Shin abokan ciniki a sabar OpenVPN biyu za su iya isa juna?

Kafa OpenVPN sabar ta biyu yana ba ka wuri na biyu don abokan ciniki su haɗa, kuma ba komai fiye da haka. Ba ya sanya waɗannan abokan ciniki a cibiyar sadarwar sabar ta farko, kuma zaɓin mai suna client-to-client yana canza turawa ne kawai a cikin tsarin sabar ɗaya. Rukunin biyu suna zama cibiyar sadarwa ɗaya lokacin da kake yin hanya tsakaninsu da gangan, tare da mai kula da kowace hanya. Duk abin da ke ƙasa yana ɗaukan yanayin TUN a sararin mai amfani tare da wannan turawar ta ciki a kashe, don haka kernel ne ke yanke shawara.

Tatsuniya: jerin asusu ɗaya, cibiyar sadarwa ɗaya

Tabbatarwa da isarwa ana haɗa su saboda dukansu suna cikin tsarin sabar. Mai amfani da zai iya shiga kowace ƙofar biyu, daga waje yana kama da mai amfani a tsarin ɗaya mai ƙofofi biyu. A ciki, kowace sabar tana ba da adireshi daga rukuninta kuma tana sanya hanyoyi ne kawai ga abokan cinikin da take gamawa. Don haka abokin ciniki a ƙofar A da ke aika fakiti zuwa abokin ciniki a ƙofar B yana neman wurin da sabarsa ba ta taɓa jin labarinsa ba. Fakitin yana zuwa hanyar da aka saba ta A, ya bar ramin, ya isa wani katangar wuta da ba a taɓa neman izininsa ba.

Don haka ƙara sabar ta biyu ba ya ƙara kwari, ganowa ko yankin watsa labarai da aka raba. Yana ƙara hanyar sadarwa da ake bi da ita wadda take buƙatar shiri, kuma shirin yana farawa da adireshi.

Ba kowace ƙofa rukuninta da adireshin wucewa nata

Zango biyu da ba za su iya haɗuwa da wani abu ba, tare da ƙaramin haɗin wucewa tsakanin rundunonin, shine dukan shirin adireshi. Ka riƙe hanyar wucewa a wani yanki mai zaman kansa da kake sarrafawa, kuma ka rubuta lambobin kafin kowace sabar ta ba da hayar.

Ka yi tsayin daka ga sha’awar ba sabar biyu rukuni ɗaya don bayanan su kasance iri ɗaya. Hanyar kernel ba za ta iya faɗin wanne daga cikin runduna biyu ne ke da wani adireshi na kowane iri a cikin zango da aka raba a yanzu ba, don haka teburin hanya zai nuna ƙofa ɗaya kuma abokin ciniki na iya kasancewa a haɗe da ɗayan. Sunayen mu’amala al’adu ne na gida, ba yanayi da aka raba ba. Rundunan biyu a nan suna kiran na’urar ramin tun0 da haɗin wucewa transit0, wanda yake daidai domin babu fakitin da ke ɗauke da waɗannan sunayen.

Sanya hanyar a ɓangarorin biyu

Kowace ƙofa tana buƙatar hanya zuwa rukuni na ɗayan ta adireshin wucewa, kuma turawa dole ta kasance a kunne don kowanne ya yi aiki a matsayin tsalle. Ka tabbatar da teburin yanzu da farko, sannan ka ƙara shigarwar kuma ka tabbatar da ita ta hanyar manajan cibiyar sadarwa na rundunar maimakon ƙugiya ta sake haɗawa.

sysctl net.ipv4.ip_forward
ip route add 10.64.20.0/24 via 172.28.44.2 dev transit0
ip route get 10.64.20.37

Ka yi koyi da hakan a ɗayan rundunar tare da musanya rukunin. Ƙara wannan hanyar akai-akai daga wani rubutun da ba shi da alaƙa shine yadda rundunar ke ƙarewa da kwafi da yawa da wani canji na ban mamaki a lokaci na gaba da wani ya karanta teburin. Idan haɗin wucewa da kansa rami ne, hanyar tana nuni ga tsarin wannan ramin kuma tsallen dole ya tsira daga sake haɗawarsa. Adireshin wucewa da ya ɓace na dakika talatin yana ɗaukar hanyar tsakanin rukunin tare da shi, wanda yake yanayin ƙira da ya cancanci bayyanawa maimakon ganowa.

