VPN ó shuíomh go suíomh nó rochtain chianda: cad a nascann gach ceann

Tugtar VPN ar an dá dhearadh agus réitíonn siad fadhbanna difriúla. Nascann tollán ó shuíomh go suíomh dhá gheata, mar sin is féidir le gach óstach taobh thiar díobh na seoltaí ceadaithe a bhaint amach ar an taobh eile gan aon rud a shuiteáil. Nascann tollán rochtana cianda gléasanna aonair le líonra, cliant amháin ag an am. Tá tábhacht leis an gcomparáid mar is ó chumrú ceann amháin agus súil le hiompar an chinn eile a thagann formhór na ndearmad imlonnaithe, agus is é an siomptóm de ghnáth ná amú ama ar sheirbhís ar shroich an tollán í i ndáiríre.

Dhá dhearadh, dhá theorainn

Ní leathnaíonn ceachtar dearaidh fearann craolta LAN. Ní thaispeántar gléasanna ar an taobh thall i liosta aimsithe áitiúil, agus is é an chéad fhonn a chaithfear a ligean ar lár ná a bheith ag súil go dtaispeánfaí iad. Tá ainmneacha DNS príobháideacha a fhoilsíonn tú go córasach níos intuartha ná aon phrótacal aimsithe, agus maireann siad athrú soláthraí.

Tóg 10.10.0.0/24 ag suíomh amháin agus 10.20.0.0/24 ag an suíomh eile. Teastaíonn ród nó roghnóir tráchta ó gheata A a sheolann an réimír 10.20.0.0/24 isteach sa tollán, agus teastaíonn an scáthíomhá céanna ó gheata B. Ansin úsáideann óstaigh an dá thaobh nascacht IP choitianta agus ní fhaigheann siad riamh amach go bhfuil tollán ann. Is é an dofheictheacht sin an ghné, agus is é sin an fáth a bhfuil teipeanna cosúil le gnáth-earráidí líonra seachas earráidí tolláin.

Ní hé an tollán céanna é beartas-bhunaithe agus ród-bhunaithe

I n-imlonnú IPsec beartas-bhunaithe, sainmhíníonn na roghnóirí tráchta idirbheartaithe go beacht cé na péirí foinse is cinn scríbe atá cosanta. Má thagann foshlíonra nua chun solais taobh thiar de gheata agus mura gclúdaíonn aon roghnóir é, fanann an tollán ina sheasamh agus ní iompraítear an foshlíonra nua ar chor ar bith. I ndearadh ród-bhunaithe, glacann comhéadan leis an trácht agus cinneann an tábla ródúcháin, rud a fhágann gur athrú ródúcháin é réimír a chur leis seachas ath-idirbheartú an tolláin.

Taispeánann StrongSwan an dá dhearcadh go díreach, agus is é a léamh le chéile an bealach chun a fháil amach cén tsamhail a d’imir tú i ndáiríre.

swanctl --list-sas
ip xfrm policy
ip -4 route show table all | grep -E '10\.(10|20)\.'

Míníonn liosta roghnóirí a fhágann ar lár an réimír a bhfuil tábhacht agat leis an teip gan aon ghabháil paicéad, agus míníonn ród a dhíríonn ar an gcomhéadan mícheart an teip scátháin ar an mbealach ar ais. Léigh an dá rud sula n-ath-idirbheartaíonn tú rud ar bith, mar ní chuirfidh athnuachan eochrach roghnóir leis nár chumraigh tú riamh.

Pleanáil an tseoladh roimh an tollán

Is é na raonta forluiteacha an dearmad dearaidh nach féidir a shocrú le cumrú. Má úsáideann an dá shuíomh 192.168.1.0/24, tá beirt iarrthóirí ag óstach a dteastaíonn 192.168.1.50 uaidh agus níl aon bhealach aige rogha a dhéanamh. Déanfaidh an tollán fíordheimhniú, bunófar na comhlachais slándála, agus beidh an cinneadh ródúcháin mícheart nó débhríoch mar sin féin.

Roghnaigh ceann de thrí rogha mhacánta: athuimhrigh suíomh amháin, aistrigh an raon forluiteach ag an ngeata ionas go bhfeicfidh gach taobh réimír ar leith, nó éirigh as ródú díreach do na hóstaigh sin agus foilsigh an tseirbhís ar bhealach eile. Tá costas ag gach ceann, agus is é an chéad cheann an ceann is saoire de ghnáth thar thréimhse dhá bhliain. Socraigh sula mbeidh an tollán ann, mar ina dhiaidh sin baineann an t-athrú le gach gléas a bhfuil an seoladh sean aige.

Socraigh ceist an MTU go luath freisin. Laghdaíonn tollán an phálaid úsáideach, agus iompraíonn dearadh a bhraitheann ar ilroinnt é féin go difriúil ó cheann a dhaingníonn an MSS ag na geataí.

Tá seoladh ar aghaidh agus beartas lasmuigh den tollán

Caithfidh an geata a bheith sásta paicéid a sheoladh ar aghaidh idir comhéadan an tolláin agus comhéadan LAN, agus teastaíonn beartas a cheadaíonn an tseirbhís ón dá threo. Ar Linux is dhá shocrú ar leith iad sin, móide na rialacha balla dóiteáin a chinneann an bhfuil an sreabhadh seolta ar aghaidh ceadaithe ar chor ar bith.

sysctl -w net.ipv4.ip_forward=1
iptables -A FORWARD -s 10.20.0.0/24 -d 10.10.0.0/24 -j ACCEPT
iptables -A FORWARD -s 10.10.0.0/24 -d 10.20.0.0/24 -j ACCEPT

Cuireann an t-óstach glactha tríú sraith leis: caithfidh a bhall dóiteáin féin cliant ón bhfoshlíonra cianda a ghlacadh fós. Diúltóidh freastalaí comhad nach gceadaíonn ach a /24 áitiúil féin trácht seolta ar aghaidh ó 10.20.0.7, is cuma chomh sláintiúil is a fhéachann an tollán, agus is furasta an diúltú sin a léamh mar theip ródúcháin.

Tástáil ó óstach, ní ón ngeata

Féadfaidh ping a sheoltar ón ngeata féin seoladh foinse agus beartas difriúil a leanúint seachas trácht úsáideoirí a sheoltar ar aghaidh. Fágann sin gur tástáil lag é agus, uaireanta, ceann míthreorach: éiríonn leis agus an feidhmchlár ag teip, nó teipeann air agus an feidhmchlár ag obair.

ip route get 10.10.0.5 from 10.20.0.7
ping -I 10.20.0.7 10.10.0.5
curl -sv --max-time 5 http://files.10-10.internal/ -o /dev/null

Úsáid óstach iarbhír, seoladh foinse iarbhír agus an prótacal iarbhír a úsáideann an feidhmchlár. Ansin léigh an bealach ar ais ar leith, mar chruthaíonn treo amach a oibríonn gan ród ar ais amú ama atá comhionann le seirbhís atá blocáilte.

Roghnaigh an dearadh de réir na ceiste atá á freagairt agat: an bhfuil tú ag nascadh líonraí nó ag admháil gléasanna? Leanann gach rud eile, lena n-áirítear cén soláthraí a chumraíonn tú, ón bhfreagra sin.