Aon óstach poiblí amháin don VPN agus don ghréasán: conas na róil a roinnt

Is féidir le haon mheaisín freastal ar na trí riachtanas go léir ag an am céanna: tolláin a chríochnú, freagra HTTPS a thabhairt agus seoladh idir dhá LAN phríobháideacha. Braitheann cé acu atá sé sin réasúnach ar thrí rud is féidir a shocrú ar pháipéar: cé leis an seoladh poiblí, cé leis gach péire poirt agus prótacail, agus cé an próiseas a bhfuil cead aige paicéid a sheoladh ar aghaidh. Má tá siad sin ceart, ní haon ní suntasach an t-óstach roinnte. Má tá siad mícheart, caithfidh tú deireadh seachtaine ar sheirbhís a thosaíonn go glan agus nach dtagann freagra uirthi riamh.

Is nós imeachta cinnteoireachta é a leanas, ní bileog tógála. Críochnaíonn gach céim leis an seiceáil a chruthaíonn go bhfuil an ról a cuireadh leis díreach anois scoite amach i ndáiríre.

Roghnaigh úinéir an tseoladh roimh na poirt

Is féidir le críochphointe tolláin agus freastalaí gréasáin eithne a roinnt; is é an rud a theipeann ná seoladh, port agus prótacal amháin a roinnt ag an am céanna. De ghnáth glacann WireGuard UDP 51820, OpenVPN glacann sé UDP 1194 nó TCP 443, agus glacann freastalaí gréasáin TCP 443. Is é an péire a gortaíonn ná OpenVPN thar TCP 443 in aice le HTTPS, mar teastaíonn an socket céanna ón dá cheann agus tugann an t-eithne don cheann a cheangail ar dtús. Ní cheadaíonn ach dé-ilphléacsóir os comhair, mar sslh nó seachfhreastalaí atá feasach ar TLS, dóibh an port sin a roinnt, agus cuireann sé comhpháirt leis a bhfuil a teip cosúil go beacht le fadhb balla dóiteáin.

Féach ar na húinéirí sula n-athraíonn tú rud ar bith: ss -lntup priontálann sé an seoladh áitiúil, an port agus an próiseas do gach socket atá ag éisteacht. Ciallaíonn dhá ró a thaispeánann 0.0.0.0:443 nár cheangail an dara seirbhís riamh, cibé chomh sásta is a bhí a script init. Bogann droichead an t-úinéir freisin. Nuair a eth0 cheanglaíonn sé le br0, bogann an IP go br0 agus stopann gach riail balla dóiteáin a ainmníonn eth0 ag teacht leis, mar sin ceangail seirbhísí ar an droichead agus deimhnigh le ip -br addr.

Míníonn an riail úinéireachta chéanna iontas a thagann chun solais le meaisíní fíorúla. Coinníonn freastalaí tolláin a ritheann taobh istigh d'aíonna ar an LAN céanna seoladh an aíonna, mar sin fanann naisc a dhíríonn ar sheoladh an óstaigh féin ar an óstach agus ní fheiceann tollán an aíonna iad choíche, cibé rud a deir próifíl an chliaint.

Déan ródú idir an dá LAN nó NAT ar thaobh amháin

Is féidir le dhá LAN nach bhfeiceann a chéile glaoch ar an óstach poiblí, a sheolann ansin idir na tolláin. Teastaíonn trí rud ón dearadh ródaithe sin: seoladh ar aghaidh casta air, ród a dhíríonn ar gach réimír i bhfad i gcéin, agus beartas seolta a ligeann an t-idirthuras tríd. sysctl -w net.ipv4.ip_forward=1 clúdaíonn sé an chéad cheann, ip route add 10.20.0.0/24 dev wg1 an dara ceann, agus líne nftables mar nft add rule inet filter forward iifname "wg0" oifname "wg1" accept an tríú ceann.

Tá NAT foinse níos éasca a chur leis agus níos deacra a dhífhabhtú. Athscríobhann masquerade seoladh an chliaint, mar sin feiceann an taobh i bhfad an mol seachas an t-óstach fíor, agus stopann a rialacha rochtana agus a logaí a bheith úsáideach le haghaidh sannadh. Nuair is leatsa an dá líonra, déan ródú. Nuair is le tríú páirtí an taobh amháin nach gcuirfidh ród fillte leis, is é NAT an rogha a sheoltar an tseachtain seo. Ar aon nós, scríobh an plean seolta síos, mar ní féidir le haon chumraíocht dhá /24 a fhorluíonn a ródú.

