Ní féidir le húsáideoirí cianda an dara suíomh a shroicheadh tríd an mol VPN

Ceanglaíonn úsáideoir cianda leis an mol, sroicheann sé an freastalaí comhad ar LAN an mhoil féin, agus breathnaíonn gach rud sláintiúil. Ansin osclaíonn sé roinn ar 10.20.0.50 sa cheanncheathrú, a shroicheann an mol trí thollán ar leith idir suíomhanna, agus téann sé thar am. Tá an dá thollán suas agus téann an dá chuntar suas, mar sin níl aon tollán briste. Trí chinneadh ródaithe ar thrí ghléas is ea an mol a thrasnú, agus ní iompraíonn tollán ach na réimíreanna ar tógadh é dá mbarr. Seo an t-ord a sheiceálaim, agus an t-ordú a thaispeánann an bhfuil gach céim fíor.

Teastaíonn trí chuardach ón molchur, ní tollán amháin

Déanann gach gléas a mheaitseáil féin ar an réimír is faide agus déanann sé dearmad uirthi. Caithfidh an ríomhaire glúine 10.20.0.50 a sheoladh isteach sa tollán seachas chuig a ródaire áitiúil. Caithfidh an mol pacáiste a tháinig isteach ar chomhéadan na rochtana cianda a ghlacadh agus é a thabhairt do chomhéadan idir suíomhanna. Caithfidh an cheanncheathrú freagra don seoladh úsáideora a sheoladh ar ais tríd an tollán. Má theipeann ar aon cheann de na trí rud, breathnaíonn sé mar an gcéanna sa bhrabhsálaí: tost.

Sin an fáth nach gcruthaíonn tástáil gach tolláin ina aonar mórán. Cleachtann ping chuig seoladh LAN an mhoil an chéad chinneadh, agus cleachtann ping chuig an mol ón gceanncheathrú an tríú ceann. Tá an linn úsáideoirí mar fhoinse ag an bpacáiste a theipeann agus an dara suíomh mar cheann scríbe, mar sin scríobh síos na réimíreanna sin ar dtús. Anseo is é an linn 10.80.0.0/24, is é LAN an mhoil 10.10.0.0/24 agus is í an cheanncheathrú 10.20.0.0/24.

Brúigh an réimír chianda chuig an gcliant cianda

Ar OpenVPN freastalaí rochtana cianda foghlaimíonn an cliant na bealaí ag am an cheangail. Gan push, seolann cliant le tollán scoite 10.20.0.50 chuig a gheata féin agus ní théann an pacáiste isteach sa tollán riamh.

push "route 10.20.0.0 255.255.255.0"

Téann bealach brúite i bhfeidhm nuair a cheanglaíonn an cliant, mar sin ní fheiceann úsáideoir a fhanann ar líne aon rud go dtí go n-athcheanglaíonn sé. Seiceáil ar an gcliant: ip route get 10.20.0.50 ar Linux, route print ar Windows. Ba cheart don aschur comhéadan an tolláin a ainmniú.

Ní chabhraíonn an push leis an mol. Teachtaireacht chuig an gcliant atá ann, ní bealach ar an bhfreastalaí agus ní cead chun aistriú, mar sin titeann mol a bhfuil an líne push foirfe aige an sreabhadh céim amháin níos déanaí fós. Sin an chúis is gnách a gcruthaítear gur theip ar an push.

Tabhair bealach amach ceart don mhol

Teastaíonn a chéad chéim eile féin ón mol do réimír na ceanncheathrún. Ar thollán ródaithe is bealach coitianta trí chomhéadan idir suíomhanna é, agus taispeánann aon ordú amháin an bealach roghnaithe agus an fhoinse roghnaithe:

ip route get 10.20.0.50 from 10.80.0.25
sudo ip route add 10.20.0.0/24 via 172.30.0.2 dev s2s0

Nuair is OpenVPN féin an chos idir suíomhanna, is féidir leis an mbealach maireachtáil sa chumraíocht sin le seoladh tolláin an phiarála mar gheata: route 10.20.0.0 255.255.255.0 172.30.0.2. Níl an geata roghnach. Fág amach é agus titeann an chéad chéim eile chuig réamhshocrú cur i bhfeidhm, a bhíonn difriúil idir cliant aonphiarach agus mol ilphiarach.

Tá IPsec bunaithe ar pholasaí difriúil: seolann eithne an mhoil an pacáiste chuig a ghnáthgheata LAN agus gabhann an polasaí é ar an mbealach amach, mar sin ní dhéanann bealach tolláin aon rud nó seachnaíonn sé an trácht ón bpolasaí. Féach ar an bhfoinse san ordú thuas, mar ciallaíonn 10.10.0.1 in ionad sheoladh na linne gur roghnaigh an eithne seoladh a dhiúltóidh an taobh cianda. iroute ní freagra é ach an oiread; insíonn sé don fhreastalaí cé acu cliant a shealbhaíonn fo-líonra taobh thiar dá thollán féin, ní cá háit le trácht do thríú suíomh a sheoladh.

