pfSense mar fhreastalaí agus chliant VPN: dhá chosán, aon ródaire

Is féidir le haon fhearas féachaint i dhá threo ag an am céanna: ceanglaíonn úsáideoirí fánaíochta isteach, agus ceanglaíonn an bosca céanna amach chuig soláthraí amach ionas go bhfágann an trácht roghnaithe trí líonra eile. Tógann sé nóiméid an dá sheirbhís a chumasú; teastaíonn dearadh chun iad a chomhmhaireachtáil, mar scríobhann an dara ról an tábla ródaithe ar a bhfuil an chéad cheann ag brath. Cinneann trí choinníoll an n-oibríonn an socrú, is é sin an gcoimeádann an tseirbhís isteach a bealach fillte féin, an féidir leis an tollán amach a phiara a shroicheadh fós, agus an roghnaítear don amach an trácht a bhí uait a sheoladh ar aghaidh. Déan dearmad ar cheann agus gheobhaidh tú dhá thollán a thuairiscíonn araon go bhfuil siad ceangailte agus gan aon rud úsáideach ag trasnú eatarthu. Bunaíonn na seiceálacha thíos gach coinníoll san ord ina mbíonn na lochtanna le feiceáil de ghnáth.

Ainmnigh an dá ról sula dteagmhálann tú le haon socrú

Scríobh síos ceithre fhíric do gach cás: a phiara i bhfad i gcéin, a ábhar fíordheimhnithe, an linn seoltaí a dháileann sé, agus na líonraí taobh thiar de. Is réada ar leith iad an dá chás ar an bhfearas agus ba cheart dóibh fanacht ar leith i do nótaí freisin. Tagann beagnach gach siomptóm mearbhallach níos déanaí óna luachanna a mheascadh, agus is é dhá chás a roinneann aon sraith nótaí an bealach a gcríochnaíonn an linn mhícheart sa réimse mhícheart.

Teastaíonn líonra tolláin ón tseirbhís isteach nach bhforluíonn le seoltaí an tolláin amach ná le haon líonra príobháideach a ródálann an fearas. Is é an forluí an t-aon mhícheart a tháirgeann siomptóim sa dá ról ag an am céanna, agus is i bhfad níos saoire é a ghabháil ar pháipéar. Cuir an dá linn agus gach líonra príobháideach ródáilte i gcomparáid in aon áit amháin sula ndéanann tú ceachtar den dá sheirbhís a chumrú.

Ní chiallaíonn crua-earraí roinnte dintiúirí roinnte, agus níor cheart go mbeadh deimhniú cliaint ón linn rochtana i bhfad i gcéin inúsáidte i gcoinne an tsoláthraí amach. Iompaíonn ábhar ar leith an athghairm ina chinneadh áitiúil freisin seachas ina theagmhas don chabhlach ar fad.

Coinnigh freagraí an fhreastalaí ar chonair an WAN

Is iad na freagraí a ghineann an fearas é féin an chéad íospartach de bhealach réamhshocraithe míchúramach. Nuair a shroicheann paicéad ionchochallaithe úsáideora fánaíochta, is trácht de bhunús áitiúil é an freagra agus caithfidh sé imeacht tríd an gcomhéadan ar tháinig an t-úsáideoir sin isteach air. Má shuiteáil an cliant amach bealach réamhshocraithe a ghabhann é, téann an freagra isteach sa tollán mícheart agus stopann an seisiún agus an tseirbhís fós ag breathnú sláintiúil.

Níl aon bhosca tice amháin a réitíonn seo, mar baineann an cinneadh leis an trácht ar féidir leis an gcliant amach é a ghabháil. Ceachtar ná tarraing aon bhealaí agus stiúir ach an méid a roghnaíonn tú, nó tarraing bealaí agus cuir leis na heisceachtaí a choinníonn seirbhísí an fhearais féin ag obair. Scríobh an rogha in aice an cháis, nó glacfaidh an chéad duine eile leis an gceann eile.

netstat -rn | head -20
pfctl -sr | grep -i vpn
ifconfig | grep -A3 ovpn

Léigh an tábla ródaithe de réir an mheaitseála is faide seachas de réir an oird ar chumraigh tú aon rud. Is é an cheist cé acu iontráil a bhuann do sheoladh phiara an amach agus cé acu iontráil a bhuann do fhreagra na seirbhíse isteach, agus féadann an dá fhreagra sin a bheith difriúil.

Ná lig don tollán amach a chríochphointe féin a ithe

Caithfidh an cliant amach seoladh poiblí a phiara a shroicheadh chun an tollán a bhunú ar chor ar bith. Má ródáiltear an seoladh sin féin isteach sa tollán, leanann an cliant a eireaball féin: ní éiríonn an t-iompar riamh, nó éiríonn sé agus titeann sé an nóiméad a shuiteáiltear an bealach. Breathnaíonn an logáil cosúil le téigh thar am fíordheimhnithe seachas le locht ródaithe, agus is ar an ábhar sin is fiú an bealach a sheiceáil ar dtús.