Ní choisceann aon rud faoi bheith ina bhealach amach idirlín do ríomhaire glúine ar an mbosca céanna tolláin isteach a chríochnú. Ní choisceann ach seoltaí forluiteacha é, agus sin an fáth gurb é an plean seolta an doiciméad a bhfuil tábhacht leis.

Tástáil an deighilt agus dhá ról stoptha

Is é an tástáil úsáideach ná dealú: stop dhá ról agus deimhnigh go dtagann freagra ón tríú ceann fós. Ba cheart d'iarratas gréasáin críochnú agus an tseirbhís tolláin síos, agus ba cheart do chruthú láimhe tolláin críochnú agus an freastalaí gréasáin stoptha. Mura n-oibríonn an dá cheann ach amháin nuair a ritheann gach rud, tá spleáchas timpisteach agat, amhail tábla balla dóiteáin roinnte, ród strae nó ainm a dhíríonn ar an seoladh mícheart.

Déanann trí ordú an tástáil sin nithiúil. curl -sk --resolve example.test:443:203.0.113.10 https://example.test/ cruthaíonn sé go dtagann freagra ón éisteoir áitiúil gan DNS seachtrach, wg show ar an gcliant cruthaíonn sé gur críochnaíodh an cruthú láimhe, agus tcpdump -ni any port 51820 ar an mol scarann sé fadhb ródaithe ó fhadhb eochrach. Cruthú láimhe nach dtagann chun solais sa ghabháil riamh, fuair sé bás roimh an óstach: balla dóiteáin an tsoláthraí, seoladh poiblí mícheart nó riail NAT ar an mbealach.

Déan an dealú arís do na LANanna a sheoltar ar aghaidh. Agus piara amháin dícheangailte, ba cheart ping trasna an mhoil teip. Agus é athcheangailte, ba cheart don phing teacht ar ais gan riail a bhaint. Ping a thagann ar ais ach tar éis an tollán a atosú díríonn sé ar bheartas seachas ar inrochtaineacht, agus is socrú éagsúil é sin.

Coinnigh an tacar rialacha inléite agus tú ag dealú róil. nft list ruleset ba cheart dó riail ghlactha amháin a thaispeáint in aghaidh gach treo a theastaíonn uait i ndáiríre, agus ní deighilt é slabhra seolta a ghlacann le gach rud, is taispeántas oibre é.

Línte rochtana IPv6 amháin agus seirbhísí IPv4

Ní thugann roinnt línte rochtana ach inrochtaineacht IPv6, agus caithfear seirbhísí a fhoilsiú thar IPv4 fós. Téann an tollán féin thar an teaghlach a sheolann trácht fós, agus suíonn an tseirbhís fhoilsithe ar sheoladh taobh istigh den tollán. Cuireann sé sin an ghnáth-thuairim bunoscionn agus bristear an mhonatóireacht go ciúin: breathnaíonn riail balla dóiteáin nó seiceáil ama suas a scríobhadh don chonair IPv4 anois ar chomhéadan nach n-iompraíonn rud ar bith.

Tástáil gach teaghlach as féin le curl -4 agus curl -6, mar ní deir iarratas rathúil amháin rud ar bith faoin gconair nár thriail tú. Ní athraíonn úinéireacht poirt idir theaghlaigh, ach athraíonn an t-éisteoir: ss -lntup liostaíonn sé soicéid IPv4 agus IPv6 mar róite ar leith, agus 0.0.0.0:443 ní chlúdaíonn sé [::]:443 mura n-iarrann an próiseas soicéad dé-stac.

Is fadhb éisteora go hiondúil é seirbhís a thugann freagra ar theaghlach amháin agus a dhiúltaíonn ar an gceann eile, ní fadhb ródaithe. Sula nglaonn tú an dearadh críochnaithe, deimhnigh go bhfuil a sheoladh nó a phort féin ag gach ról, go bhfuil seoladh ar aghaidh casta air agus ceadaithe, agus go dtagann freagra ó gach ról fós agus an dá cheann eile stoptha.