Conas a dhéanann cliant OpenVPN taobh thiar de NAT an t-imeacht Idirlín

Trí óstach Linux, aon dearadh amháin: mol OpenVPN atá inrochtana go poiblí, ríomhaire glúine tomhaltóra agus meaisín imeachta taobh thiar de ghnáth-ródaire baile nach seolann aon rud isteach. Déanann an t-imeacht diaile chuig an mol é féin. Ansin téann trácht Idirlín an tomhaltóra isteach sa tollán ag an ríomhaire glúine agus tagann sé amach trí nasc suas an imeachta féin. Tagann gach rud iontasach sa socrú seo ó mhionsonra amháin: is é an t-imeacht a chuir tús leis an nasc, mar sin tá an cosán isteach ann cheana féin agus ní gá aon aistriú port chun é a chruthú.

Leanann an méid seo a leanas cosán an phaicéid seachas ord an chumraíochta, mar ní bhíonn ciall leis an gcumraíocht go dtí go mbeidh a fhios agat cé acu comhpháirt a dhéanann cé acu cinneadh. Déanann gach ciseal cinneadh amháin go beacht, agus cruinníonn na botúin san áit a gceaptar gur aon chiseal amháin iad dhá chiseal.

Dhá sheisiún iompair, aon chosán inmheánach

Coimeádann gach óstach a nasc seachtrach féin chuig an mol, agus ní bhíonn a fhios ag ceachtar den dá nasc faoin gceann eile. Is sruth inmheánach ar leith é trácht an tomhaltóra chuig an Idirlíon a iompraítear laistigh de thollán an tomhaltóra agus a athscaoiltear ansin ó thollán an imeachta. Is é an sruth inmheánach sin a chaithfidh an mol a ródáil, agus is é a chaithfidh an t-imeacht a sheoladh ar aghaidh.

outer: consumer --TLS--> hub
outer: exit     --TLS--> hub
inner: consumer --tun--> hub --internal--> exit --tun--> uplink

Toisc go dtéann an dá nasc sheachtracha amach ó thaobh an chliaint, ní fheiceann ródaire an imeachta SYN isteach riamh agus ní bhíonn riail NAT ceann scríbe de dhíth air riamh. Níl air ach an t-iompar bunaithe a choinneáil beo, rud a dhéanann sé cheana d'aon nasc fadbhuan. Ní gá d'aon rud ar an Idirlíon poiblí an t-imeacht a shroicheadh ar dtús, agus is ar an gcúis sin nach fadhb é seoladh dinimiciúil ar an nasc suas sin. Caithfidh an ródaire an seisiún amach a cheadú fós, ach is é an cead céanna é a úsáideann brabhsálaí cheana.

Cad a shuiteálann iroute go hiarbhír taobh istigh den fhreastalaí

Is é an mol an t-aon ghléas a chinneann cé acu piara a shealbhaíonn cé acu ceann scríbe, agus déanann sé an cinneadh sin ina thábla ródála spáis úsáideora féin, ní i dtábla an eithne. Féadfaidh iontráil client-config-dir don imeacht darb ainm exit-node an réimír réamhshocraithe a éileamh ansin:

# /etc/openvpn/server/ccd/exit-node
iroute 0.0.0.0 0.0.0.0

Deir an líne sin le próiseas an fhreastalaí "baineann paicéid inmheánacha le haon cheann scríbe leis an gcliant seo". Ní chuireann sé ród réamhshocraithe le córas oibriúcháin an mhoil agus ní dhéanann sé geata Idirlín den mhol. Tagairt OpenVPN 2.6 coimeádann sé ródáil inmheánach a bhaineann go sonrach leis an gcliant agus ródáil na heithne mar mheicníochtaí ar leith, agus is é an deighilt sin an chúis a n-oibríonn an dearadh gan cur le ród réamhshocraithe an mhoil.

Teastaíonn an treoir scátháin ón tomhaltóir, arna seachadadh mar push, ionas go dtagann a thrácht féin isteach sa tollán seachas imeacht trína gheata áitiúil. Le toipeolaíocht foirlíon is ród nasctha é an linn ar ghléas tun an imeachta, mar sin ní gá aon bhrú breise don treo fillte; an rud nár cheart don imeacht a fháil is ea an atreorú thíos, a chuirfeadh a thrácht nasc suas féin ar ais sa tollán a bhfuil sé ag iarraidh a úsáid. Seol chuig an tomhaltóir amháin é agus léigh na róid a cuireadh i bhfeidhm ar an gcliant seachas a bheith ag brath go ndearnadh an comhad CCD a roghnú.

# /etc/openvpn/server/ccd/consumer-01
push "redirect-gateway def1"

Is é eithne an imeachta a dhéanann an t-aistriú ar aghaidh

Taobh istigh den imeacht, sroicheann paicéad ón tomhaltóir an chomhéadan tun, dírithe ar óstach Idirlín éigin. Féachann an eithne ar a tábla ródála, aimsíonn sé an nasc suas fíor mar an meaitseáil is fearr agus cuireann sé dhá pholasaí neamhspleácha i bhfeidhm ansin: an féidir an paicéad seo a aistriú ar aghaidh ar chor ar bith, agus an féidir leis imeacht tríd an gcomhéadan sin leis an seoladh foinse sin. Is sysctl é an t-aistriú ar aghaidh, agus bíonn sé múchta de réir réamhshocraithe ar a lán dáileachán.

