig an WAN, mar sin feictear an teip i dteachtaireacht earráide an fheidhmchláir seachas ar leathanach geoshuímh a sheiceálann tú uair an chloig níos déanaí.

Deighleann RouterOS 7 an méid a choinnigh 6.x le chéile: dearbhaíonn tú an tábla le /routing table add name=vpn fib, agus ansin déanann tú tagairt dó de réir ainm ar an mbealach agus sa riail mangle. Lódálann blúire 6.x a chuireann routing-mark inlíne gan an tábla a shainiú go glan agus ní thagann sé le haon rud. Is é an clasaiceach eile dhá leath 0.0.0.0/1, nó dhá réamhshocrú ag an achar céanna i dtábla amháin: roghnaíonn an t-eithne ceann amháin, agus féadfaidh an t-iompar athrú tar éis atosaigh.

Píosa a dó: marcáil roimh an gcuardach bealaigh

Cinneann an roghnóir cé na paicéid a théann isteach sa tábla sin. Tosaíonn RouterOS de ghnáth le liosta seoladh le haghaidh beartas cinn scríbe, nó le seoladh foinse le haghaidh beartas gléis:

/ip firewall mangle add chain=prerouting src-address=192.168.88.50 action=mark-routing new-routing-mark=vpn
/ip firewall mangle add chain=prerouting dst-address-list=via-vpn action=mark-routing new-routing-mark=vpn
/ip firewall address-list add list=via-vpn address=203.0.113.10

Déanann firmware Linux an rud céanna le marc netfilter agus riail a stiúrann paicéid mharcáilte isteach i dtábla a líon tú:

iptables -t mangle -A PREROUTING -p tcp --dport 27000:27050 -j MARK --set-mark 0x200
ip route add default dev tun0 table 100
ip rule add fwmark 0x200 table 100

Ní rogha stíle í an tslabhra. Faoin am a shroicheann paicéad FORWARD tá an cuardach bealaigh déanta cheana féin, mar sin ní féidir le MARK nó DROP ansin ach athscríobh nó diúltú. Caithfidh an marc teacht i PREROUTING le haghaidh tráchta a sheoltar ar aghaidh agus in OUTPUT le haghaidh tráchta a chruthaíonn an ródaire féin, mar is ann a chónaíonn DNS, NTP agus seiceálacha nuashonraithe an ródaire. Is é an cosán amach sin an ghnáthchúis a bhfreagraíonn socrú atá go hiomlán tollánaithe fós ó réiteoir an ISP i dtástáil sceite.

Teastaíonn meaitseáil ó bheartas gléis nach ndríobálann. Cuir an seoladh in áirithe i DHCP, nó meaitseáil comhéadan le haghaidh deighleog thiomnaithe; cuireann seoladh a bhogann níos déanaí chuig gléas eile an tollán i bhfeidhm go ciúin ar an gcliant mícheart. Is é droichead in aghaidh an SSID lena fholíonra féin an leagan níos marthanaí den smaoineamh céanna, agus tugann sé áit do na rialacha IPv6 chun maireachtála.

Píosa a trí: NAT, DNS agus eisceacht an LAN

Teastaíonn seoladh foinse ón trácht a théann amach tríd an tollán a bhfreagróidh an taobh i bhfad uait dó. Scóip an t-aistriúchán chuig comhéadan an tolláin: out-interface=VPN_NAME ar RouterOS, -o tun0 ar Linux, iontráil NAT amach mheaitseálach ar pfSense. Athscríobhann riail masquerade gan an scóip sin trácht a bhí ar intinn agat a fhágáil go socair, agus is é an siomptóm go gcaillfidh an gléas nach bhfuil tollánaithe a sheoladh poiblí.

Cruthaíonn eisceacht an LAN níos mó snáitheanna tacaíochta ná an tollán féin. Mura bhfuil ach bealach réamhshocraithe sa tábla marcáilte, tagann ceann scríbe printéara nó NAS ón ngléas roghnaithe leis an réamhshocrú sin agus imíonn sé isteach sa tollán. Cuir bealach an LAN leis an tábla céanna, nó eisigh an folíonra áitiúil sa roghnóir; oibríonn an dá rud, agus is fusa an eisceacht a choinneáil ceart nuair a chuireann tú VLANanna leis níos déanaí.

Tógann DNS cosán ar leith. Eascraíonn na fiosrúcháin a sheolann an ródaire ar aghaidh ón ródaire agus leanann siad OUTPUT, ní an marc seolta, mar sin is féidir le ríomhaire glúine atá go hiomlán tollánaithe fós réiteach tríd an ISP. Treoraigh cliaint chuig réiteoir atá inrochtana tríd an tollán, nó marcáil trácht port 53 an ródaire féin, agus ansin seiceáil an seoladh réitithe seachas glacadh leis gur thaistil an freagra leis an iarratas gréasáin.

Nuair a mheaitseálann an riail ach úsáideann an aip an WAN fós

Aostaíonn liostaí cinn scríbe go dona. Réitíonn ainm go seoladh nach bhfuil sa liosta, mar sin tógann an t-iarratas an WAN cé gur oibrigh gach tástáil a rinne tú ar an seoladh atá liostaithe. Athnuaigh an liosta ón réiteoir céanna a úsáideann an cliant, agus bíodh roghnóir bunaithe ar fhoinse agat nuair a theastaíonn uait go hiarbhír an trácht uile ó ghléas amháin.

Is é IPv6 an seachbhealach ciúin. Tá an dara teaghlach seoladh ag an ngléas lena bhealach réamhshocraithe féin agus lena shraith rialacha féin, agus is leathbheartas é gan ach an seoladh IPv4 a mheaitseáil. Cuir an roghnóir céanna i bhfeidhm ar ip6tables nó ar a chomhionann in nftables, nó díchumasaigh IPv6 ar an deighleog sin d’aon ghnó seachas de thaisme.

Tá tábhacht freisin leis na naisc atá bunaithe. Leanann iontráil conntrack a cruthaíodh roimh an athrú an seanchosán go dtí go dtéann sí in éag, mar sin breathnaíonn brabhsálaí a d’fhan oscailte le linn an eagarthóireachta go beacht mar riail nár cuireadh i bhfeidhm riamh. Oscail nasc nua, nó folmhaigh an staid, sula mbreithneoidh tú an beartas.

Fíoraigh le dhá ghléas agus atosach

Tástáil an gléas ar cheart a bheith tollánaithe agus an gléas nár cheart, agus cuir an dara hop i gcomparáid le huimhir luais. Taispeánann traceroute ó gach ceann geata an tolláin nó geata an ISP ag hop a dó; má fhéachann an dá rud mar an gcéanna, ní dhéanann an marc nó an tábla an rud a deir an riail. Úsáid naisc nua don tástáil.

Atosaigh ansin. Is é ord an tosaithe an áit a n-athraíonn beartas oibre ina bheartas briste, mar caithfidh an cliant a bheith suas sula suiteáiltear an bealach unreachable, agus scríobhfaidh pictiúr stórála a athchóiríonn an tsean-sraith rialacha thar do thábla. Seiceáil go bhfuil gach riail sa chumraíocht stórála agus go bhfuil an réamhshocrú marcáilte ann tar éis an tosaithe, ní amháin tar éis duit é a chlóscríobh.

Má theipeann ar rud éigin, bain an marc ar dtús agus féach an dtagann trácht normal ar ais, ansin bain an tábla. Insíonn an t-ord sin duit an bhfuil fadhb ródaithe nó fadhb balla dóiteáin á saothrú agat, agus fágann sé an teach agus printéir ag obair agus tú ag críochnú na hoibre.