An haɗa da OpenVPN amma babu abin da ke lodawa: tafiya daga abokin ciniki zuwa waje

Tagar abokin ciniki tana cewa Connected, adireshin ramin yana nan, kuma mai bincike har yanzu yana juyawa. Wannan haɗin al'ada ne, domin musafaha mai nasara yana tabbatar da cewa an gina ramin ne kawai; ba ya faɗin komai game da ko uwar garke za ta tura fakitinku, ta sake rubuta tushensu, ko ta amsa tambayoyin DNS ɗinku. Kuskuren da yawancin mutane ke yi shi ne buɗe saitin uwar garke da farko. A maimakon haka yi aiki daga abokin ciniki zuwa waje, domin kowane mataki da ke ƙasa yana gaya muku ko na gaba ma ya cancanci dubawa.

Fara daga abokin ciniki kuma yi aiki zuwa waje

Yi gwaje-gwaje uku a wannan tsari kuma rubuta inda na farko ya kasa. Yi ping zuwa adireshin ramin uwar garke, wanda ke tabbatar da cewa ramin da kansa yana ɗaukar zirga-zirga. Yi ping zuwa adireshin jama'a da lamba, wanda ke tabbatar da turawa da fassara ba tare da shigar da warware suna ba. Sannan gwada warware sunan mai masauki, wanda shi ne gwajin da kawai ke amfani da DNS. Kowane sakamako yana cire dukan wani mataki daga zato.

Kada ku tsallake zuwa gwaji na uku saboda mai bincike yana jin sauri. Ƙin loda shafi yana rufe dukkan matakai uku a lokaci ɗaya, kuma daga nan ne mutane suke farawa sannan su sake gina ramin da ke aiki. Shafin da ya kasa ba ya gaya muku wanne daga cikin ukun ya karye.

Kamawa biyu suna nuna inda fakitin suka tsaya

Yayin da ping zuwa adireshin jama'a ke gudana daga abokin ciniki, ɗauki kamawa ɗaya a kan hanyar ramin da ɗaya a kan hanyar sama da ya kamata ya isa intanet. Gudanar da duka biyu a lokaci ɗaya domin tambarin lokaci su daidaita.

sudo tcpdump -ni tun0 -c 20 icmp
sudo tcpdump -ni enp1s0 -c 20 icmp

Idan buƙatun sun bayyana a kan ramin kuma ba su taɓa bayyana a kan hanyar sama ba, uwar garke ta jefa su tsakanin ramin da waya, kuma dalilin shine turawa ko manufar katangar wuta ta turawa, ba NAT ba. Idan sun bayyana a duka biyu, uwar garke ta yi nata ɓangaren kuma amsar ta ɓace a nesa, wanda ke nuni ga fassara, matattarar sama ko takunkumi daga mai bayarwa.

Ɗauki sunan hanyar sama daga teburin hanya, ba daga koyarwa ba. Hotunan girgije da adaftan da aka sake suna ba safai suke dacewa da hanyar misalin da ke cikin jagora ba, kuma kamawa da aka yi a na'urar da ba daidai ba tana kama da uwar garke da ba ta turawa:

ip -4 route get 9.9.9.9

Filin dev a cikin wannan fitarwa shine sunan da dokar NAT za ta buƙata daga baya, don haka riƙe shi.

Turawa maɓalli ne na kernel da manufar katangar wuta

Kernel dole ne ya yarda da turawa kwata-kwata. Karanta ƙimar yanzu, sannan sanya saitin ya zama na dindindin maimakon rubuta shi cikin kernel mai gudana kawai:

sysctl net.ipv4.ip_forward
printf 'net.ipv4.ip_forward=1\n' > /etc/sysctl.d/70-vpn-forward.conf
sysctl --system

Turawa rabin abu ne kawai. A kan mai masauki da ke amfani da UFW, ana saita manufar turawa a /etc/default/ufw kuma dole ta zama ACCEPT kafin sake lodawa ya yi tasiri. Ƙin yarda na asali a kan hanyar turawa yana barin musafaha lafiya sosai yayin da yake watsar da kowane fakiti da ke ƙoƙarin fita ta ramin a shiru, wanda shine ainihin alamar da kuka fara da ita.