Seiceáil an bealach roimh na dintiúirí agus arís tar éis an tollán a bheith in airde, mar féadann iontráil a bheith ceart ag am tosaithe agus mícheart nóiméad ina dhiaidh sin. Caithfidh seoladh an phiara pointeáil chuig gnáthchonair an WAN, riamh chuig gléas an tolláin. A luaithe a bheidh an t-iompar cobhsaí, bogann an cheist spéisiúil chuig an trácht a sheoladh ar aghaidh, arb é an chéad chinneadh eile.

netstat -rn | grep -F '198.51.100.10'
traceroute -n 198.51.100.10

Roghnaigh cé na húsáideoirí a fhaigheann an t-amach

Baineann polasaí foinse leis an iontráil ina dtagann trácht isteach san fhearas, mar sin roghnaigh an linn rochtana i bhfad i gcéin, nó céannachtaí níos cúinge laistigh de. Caomhnaigh na cinn scríbe príobháideacha agus na heisceachtaí bainistíochta nár cheart riamh a sheoladh chuig an amach, agus cuir na rialacha sin roimh an gceann leathan. Ansin teastaíonn a aistriú féin nó socrú fillte ródáilte ó chonair an amach, rud a chiallaíonn do mhórchuid na ndearaí NAT amach ar chomhéadan an amach a chlúdaíonn an linn. Ní roghnaíonn aistriú amach; ní athscríobhann sé ach an rud atá imithe cheana, mar sin ní athraíonn riail NAT ar WAN gan bhaint aon rud sa roghnú.

Deimhnigh go gceadaíonn an taobh i bhfad i gcéin trácht a seoladh ar aghaidh ón dearadh seo, mar ceadaíonn roinnt soláthraithe é agus ní cheadaíonn roinnt eile. Taispeántar an difríocht mar thollán a cheanglaíonn agus nach n-iompraíonn aon rud, rud atá éasca a léamh mar locht áitiúil. Tástáil an trí shruth ar leith, mar teipeann orthu go neamhspleách agus is dearadh leath-thógtha é a dó as a trí.

openvpn --config user07.ovpn
curl -sS https://ifconfig.me
curl --interface 10.10.10.1 -sS https://intranet.corp.example/health

Is é an chéad ordú nasc seachtrach an úsáideora fánaíochta, agus oibríonn sé nuair a thuairiscíonn an cliant go bhfuil an tsraith tosaithe críochnaithe. Ba cheart don dara ceann, a ritheann ón ríomhaire glúine ceangailte sin, seoladh an tsoláthraí amach a thuairisciú seachas do sheoladh WAN. Ritheann an tríú ceann ar an bhfearas ceangailte le seoladh ón linn, agus tástálann sé an polasaí foinse don trácht a sheoladh ar aghaidh gan aon úsáideoir i bhfad i gcéin a áireamh ar chor ar bith. Má fhreagraíonn sé ón WAN ina ionad, níor mheaitseáil an polasaí, agus ní réitíonn aon mhéid eagarthóireachta NAT fadhb roghnúcháin.

Cinneadh cad a tharlóidh nuair a theipeann an t-amach

Scríobh síos an t-iompar teipe sula dtarlaíonn sé: nuair a thiteann an tollán amach, an dtéann úsáideoirí ar ais chuig an ngnáth-WAN nó an gcuirtear bac orthu go dtí go bhfilleann an t-amach? Tá an dá fhreagra inchosanta, agus ní roghnóidh an fearas ar do shon. Ní tháirgeann bealach a bhaintear amach ná polasaí a phointeálann chuig geata marbh toradh iomlán blocáilte go huathoibríoch. Más mian leat blocáil, caithfidh an polasaí é sin a rá go sainráite, agus caithfear é a thástáil tríd an amach a bhaint amach seachas trí mhachnamh a dhéanamh air. Más mian leat titim siar, foilsigh é d'úsáideoirí, mar is é an trácht a ghlacann go ciúin an ghnáthchonair go díreach an trácht a cheap duine éigin a bheith clúdaithe.

Díchumasaigh an cás cliaint, breathnaigh cad is féidir le húsáideoir ceangailte a shroicheadh fós, ansin tosaigh arís é. Is éard is iarratas a théann thar am an toradh iomlán blocáilte a d'iarr tú; ceann a fhreagraíonn le seoladh WAN is ea an titim siar nár dhoiciméadaigh tú. Athdhéan an tseiceáil do IPv6 agus do DNS, mar ní deir polasaí a scríobhadh do IPv4 aon rud faoi thrácht AAAA agus freagraíonn réiteoir a bhrúitear trí cheachtar de na tolláin ón áit a n-imeoidh an t-iarratas i ndáiríre.

pfSsh.php playback svc stop openvpn client 2
curl --max-time 6 -sS https://ifconfig.me
pfSsh.php playback svc start openvpn client 2

Oideas Netgate don OpenVPN ródáilte taispeánann sé conas a luíonn polasaí foinse, sannt cinnte comhéadain agus aistriú amach le chéile, agus is é a raon feidhme ó shuíomh go suíomh an chuid nár cheart a chóipeáil go hiomlán. Is é nach n-insíonn sé duit ná cé acu de na trí choinníoll thuas atá briste ag do dhearadh féin cheana.