An chéad léim eile i mbealach VPN: cén fáth a gcaithfidh an geata a bheith inrochtana go háitiúil

Iompraíonn bealach isteach i líonra VPN dhá sheoladh atá éasca a mheascadh: an réimír chinn scríbe a bhfuil an paicéad ag iarraidh teacht uirthi agus an chéad léim eile a bhogfaidh céim níos gaire í. Ar óstach LAN, caithfidh an chéad léim sin a bheith ina ródaire ar féidir leat teacht air go fírinneach ar an nasc céanna. Ní hé an seoladh VPN i bhfad i gcéin an chéad léim eile, cibé chomh slachtmhar agus a oireann sé don cheann scríbe atá i d’intinn.

Clúdaíonn an lámhleabhar seo an gnáthchás: ríomhaire glúine ar 192.168.20.0/24, geata VPN le seoladh LAN de 192.168.20.5, agus líonra i bhfad i gcéin 10.70.0.0/24 taobh thiar den gheata sin. Glactar leis sna horduithe go léir thíos go bhfuil tú ar an ríomhaire glúine mura ndeirtear a mhalairt.

Dhá sheoladh, aon bhealach amháin

Is é 10.70.0.0/24 via 192.168.20.5 an iontráil atá beartaithe. Deir an réimír cá bhfuil an paicéad ag dul; deir an seoladh via cé a iompraíonn ann é. Diúltaíonn an t-eithne bealach a shuiteáil nach féidir leis an geata a bhaint amach tríd an gcomhéadan a ainmníonn tú, agus sin é an pointe ar fad: ní féidir le céad léim eile a bhfuil an tollán de dhíth uirthi chun a bheith inrochtana a bheith ina céad léim eile a thógann an tollán.

Mar sin ní hé «an bhfuil an geata ag obair» an chéad seiceáil ach «an bhfuil an geata ar an nasc seo». Caithfidh fo-líonra an ríomhaire glúine féin, a iontráil ARP nó comharsan, agus an comhéadan sa bhealach teacht le chéile. Is féidir le seoladh nach bhfuil ann ach taobh istigh de 10.70.0.0/24 a bheith ina cheann scríbe ag dara bealach, ach ní féidir riamh a bheith ina via ag an gcéad cheann.

Cad chuige a gceanglaíonn an chéad léim eile an geata

Ní chinneann suiteáil an bhealaigh ar an ríomhaire glúine ach an chéad aistriú. Ansin teastaíonn a chonair féin ón geata: seoladh ar aghaidh cumasaithe, bealach tolláin do 10.70.0.0/24 agus aon pholasaí rochtana a rialaíonn cé a fhéadfaidh é a úsáid. Ar Linux is é sin net.ipv4.ip_forward=1 móide bealach tolláin; teastaíonn riail ó bhalla dóiteáin os a chomhair a cheadaíonn an sreabhadh seolta ar aghaidh.

Is é an treo ar ais an chuid a ndéanann daoine dearmad uirthi. Caithfidh bealach ar ais go 192.168.20.0/24 a bheith ag an taobh i bhfad i gcéin, nó caithfidh an dearadh foinse an ríomhaire glúine a aistriú go rud éigin atá ar eolas ag an taobh i bhfad i gcéin. Cruthaíonn ping a oibríonn ón geata go bhféadann an geata an líonra i bhfad i gcéin a bhaint amach; ní deir sé rud ar bith faoi cé acu an maireann paicéid an ríomhaire glúine an turas ar ais.

Fíoraigh an chuardach ón óstach a sheolann

Iarr ar an eithne cén chéad léim eile a roghnódh sé, agus léigh an comhéadan sa fhreagra:

ip route get 10.70.0.10
ip route show 10.70.0.0/24
ip neigh show 192.168.20.5

Má thuairiscíonn an chuardach an geata agus an comhéadan LAN, tá an chéad chos suiteáilte mar a bhí beartaithe. Má thuairiscíonn sé an gléas tolláin, tá rud éigin níos luaithe sa tábla níos sonraí agus ag buachan. Mura suiteáiltear an bealach ar chor ar bith, tá an eithne ag insint duit nach bhfuil an geata inrochtana, agus tá an teachtaireacht sin níos úsáidí ná aon ghabháil paicéad.