Mar sin teastaíonn aistriú ar aghaidh IPv4 cumasaithe go buan ón imeacht, riail aistrithe a admhaíonn foinsí tolláin an tomhaltóra i dtreo an naisc suas, agus an cosán freagartha ar ais tríd an tun. Má chumasaítear an t-aistriú ar aghaidh don óstach ar fad athraíonn sé freisin iompar gach aon rud eile a ródáiltear tríd, agus is ar an gcúis sin gur cheart don riail na foinsí agus na comhéadain a ainmniú seachas gach rud a ghlacadh.

Is é aistriú na foinse a cheannaíonn an cosán fillte

Níl aon ród ag óstach Idirlín chuig seoladh 10.90.0.x, mar sin chaithfí freagraí a scriosadh sula sroichfidís an t-imeacht riamh. Réitíonn athscríobh na foinse agus an paicéad ag fágáil an naisc suas sin, agus aisiontraíonn rianú na nasc an athscríobh ar an mbealach ar ais.

sysctl -w net.ipv4.ip_forward=1
iptables -t nat -A POSTROUTING -s 10.90.0.0/24 -o enp1s0 -j MASQUERADE
ip -4 route get 10.90.0.9   # run on the exit: must point at the tun

Is pointe tosaigh é an riail thuas d'aon chomhéadan nasc suas amháin, ní polasaí balla dóiteáin. Caolaigh an fhoinse go dtí na tascanna ar údaraigh tú go hiarbhír iad, agus coinnigh polasaí ionchuir an imeachta ar leith ionas nach nochtfadh mascadh tráchta tolláin seirbhísí áitiúla go ciúin. Ar óstach a bhfuil seoladh nasc suas dinimiciúil aige, sábhálann mascadh tú freisin ón seoladh a rianú de láimh.

Cá féidir leis an mol a fhorfheidhmiú agus cá nach féidir

Le client-to-client agus an cosán sonraí traidisiúnta spáis úsáideora, tugann an mol paicéid inmheánacha idir piaraí laistigh de phróiseas an fhreastalaí. Ní théann siad riamh trí shlabhra FORWARD eithne an mhoil, mar sin ní féidir le riail eithne ansin trasdul idir piaraí a shrianadh, cibé chomh cúramach is a scríobhtar í. Caithfidh forfheidhmiú maireachtáil i bpolasaí an fhreastalaí féin: cé a bhfuil cead aige nascadh, cé acu comhad CCD a fhaigheann sé, agus an dtugtar úinéireacht réamhshocraithe an imeachta ar chor ar bith.

Is ar an gcúis sin freisin gur cinneadh muiníne leathan é iroute réamhshocraithe. Caithfidh an t-imeacht trácht fillte ó sheoltaí Idirlín treallacha a ghlacadh go dlisteanach, agus caithfidh sé a bheith ina mheaisín a rialaíonn tú, a phaistíonn tú agus a dhéanann tú faireachán air. An úinéireacht chéanna a thabhairt do phiara nach dtabharfá ródaire dó is ea an botún a dtugann an dearadh seo cuireadh dó.

Is é an ballraíocht an fíor-rialú. Is féidir le haon chliant ar féidir leis a róid féin a chumrú iarracht a dhéanamh an t-imeacht a úsáid, mar sin is cuid den dearadh é srian a chur ar cé a bhfuil cead aige nascadh, nó cé acu piaraí a fhreastalóidh an t-imeacht, seachas smaoineamh iarsma.

Teip go sábháilte nuair a imíonn an t-imeacht

Cuir an t-imeacht as líne agus imíonn an úinéireacht réamhshocraithe inmheánach lena sheisiún. An rud nár cheart tarlú is ea go n-éireodh an mol go ciúin ina ionadaí imeachta: gan aon ród réamhshocraithe ó linn VPN isteach i nasc suas an mhoil, agus gan aon riail mhascála leathan ar an mol a sheolfadh an trácht céanna ar aghaidh go fonnmhar. Tástáil an teip sin d'aon ghnó, agus ansin tástáil an t-aisghabháil le sruth úr seachas le leathanach a bhí oscailte cheana.

# on the consumer, with the exit up and then down
ip -4 route get 1.1.1.1
curl -sS -o /dev/null -w '%{http_code}\n' https://example.com

Má shroicheann trácht an tomhaltóra an t-Idirlíon fós tar éis don imeacht imeacht, tá rud éigin eile á iompar agus níl an teorainn a bhí beartaithe agat ann. Caith le DNS agus IPv6 mar chinntí ar leith freisin: ní deir ród IPv4 móide mascadh aon rud faoi thrácht AAAA, agus freagróidh réiteoir a bhrúnn an mol ón áit a n-imeoidh an cheist i ndáiríre.