Buɗe tashar VPN ba ya sa abokan ciniki su isa LAN

Tunel ɗin yana tashi, abokin ciniki yana tabbatar da kansa, amma LAN ɗin da ke bayan ƙofa ya kasance ba a gani. Dokar da ya kamata ta gyara hakan tana ba da izinin tashar VPN kuma tana aiki daidai yadda aka rubuta, domin wannan dokar tana kula da fakiti da aka aika wa ƙofar kanta. Tafiyar abokin ciniki zuwa mai masaukin da ke bayan ƙofa tana da wata makoma da wata sarkar. Shiga mai nasara ba ya canza wace sarkar biyu ne kernel ke dubawa.

Sarkoki biyu, makoma biyu daban-daban

Ƙaddarar fakiti ana yanke ta ne da inda yake zuwa, ba yadda ya zo ba. Tafiye-tafiye zuwa adireshin da ke kan ƙofa ana kai su cikin gida kuma ana auna su da dokokin shigarwa. Tafiye-tafiyen da ƙofar ke turawa gaba ana auna su da dokokin turawa. Ƙofar tunel ɗaya na iya samar da nau’ikan fakiti biyu, don haka doka ɗaya ba za ta iya rufe ayyukan biyu ba.

Dukan tatsuniya a cikin jumla ɗaya: ba da izini ga mai sauraro ba ya faɗi kome game da ba da izini ga cibiyar da ke bayansa. Hukunce-hukunce biyu ne daban tare da shaidu daban, kuma sunan ƙofa a kan duka biyu ba ya haɗa su.

Abin da dokar mai sauraro take bayar da izini a zahiri

Fakitin mai sauraro suna ƙarewa a cikin aikin VPN, kuma shi ne ke ba da damar kafa tunel ɗin kwata-kwata. Shafin gudanarwa na ƙofa da amsar bincike ta gida suma suna amfani da hanyar shigarwa ta mai masauki, don haka gwajin zuwa ƙofar yana cin nasara yayin da duk abin da ke bayansa ya kasa. Duk sakamakon biyu daidai ne kuma babu ɗaya game da LAN.

Lokacin da aikin ya cire kariya daga tafiyar abokin ciniki don wata makoma, fakiti ɗin yana shiga hanyar turawa kuma yana buƙatar izini a can. Tabbatarwa mai nasara tana yanke shawarar wanene abokin ciniki; ba ta yanke shawarar inda zai iya zuwa ba. Tambayoyin biyu suna da masu mallaka daban, rajista daban da saƙon kuskure daban.

Gwada daga abokin ciniki, ba daga ƙofa ba

Gwajin da aka yi a kan ƙofa yana bin hanyar fitarwa ta mai masauki kuma yana iya cin nasara yayin da hanyar turawa a rufe take. Fara gwajin daga abokin ciniki kuma duba ƙarshen biyu na kwarara.

nc -vz 10.40.7.25 445
tcpdump -ni tun0 host 10.40.7.25

Idan buƙatar ta bayyana a kan tun0 kuma babu abin da ya isa makoma, ana jefar da fakitin bayan ya iso, wanda ke nuna dokokin turawa ko tacewar makomar kanta. Idan babu abin da ya bayyana a kan tun0 kwata-kwata, abokin ciniki ba ya ma aika shi zuwa tunel, kuma matsalar tana cikin hanya a kan abokin ciniki ba manufa a kan ƙofa ba. Kwatanta da buƙatar da ta fita daidai kuma ba ta dawo da kome, wanda shine yanayin hanyar dawowa.

Turawa tana buƙatar abubuwa uku, ba ɗaya ba

Dole ne a kunna turawa a cikin kernel, dokar tacewa dole ta karɓi kwarara, kuma makomar dole ta kasance ana iya isa gare ta tare da hanyar dawowar amsa. Idan ɗaya daga cikin uku ya ɓace, shiru ɗaya ne daga ganin abokin ciniki.

sysctl net.ipv4.ip_forward
sudo iptables -S FORWARD
sudo iptables -S INPUT

Karanta sakamakon uku tare. Sifili a na farko yana sa sauran biyu ba su da mahimmanci, kuma manufar watsi ta asali a na biyu tana jefar da fakiti na abokin ciniki yayin da tafiyar ƙofar kanta ke ci gaba da aiki. Sakamako na uku yana nuna dalilin da ya sa dokar mai sauraro ba ta taɓa zama matsalar ba.

Ka raba rukunan dokoki biyu a cikin takardu

Rubuta dokar mai sauraro da dokar sabis ɗin da aka tura a layi daban, tare da masu mallaka da dalilai daban. Idan tashar VPN ta canza ko an buga sabon sabis, wannan rabuwa tana hana canji ɗaya faɗaɗa ɗayan cikin shiru.

Maimakon ɗaukar kowane abokin hulɗa da aka tabbatar a matsayin memba na LAN amintacce, yi amfani da ƙananan dokoki ga jerin abokan ciniki da sabis ɗin da suke buƙata. Bayanan turawa na StrongSwan sun bayyana gefen hanyar dawowa da fassarar wannan iyaka, wanda kuma shine yanke shawara ta uku.

A ƙarshe, ka riƙe matakan a mike lokacin da aka ƙi mai amfani. Idan buƙatar ta isa mai masauki kuma manhajar ta ƙi asusun, gyara izinin manhajar a wannan matakin; faɗaɗa turawa ba zai iya bayar da shaidar raba fayil ba kuma zai faɗaɗa damar ga duk sauran da suka haɗa cikin nasara.