Ceanglaíonn cliaint VPN ach níl aon idirlíon acu: trí phíosa atá ar iarraidh

Faigheann an cliant seoladh, freagraíonn an freastalaí ping, agus téann gach leathanach thar am fós. Tosaíonn formhór na ndaoine ag cur próifíl an chliaint in eagar ag an bpointe seo, rud is iarracht amú de ghnáth: nuair a bheidh an tollán suas, caithfidh an freastalaí iompar mar ródaire. Caithfidh trí choinníoll a bheith fíor ag an am céanna sula n-imíonn paicéad agus sula dtagann freagra ar ais, agus tá an comhartha céanna cibé acu atá ar iarraidh.

Cén fáth nach bhfuil bealach amach ag tollán atá ag obair fós

Caithfidh an eithne paicéid a sheoladh idir comhéadain, rud atá múchta de réir réamhshocraithe ar fhormhór na ndáileadh Linux. Caithfear an trácht a aistriú go seoladh ar féidir leis an domhan lasmuigh freagra a thabhairt air, mura bhfuil an bealach ar ais chuig fo-líon an tolláin ar eolas ag gach ródaire suas an tsrutha cheana féin. Caithfidh cosán seolta an bhalla dóite trácht a cheadú sa dá threo, na freagraí san áireamh.

Is féidir gach ceann acu a shocrú go neamhspleách, agus sin an gaiste. Má chasann tú seoladh ar siúl gan riail aistriúcháin, imíonn na paicéid le foinse phríobháideach agus gan aon bhealach ar ais. Má chuireann tú aistriúchán leis gan riail seolta, fágfaidh an eithne an paicéad ag titim céim níos déanaí.

Mar sin tástáil na trí shraith seachas an cliant, agus athraigh ceann amháin ag an am ionas go gciallóidh an toradh rud éigin.

Is lasc eithne é an seoladh a chaithfidh tú a choinneáil buan

Seiceáil an luach reatha sula n-athraíonn tú é, ansin socraigh é agus deimhnigh gur tháinig an t-athrú i bhfeidhm.

sysctl net.ipv4.ip_forward
sysctl -w net.ipv4.ip_forward=1
sysctl net.ipv4.ip_forward

Tuairiscíonn an chéad ordú an luach reatha, socraíonn an dara ceann ag am rite é, agus cruthaíonn an tríú ceann gur oibrigh an scríobh. Imíonn an luach am rite ag an gcéad atosú eile, agus is ar an gcúis sin a d’fhéadfadh seisiún atá ag obair briseadh tar éis cothabhála gan aon athrú cumraíochta.

Déan buan é i gcomhad faoi /etc/sysctl.d/, ansin cuir an comhad sin i bhfeidhm seachas atosú chun é a fháil amach. Ar FreeBSD is é net.inet.ip.forwarding an comhionann, le gateway_enable=YES i rc.conf le haghaidh buaine. Míníonn gléas a thuairiscíonn seoladh múchta rang iomlán tuarascálacha «tagann paicéid agus ní thagann aon rud ar ais». Seiceáil an socrú tar éis gach uasghrádú freisin, mar is féidir le heithne atógtha nó íomhá gléis athshuiteáilte é a athshocrú gan insint d’aon duine.

Roghnaigh masquerade nó seoladh aistriúcháin seasta amháin

Le seoladh seachtrach dinimiciúil, is é masquerading an fhoirm cheart is simplí. Ainmnigh fo-líon an tolláin mar fhoinse agus an comhéadan seachtrach mar an t-ealú.

iptables -t nat -A POSTROUTING -s 10.9.0.0/24 -o eth0 -j MASQUERADE

Le seoladh poiblí statach, tá aistriúchán foinse chuig an seoladh cruinn sin níos intuartha agus níos éasca le hiniúchadh.

iptables -t nat -A POSTROUTING -s 10.9.0.0/24 -j SNAT --to-source 198.51.100.10

Tá gaiste cothabhála sa dara foirm: coimeádann seoladh crua-chódaithe a athraíonn níos déanaí an tollán ag obair agus stopann rochtain idirlín go ciúin. Úsáid masquerade nó nuashonraigh an riail gach uair a bhogann an soláthraí thú. Tá tábhacht ag baint leis an gcomhéadan freisin, mar caithfidh ródaire a roinneann a thollán suas an tsrutha féin aistriú amach tríd an tollán sin seachas tríd an WAN fisiceach.

