Rianaigh foshréad LAN amháin trí OpenVPN agus coinnigh an bealach réamhshocraithe
Coinnigh bealach réamhshocraithe an LAN agus foshréad amháin ag taisteal tríd an tollán. Cuir tábla beartais i gcomparáid le hathruithe ar an bpríomhthábla, ansin roghnaigh NAT nó bealach ar thaobh an fhreastalaí.
Tagann na boscaí a dhéanann ródú do LAN agus a dhiaileálann VPN ag an am céanna isteach sa díospóireacht chéanna leo féin: tá an tollán ag iarraidh an bealach réamhshocraithe a shealbhú, agus tá an LAN ag iarraidh é a fháil ar ais. Nuair a nascann OpenVPN, féadfaidh sé bealach réamhshocraithe a shuiteáil tríd an tollán nó péire leathbhealach réamhshocraithe, rud atá ceart do ríomhaire glúine agus mícheart do gheata a bhfuil a chomharsana ag súil le freagraí óna sheoladh LAN. Ní hé an freagra ná an VPN a scipeáil. Is é an freagra ná táblaí éagsúla a thabhairt don dá chinneadh.
Bealach réamhshocraithe amháin, beirt úinéirí
Ní gá go dtógfadh trácht a sheoltar ar aghaidh agus trácht a chruthaítear go háitiúil an bealach céanna. Níl an tollán de dhíth ar chliaint LAN ach amháin do na cinn scríbe a roghnaíonn tú, agus tá an bealach réamhshocraithe LAN de dhíth ar sheisiúin bhainistíochta an óstaigh féin agus ar a fhreagraí chuig na cliaint sin. Cuireann meascadh an dá rud sa phríomhthábla freagra amháin i bhfeidhm ar dhá cheist éagsúla.
Tá lasc ag OpenVPN go díreach chuige seo. route-noexec coisceann sé ar an gcliant an príomhthábla a bhaint ar chor ar bith, agus easpórtáiltear na luachanna a d’úsáidfeadh sé chuig script route-up mar route_vpn_gateway, dev agus seoltaí an chomhéadain. Ansin socraíonn tú cé acu tábla a fhaigheann cé acu bealach, i gcód ar féidir leat a léamh níos déanaí.
Tábla beartais nó an príomhthábla a athscríobh
| Approach | What it buys | What it costs |
|---|---|---|
| Separate table plus source rule | LAN traffic and host traffic keep independent defaults | Every lookup now depends on rule order |
| Editing the main table only | Fewer moving parts on a single-purpose host | One mistake takes the gateway offline entirely |
| Two half-default routes | Works for a full-tunnel client | Ambiguous on a host that must answer on its LAN address |
Is é an tábla ar leith an t-aon rogha a dhéanann scálú thar fhoshréad amháin. Tabhair ainm dó uair amháin, agus ansin tagair dó de réir ainm ionas nach mbeidh ar éinne uimhir a choinneáil i gcuimhne:
echo "10 vpn" >> /etc/iproute2/rt_tables
ip rule add from 192.168.50.0/24 table vpn
ip route add default via 10.8.0.1 dev tun0 table vpnIs ionadáiteoirí iad na seoltaí anseo. Cuir ionad an réimír LAN, geata an tolláin agus ainm an fheiste ó do chur in úsáid féin roimh rith aon rud.
Caithfidh an riail teacht leis an óstach freisin
Clúdaíonn riail nach dtagann ach le réimír LAN na paicéid a sheoltar ar aghaidh. Ní chlúdaíonn sí trácht a chruthaíonn an geata féin, ná na freagraí a sheolann sé ar ais chuig cliaint LAN, a iompraíonn seoladh LAN an gheata mar fhoinse. Titeann na cuardaigh sin ar main agus is féidir leo fós dul amach tríd an tollán.
Cuir dara riail leis do sheoladh LAN an gheata féin, nó leathnaigh an chéad riail go dtí tacar a chuimsíonn an dá cheann. Tá tábhacht leis an ord: cuir an riail is sainiúla ar dtús, agus seiceáil an toradh le cuardach a luann an fhoinse go sainráite.
ip route get 203.0.113.9 from 192.168.50.1Má thuairiscíonn sé sin feiste an tolláin do cheann scríbe ar chóir fanacht áitiúil, tá an tacar rialacha mícheart is cuma cad atá sa tábla.
NAT nó bealach ar an taobh thall
Tá aithne ag freastalaí VPN ar fhoshréad an tolláin agus ar rud ar bith eile. Níl aon bhealach ar ais ag paicéid a thagann le seoladh foinse LAN mura soláthraíonn duine éigin ceann, agus tá díreach dhá bhealach chun é a sholáthar. Coinníonn bealach a chur leis don réimír LAN ar an bhfreastalaí an fhoinse bhunaidh le feiceáil ó cheann go ceann, rud is gnách le dearadh faoi iniúchadh. Athscríobhann mascáil ar an geata an fhoinse chuig seoladh an tolláin agus ní theastaíonn aon chomhoibriú ón bhfreastalaí.
iptables -t nat -A POSTROUTING -s 192.168.50.0/24 -o tun0 -j MASQUERADERoghnaigh NAT nuair nach rialaíonn tú an freastalaí agus nach féidir leat bealaí a chur leis ansin. Roghnaigh an bealach ar thaobh an fhreastalaí nuair a bhíonn logaí, rialú rochtana nó siméadracht an bhealaigh ar ais tábhachtach, mar scriosann mascáil an seoladh bunaidh ó gach rud a thaifeadann an taobh thall.
Cibé acu, caithfidh seoladh ar aghaidh a bheith cumasaithe, agus féadann scagadh dian ar an mbealach droim ar ais an freagra a ligean ar lár nuair nach mbeadh main tar éis an tollán a roghnú don fhoinse sin. Seiceáil an luach éifeachtach sula gcuireann tú an locht ar an tollán.
Déan an deighilt a mhaireann tar éis athnascadh
Imíonn rialacha agus bealaí a cuireadh leis de láimh nuair a athchruthaítear an comhéadan, agus féadann iontráil tábla atá as dáta maireachtáil níos faide ná an seisiún a thug údar maith di. Cuir riail an tábla, bealach an tolláin agus iontráil na mascála istigh sa script route-up ag an gcliant, agus folmhaigh an tábla ag barr an script ionas nach féidir le sean-gheata maireachtáil isteach sa seisiún nua.
Fíoraigh ón dá cheann: cuardach ar an geata le foinse LAN, agus iarraidh fhíor ó chliant LAN chuig ceann scríbe ar chóir dul tríd an tollán. Iompraíonn bealach a bhíonn ann ach nach roghnaítear riamh é féin díreach mar nach mbeadh aon bhealach ann go dtí go léann tú na cuntair.