Masu masauki da ke sarrafa nftables kai tsaye suna da wannan tambaya a wata sigar rubutu. Dubi ƙididdiga a kan sarkar turawa yayin da gwajin abokin ciniki ke gudana, domin sarkar da ake tambaya da sarkar da ke watsarwa suna kama da juna a cikin fayil ɗin saiti.

Ba da sunan ainihin hanyar fita a cikin dokar NAT

Fassarar tushe ta kasance a kan hanyar da a zahiri ke barin mai masauki, tare da tafkin da uwar garke ke bayarwa. Duk rabi biyu na wannan doka dole su bayyana gaskiya, kuma babu wanda ba tilas ba.

iptables -t nat -A POSTROUTING -s 10.44.0.0/24 -o enp1s0 -j MASQUERADE

Kuskuren gargajiya shine doka da aka kwafa daga jagora da ke cewa -o eth0 a kan na'urar da adaftanta ke da wani suna. Dokar tana shiga ba tare da gargaɗi ba, ba ta dace da komai, kuma abokin ciniki har yanzu ba shi da intanet. Tafkin shine ɗayan rabin wannan kuskure: idan uwar garke tana bayar da 10.44.0.0/24 kuma dokar tana rufe 10.8.0.0/24, babu abin da zai taɓa dacewa.

Dubi ƙididdiga maimakon amincewa da rubutun dokar. Lissafin yana ba da rahoton fakiti ga kowace doka, kuma dokar da ba ta taɓa dacewa ba tana zama a sifili komai daidaitonta. Ba ta minti ɗaya na ainihin zirga-zirgar abokin ciniki kafin ka karanta wani abu cikin wannan lambar:

iptables -t nat -L POSTROUTING -v -n

Ƙididdigar fakiti sifili bayan ainihin gwajin abokin ciniki yana nufin daidaiton ba daidai ba ne, ba cewa ramin ya karye ba. Da zarar ya dace, adana saitin dokoki domin ya tsira daga sake kunnawa; gyaran da ke rayuwa a tarihin shell ɗinka kawai yana ɓacewa a sake kunnawa na farko.

Idan uwar garke ita ma misalin NAT na girgije ne, dandali ma yana da ra'ayi. Misalin da ke fassara adireshi yawanci yana buƙatar kashe duban tushe da manufa a inda mai bayarwa ya bayar da wannan saitin, kuma tashar VPN da kanta dole ta kasance ana iya samun ta daga waje.

DNS ita ce gazawa ta biyu bayan ta farko

Yin ping da adireshi yana aiki yayin da sunaye ke kasa matsala ce ta mai warwarewa, kuma tana da nata dalilin. Abokin ciniki da ke riƙe da mai warwarewa na gida yana aika waɗannan tambayoyin cikin cikakken rami kuma yana jira amsar da ba za ta taɓa zuwa ba, domin mai warwarewa na gida yanzu yana gefen da ba daidai ba na hanya.

Tura mai warwarewa daga uwar garke domin abokin ciniki ya san inda zai tambaya. Shigarwa biyu suna ba abokin ciniki madadin idan na farko ba ya isa, kuma duka biyu ya kamata su kasance masu warwarewa waɗanda ramin ya yarda da su a zahiri.

push "dhcp-option DNS 9.9.9.9"
push "dhcp-option DNS 149.112.112.112"

Abokan ciniki na Windows na iya komawa ga mai warwarewa na gida duk da haka, wanda shine abin da block-outside-dns ya wanzu don hana shi, a kan farashin rasa sunayen da cibiyar sadarwar gida kaɗai za ta iya warwarewa. Abokan ciniki na Linux da ke amfani da systemd-resolved sukan yi watsi da mai warwarewa da aka tura sai dai idan rubutun ya shigar da shi, don haka duba resolvectl status ga na'urar ramin kafin ka yanke shawara cewa an yi watsi da turawar.

Kammala tafiyar yadda mai amfani ke fuskanta. Loda shafi na gaske daga abokin ciniki, tabbatar da adireshin da yake fita daga gare shi, sake kunna uwar garke, sake haɗawa, sannan sake maimaita gwaje-gwajen uku. Wannan zagaye na biyu ne kaɗai ke tabbatar da cewa dokokin da aka adana, manufar katangar wuta da mai warwarewar da aka tura duk sun tsira tare.