Cén fáth nach bhfuil an fhoirlíon taobh thiar de chliant OpenVPN inrochtana?

Éiríonn le pingí chuig seoladh tollán an fhreastalaí, tá tábla bealaigh an chliaint féin ceart, agus tá an LAN taobh thiar den chliant sin fós inrochtana. Tá tábla ródaithe an chliaint ceart, tá bealach ag an bhfreastalaí a dhíríonn ar an tollán, agus imíonn na paicéid fós. Is é seo an tsíomptóm clasaiceach de thollán layer-3 nach bhfuil a fhios aige go bhfuil duine dá chliaint ina gheata freisin.

Níl aon chéad chéim eile in aghaidh an chliaint ag comhéadan tun. Feiceann an t-eithne comhéadan amháin le go leor piaraí, mar sin caithfear an cinneadh faoi cén cliant a gheobhaidh paicéad do LAN i bhfad i gcéin a dhéanamh laistigh de phróiseas OpenVPN. Cumraítear an cinneadh sin le iroute, agus gan é níl áit ar bith le dul ag an bpaicéad.

Déanann an freastalaí ródú de réir cliant, ní de réir comhéadan

Nuair a chaithfidh an freastalaí paicéad a sheoladh chuig seoladh tolláin chliaint, tá an freagra gan athbhrí: baineann an seoladh le seisiún an chliaint sin. Nuair is foirlíon iomlán taobh thiar den chliant sin an ceann scríbe, ní bhaineann an seoladh le duine ar bith a bhfuil aithne ag an bhfreastalaí air, agus ní deir bealach na heithne chuig an tollán ach "amach an comhéadan seo", gan a rá cén piara.

Réitíonn OpenVPN é seo le tábla ródaithe inmheánach a mhapálann réimír ceann scríbe chuig cliant ar leith. Tógtar an tábla sin ó iontrálacha iroute, agus sin an fáth nach leor bealach rialta ar óstach an fhreastalaí. Tugann bealach na heithne an paicéad chuig comhéadan an tolláin; cinneann an mapáil inmheánach cén seisiún a fhaigheann é. Sin freisin an fáth nach bhfeictear an deisiú riamh in aschur bealaigh na heithne.

Mura bhfuil an mhapáil ann, sroicheann an paicéad an freastalaí, meaitseálann sé bealach an tolláin agus caitear é mar nach n-éilíonn aon chliant an ceann scríbe. Ní logálann aon rud earráid ghlan, agus sin an fáth a bhfuil cuma poll dubh ciúin ar an teip seachas lúb ródaithe.

Scríobh an iontráil iroute a ainmníonn an cliant

Maireann iroute i gcomhad cumraíochta a bhaineann go sonrach leis an gcliant, ní i bpríomhchumraíocht an fhreastalaí. Dírígh an freastalaí chuig eolaire le rogha client-config-dir, ansin cruthaigh comhad a bhfuil ainm coiteann theastas an chliaint mar ainm air agus cuir an réimír ann.

Do bhrainse a bhfuil a LAN ina 10.20.0.0/24 agus a bhfuil ainm coiteann a theastais ina branch-router, tá líne mar iroute 10.20.0.0 255.255.255.0 sa chomhad ag an gcosán sin. Níl ag teastáil ón bpríomhchumraíocht ach an rogha eolaire; maireann an réimír leis an gcliant.

Is é an t-ainm coiteann an chuid leochaileach. Cruthaíonn teastas a eisítear le subject difriúil, nó imscaradh a fhíoraíonn úsáideoirí de réir ainm úsáideora agus an comhad ainmnithe de réir an teastais, comhad nach léitear riamh. Seiceáil an t-ainm a thuairiscíonn an freastalaí i ndáiríre don seisiún, agus smaoinigh ar an rogha a chuireann ar chliant neamhréireach teip in ionad ceangal go ciúin gan a bhealaí. Is deisiú cúig nóiméad é an comhad a athainmniú chun teacht leis an teastas a choisceann tráthnóna an-fhada.

Is féidir le cliant amháin roinnt réimíreacha a shealbhú. Cuir líne iroute amháin in aghaidh an líonra agus coinnigh an liosta in aice le fuílleach socruithe an chliaint sin ionas go bhfanfaidh an mhapáil ininiúchta.

An bealach fillte a thógáil sa dá threo

Tá leath na hoibre déanta nuair a shroicheann paicéid an LAN i bhfad i gcéin. Caithfidh an cliant freisin trácht an LAN sin a chur isteach sa tollán, rud a dhéantar de ghnáth trí bhealach a bhrú chuig an gcliant: insíonn líne mar push "route 10.8.0.0 255.255.255.0" do gach cliant conas an líonra ar thaobh an fhreastalaí a bhaint amach. Don bhrainse, díríonn an bealach comhionann ar an tollán do gach rud ba chóir dó a bhaint amach ar thaobh an fhreastalaí.

Teastaíonn úinéir ar an taobh i bhfad i gcéin don treo fillte. Ar an taobh sin, caithfidh duine éigin an bealach ar ais a bheith ar eolas aige: bealach statach ar ródaí an LAN a dhíríonn an linn VPN chuig an bhfreastalaí, nó aistriú seoladh ar an bhfreastalaí sula dtagann an trácht isteach sa LAN. Coinníonn an bealach statach na seoltaí bunaidh le feiceáil i logaí agus i rialacha rochtana ach teastaíonn comhoibriú úinéir an LAN; tá an t-aistriú féinchuimsitheach ach ceileann sé cé a cheangail i ndáiríre.

Caithfidh seoladh a bheith cumasaithe ar óstach an fhreastalaí. Gan é glacann an t-eithne leis an bpaicéad ón tollán agus diúltaíonn sé é a chur chuig comhéadan an LAN, rud a fhéachann go hiomlán mar an gcéanna le iroute atá ar iarraidh ó dhearcadh an chliaint.

Inrochtaineacht a sheiceáil leis na promhóirí cearta

Tástáil i sraitheanna seachas ping a dhéanamh ar an gceann i bhfad i gcéin agus buille faoi thuairim a thabhairt. Ón bhfreastalaí, seiceáil go bhfuil an mhapáil inmheánach don réimír ann agus go ndíríonn bealach na heithne ar an tollán. Ón gcliant, deimhnigh go bhfuil an bealach brúite suiteáilte agus gurb é an tollán a bhealach réamhshocraithe don seoladh LAN.

Ansin féach ar na paicéid. Taispeánann gabháil ar chomhéadan an tolláin an bhfuil an freastalaí ag tarchur i dtreo an chliaint, agus taispeánann gabháil ar chomhéadan an LAN an bhfuil sé ag seoladh ar aghaidh. Má thaispeánann an chéad cheann paicéid agus an dara ceann faic, is é an seoladh ar aghaidh nó scagaire an fhadhb; mura dtaispeánann ceachtar acu faic, theip ar an gcuardach níos luaithe.

Déanann dhá fhreastalaí atá ceangailte le tollán an riail chéanna a athrá ar an dá thaobh: teastaíonn iroute ó gach ceann don linn eile, agus teastaíonn an bealach agus an seoladh a fhágann an cosán siméadrach. Is ábhair ar leithligh iad ródú agus polasaí anseo. Cinneann ródú cá bhféadfaidh paicéad dul, agus cinneann riail FORWARD an bhféadfaidh sé, mar sin is féidir le cliant a bhfuil dhá líne iroute aige an dá réimír a bhaint amach mura ndeir scagaire a mhalairt.