Sínigh an taobh cianda amach chuig linn na n-úsáideoirí

Clúdaíonn an cheanncheathrú LAN an mhoil cheana féin, 10.10.0.0/24. Is dara réimír í linn na n-úsáideoirí agus caithfidh sí a bheith sna roghnóirí freisin, nó ní chlúdaíonn aon pholasaí freagra a sheoltar chuig 10.80.0.25. Ainmníonn gach piar an péire céanna de shraitheanna réimíre óna thaobh féin:

# strongSwan swanctl.conf, on the hub
local_ts  = 10.10.0.0/24, 10.80.0.0/24
remote_ts = 10.20.0.0/24

# on the headquarters peer
local_ts  = 10.20.0.0/24
remote_ts = 10.10.0.0/24, 10.80.0.0/24

Is é local_ts ghléas amháin remote_ts an chinn eile. Cóipeáil bloc an mhoil chuig an gceanncheathrú agus tá an péire inbhéartaithe, mar sin ní éiríonn an child SA riamh.

Baineann an tseansintéis ipsec.conf úsáid as leftsubnet scartha le camóga. Coinníonn an comhlachas slándála atá ag rith na roghnóirí a chaibidil sé, mar sin athbhunaigh an tollán tar éis an eagarthóireachta. Teipeann ar roghnóir a athraíodh ag 10:00 agus a tástáladh i gcoinne SA a d’éirigh ag 09:40 fós, cé go bhfuil cuma cheart ar an gcomhad cumraíochta an t-am ar fad.

Ansin seiceáil an chéim dheireanach. ip route get 10.80.0.25 ag an gcríochphointe cianda ba cheart go bpointeálfadh sé isteach sa tollán. Má úsáideann an tseirbhís ródaire LAN mar réamhghníomh geata, teastaíonn an bealach fillte ón ródaire sin freisin, nó faigheann an freagra bás ansin. tcpdump -ni eth1 host 10.80.0.25 ar an deighleog sin a rith a thaispeánann ar fhág an freagra an críochphointe ar chor ar bith.

Ceadaigh an sreabhadh ag an mol

Caithfidh an t-aistriú a bheith cumasaithe agus an cosán ceadaithe. Scóip na rialacha chuig an dá réimír seachas gach rud idir na comhéadain a ghlacadh.

sysctl -w net.ipv4.ip_forward=1
iptables -I FORWARD -i tun0 -o s2s0 -s 10.80.0.0/24 -d 10.20.0.0/24 -j ACCEPT
iptables -I FORWARD -i s2s0 -o tun0 -s 10.20.0.0/24 -d 10.80.0.0/24 -j ACCEPT

Is é scagadh an chosáin chúil an teip chiúin ina aice: agus an dá chos ar chomhéadain éagsúla, féadfaidh rp_filter=1 an freagra a chaitheamh agus ní bhogann cuntar na rialach glactha riamh. Déan comparáid idir iptables -vnL FORWARD roimh iarracht agus ina diaidh. Ní shroichtear riail nach méadaíonn riamh, mar sin féach ar shraith níos ísle seachas í a athscríobh.

Mura dteastaíonn an molchur ach ó ghrúpa amháin, cuir an bealach i gcomhad in aghaidh an chliaint faoi client-config-dir seachas an push domhanda a leathnú. Baineann NAT foinse ar an mol an gá atá le bealach fillte cianda freisin, ach ceileann sé seoladh an úsáideora, mar sin stopann logaí an tsuímh chianda agus rialacha bunaithe ar sheoladh ag idirdhealú úsáideoirí.

Seiceáil ón gcliant, ansin rollaigh siar in ord droim ar ais

Tástáil port TCP, ní hamháin ICMP, mar is féidir le ping dul trí agus an tseirbhís fós blocáilte. nc -vz 10.20.0.50 445 agus traceroute -n 10.20.0.50 ón gcliant a thaispeánann an é seoladh tolláin an mhoil an dara céim. Ar an mol, tcpdump -ni tun0 host 10.20.0.50 agus an scagaire céanna ar chomhéadan idir suíomhanna: iarratas ar an dá cheann gan freagra ar cheachtar acu a aistríonn an fhadhb chuig an taobh cianda.

Ansin tástáil rud éigin a chaithfidh fanacht blocáilte. Má fhreagraíonn óstach nár cheart don linn a shroicheadh riamh freisin, tá níos mó ná an molchur oscailte agat agus ba cheart duit na rialacha a chúngú. Mol a aistríonn gach rud chuig gach brainse a éiríonn leis an gcéad tástáil agus a theipeann ar an dara ceann.

Coinnigh liosta rollaithe siar, mar tháinig athrú ar cheithre rud agus tá trí cinn éasca le dearmad: an bealach brúite, bealach an mhoil, na roghnóirí agus rialacha an bhalla dhóiteáin. Cealaigh iad in ord droim ar ais, athbhunaigh an SA, agus lig d’úsáideoir amháin athcheangal. Fágann rolladh siar páirteach bealach a dhíríonn ar thollán nach meaitseálann a thuilleadh, rud is deacra a léamh ná an tost bunaidh. An lámhleabhar OpenVPN 2.6 a dhoiciméadaíonn push, route agus iroute do do leagan.