Is é an tábla scagaire an tríú geata

Is féidir le seoladh agus aistriúchán a bheith ceart araon agus an paicéad ag fáil bás sa tábla scagaire fós. Is coirpeach minic é ufw: seoltar a pholasaí seolta mar DROP, agus is féidir leis an gcuid eile den socrú breathnú go hiomlán ceart agus an socrú aonair sin ag marú an tráchta. Is cinneadh slándála d’aon ghnó é é a ardú, ní bosca tice.

iptables -A FORWARD -i tun0 -o eth0 -j ACCEPT
iptables -A FORWARD -i eth0 -o tun0 -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT

Ceadaíonn an chéad riail trácht nua ón tollán amach, agus ní cheadaíonn an dara ceann ach freagraí ar ais. Caolaigh an dá cheann chuig fo-líon an tolláin agus an ceann scríbe atá beartaithe, mar déanann glacadh follasach ar chomhéadan an tolláin an VPN a chasadh ina phointe amach oscailte d’éinne a fhéadann fíordheimhniú.

Teastaíonn freagra difriúil ó thollán droichid. Baineann an seoladh leis an droichead, ní leis an bport fisiceach, mar sin baineann sclábhaíocht an chomhéadain an seoladh a bhí aige roimhe seo agus breathnaíonn an t-óstach doshroichte go dtí go bhfaigheann an droichead féin ceann, rud is féidir le dhclient br0 a sholáthar. Breathnaíonn an teip sin mar fhadhb VPN agus is fadhb den dara sraith í. Seiceáil seoladh an droichid féin sula mbaineann tú leis an mballa dóite, mar ní féidir le hathrú scagaire óstach a shocrú nach bhfuil seoladh aige le seoladh uaidh a thuilleadh.

Cá bhféachfaidh tú nach lódálann leathanach riamh

Déan ping ar sheoladh tolláin an fhreastalaí chun a chruthú go bhfuil an tollán ann. Ansin rith traceroute ón gcliant chuig seoladh poiblí agus léigh cá stopann sé: ag an bhfreastalaí tagann an paicéad ach ní sheoltar ná ní aistrítear é; taobh thall den fhreastalaí tá an fhadhb suas an tsrutha agus lasmuigh de do lámha.

ping -c 3 10.9.0.1
traceroute -n 198.51.100.10

Cruthaíonn an chéad ordú go n-iompraíonn an tollán trácht chuig an bhfreastalaí féin, agus taispeánann an dara ceann cé chomh fada agus a théann paicéad amach. Cuireann rian a chríochnaíonn ag seoladh an tolláin in iúl go bhfuil seoladh nó aistriúchán ar an bhfreastalaí, agus cuireann rian a stopann hop amháin níos déanaí in iúl an soláthraí nó bealach ar ais ródaire suas an tsrutha.

Ar an bhfreastalaí, breathnaigh ar an gcomhéadan seachtrach agus cliant ag lódáil leathanaigh. Ciallaíonn trácht a imíonn le seoladh foinse príobháideach go bhfuil an t-aistriúchán ar iarraidh, agus ciallaíonn easpa freagra ar fad go bhfuil cosán an tseolta nó bealach ar ais suas an tsrutha á ligean síos.

Má chaithfidh cliaint iargúlta óstaigh ar LAN an fhreastalaí a shroicheadh freisin, cuimhnigh go dteastaíonn bealach ar ais chuig fo-líon an tolláin ón LAN. Is ródú é sin seachas aistriúchán, agus is é an chéim is minice a dhéantar dearmad air nuair a oibríonn an bealach idirlín ar deireadh.