Ansin déan an tástáil a athrá ón áit cheart. Úsáideann iarratas a chruthaítear ar an geata seoladh foinse an gheata féin, rud a fhéadann bealach ar ais atá ar iarraidh nó polasaí nach gceadaíonn ach foinsí áirithe a cheilt. Scarann lámhleabhar ip-route an ceann scríbe, an geata agus an sárú onlink, agus is fiú an sárú a thuiscint sula n-úsáideann tú é.

Ná húsáid onlink chun inrochtaineacht a chur i gcéill

Deir onlink leis an eithne an tseiceáil inrochtaineachta do gheata a scipeáil agus seol ann mar sin féin. Ní chruthaíonn sé conair, ní réitíonn sé ARP do sheoladh nach bhfuil ann, agus ní chuireann sé ar ródaire i bhfad i gcéin freagra a thabhairt ar do dheighilt Ethernet. Tá sé dlisteanach do gheataí a thugann freagra ach nach bhfuil i bhfo-líonra ceangailte, agus is gaiste é nuair a úsáidtear é chun earráid nach ndearna tú a mhíniú a chiúnú.

Mura suiteáiltear an bealach ach le onlink, is í an chéad cheist eile cén fáth nach bhfuil an geata san áit a gceapann tú. Cruthaíonn VLAN mícheart, dara seoladh ar an gcomhéadan mícheart nó clóscríobhán sa ochtú deireanach seo go léir, agus brisfidh gach ceann acu an chonair ar ais freisin a luaithe a thosaíonn an trácht ag sreabhadh.

Ní Ethernet iad tolláin pointe-go-pointe

Ní dhéanann gléas tolláin ARP agus go minic níl aon fho-líonra comharsan bríoch aige. Breathnaíonn a bhealaí go minic mar 10.70.0.0/24 dev tun0, gan aon via ar chor ar bith, toisc gurb é an piara an t-aon phointe deiridh eile. Má chóipeáiltear via de stíl LAN isteach sa tábla sin, cruthaítear bealach a bhféadfadh an eithne diúltú dó nó, níos measa, ceann a dhíríonn ar sheoladh nach dtabharfadh an piara freagra riamh air.

Coinnigh an dá mhúnla scartha sa lámhleabhar: tá geata inrochtana ag bealach LAN, tá comhéadan agus piara ag bealach tolláin. Taispeánann WireGuard, OpenVPN agus IPsec cruthanna beagán difriúla ar fad, mar sin taifead an cruth a d’úsáid tú i ndáiríre in ionad ginearálú ó aon óstach amháin.

Cuir leis, deimhnigh, rollaigh siar

Is é an t-athrú iomlán trí ordú agus aon tseiceáil amháin, agus ba cheart é a scríobh san ord sin:

sudo ip route add 10.70.0.0/24 via 192.168.20.5
ip route get 10.70.0.10
ping -c 3 10.70.0.10
sudo ip route del 10.70.0.0/24 via 192.168.20.5

Deimhnigh an chonair, deimhnigh aon cheann scríbe amháin, agus ansin coinnigh an líne scriosta réidh ar eagla go ndéanfadh an t-athrú an t-óstach dorochtana ar bhealach nár thuar tú. Más gá don bhealach teacht slán ó atosú, cuir i gcumraíocht líonra an óstaigh é seachas i bpróifíl bhlaosc, agus tástáil an t-atosú sula mbraitheann tú air. Is bealach a dhífhabhróidh tú faoi dhó é bealach nach bhfuil ann ach sa bhlaosc a chuir leis é.