Ka tura hanyar abokin ciniki ba tare da yin ƙarya game da mallaka ba

Abokan ciniki suna buƙatar hanya zuwa rukuni mai nisa, in ba haka ba nasu tsarin aiki yana aika fakitin zuwa ƙofarsa ta asali kuma ramin ba zai taɓa ganinsa ba. Tsarin sabar shine wurin da ya dace don isar da hakan.

push "route 10.64.20.0 255.255.255.0"

Sanya layin madubi a tsarin ɗayan sabar, sannan ka sake haɗa abokin ciniki na gwaji kuma ka karanta teburinsa. Abokin ciniki da ya yi watsi da hanyoyin da aka tura yana buƙatar nasa amintaccen tsari, kuma hanyar da ba ta taɓa isowa ba ba ita ce kulawar shiga ba. Kada ka ba abokin ciniki iroute don dukan rukuni na ɗayan ƙofa. Wannan umarnin yana da domin ƙaramin cibiyar da ke bayan abokin ciniki ɗaya da aka haɗa, kuma amfani da shi don rufe hanyar da ta ɓace tsakanin ƙofofi yana haifar da sabar da take gaskata tana da adireshin da ba za ta iya isa ba.

Ka tabbatar da buƙata ɗaya kuma ka ƙi wata

Zaɓi wani aiki na gaske, misali HTTPS daga abokin ciniki a 10.64.10.21 zuwa sabis a 10.64.20.37, kuma ka yarda da daidai hakan a rundunan biyu. Kowace katangar wuta tana karɓar buƙatar a ɓangaren shigowa da amsar da aka bi diddig a ɓangaren dawowa; manufar sabis ta wurin da ake nufi har yanzu dole ta karɓe ta.

iptables -A FORWARD -i tun0 -o transit0 -s 10.64.10.21 -d 10.64.20.37 -p tcp --dport 443 -j ACCEPT
iptables -A FORWARD -i transit0 -o tun0 -d 10.64.10.21 -s 10.64.20.37 -p tcp --sport 443 -m conntrack --ctstate ESTABLISHED -j ACCEPT

Da hanyoyin juna, NAT na tushe ba shi da buƙata kuma a nan yana da illa sosai: fassara tushen yana ɓoye wane abokin ciniki ya yi buƙatar kuma yana karya manufar da ta dogara da tushe a ɓangaren wurin da ake nufi. Ka duba cewa dokar masquerade da take akwai don fita intanet ba ta kama wannan hanyar kuma. Sannan ka gwada ƙin. Sabis da ya kamata ya kasance na gida ga rukuni B dole ya kasance ba za a iya isa shi daga rukuni A ba, kuma ma’auratan abokan ciniki a ƙofa ɗaya ma suna buƙatar gwaji, tunda manufar turawar da ka canza yanzu tana aiki gare su ma.

Wani gyara ga tsarin tunani: haɗin wucewa yana ɗauke da fakiti na ciki da aka buɗe, don haka iyakar amana ce ba tabbacin sirri ba. Idan ya ratsa cibiyar sadarwar da ba ka sarrafa, ka kare wannan tsallen da amintaccen ramin ɓoyayye kuma ka bi ta ainihin tsarinsa. TLS daga ƙarshe zuwa ƙarshe har yanzu yana tabbatar da aikace-aikacen da kansa, shi ya sa sabis na ciki ya kamata ya ci gaba da amfani da shi.