Na’urar LAN da abokin ciniki na VPN: na’urori biyu, teburin hanya biyu

Na’urori biyu suna tura fakitin gaba kowannensu yana riƙe da teburinsa. Na’urar LAN ta san cewa prefix ɗin nesa na abokin ciniki ne na VPN, kuma abokin ciniki na VPN ya san yadda zai isa wannan prefix ɗin ta tunnel ɗinsa. Sa teburin farko kawai kuma fakitin ya isa na’ura da ba ta da hanyar da ta dace, don haka ya sake fita ta hanyar da aka saba. Wannan shi ne dukan gazawar, kuma daga wurin LAN yana kama da madauki na turawa, domin kusan haka ne.

Zana matakai biyu kafin ka taɓa hanya

Ɗauki tsari na misali: na’urorin LAN a 192.168.50.0/24, na’urar gama gari a 192.168.50.1, abokin ciniki na musamman a 192.168.50.15, da LAN na nesa a 10.60.0.0/24 wanda ba za a iya isa ba sai ta tunnel ɗin da wannan abokin ciniki yake da shi. Babu ɗaya daga cikin rukunin masu zaman kansu da ya mamaye ɗayan, kuma tunnel ɗin yana da nasa shirin adireshi.

Duka rukunin masu zaman kansu suna da muhimmanci domin su ne ke ƙayyade wace na’ura za ta iya amsawa. Ƙasar nesa za ta ga fakitin ya zo daga adireshin tunnel ɗin abokin ciniki, kuma amsarta dole ta sami hanyar komawa 192.168.50.0/24. Idan an sa hanyar fita kawai, buƙatar na iya aiki yayin da amsar ta ɓace.

Mataki 1: nuna na’urar ga abokin ciniki, ba ga tunnel ɗin ba

A kan na’urar LAN, ƙara hanyar manufa wadda matakinta na gaba shi ne adireshin LAN na abokin ciniki:

ip route add 10.60.0.0/24 via 192.168.50.15
ip route get 10.60.0.55

Wannan rikodin yana cewa “isar da shi ga na’urar da za ta iya yin tunnel”. Bai ce komai ba game da yadda ake gina tunnel ɗin, kuma ba ya maye gurbin hanyar abokin ciniki da kansa. A kan na’urar da ake sarrafawa, kwatankwacin yana cikin shafin hanyoyin tsayayyu na na’urar; a kan na’urar Linux yana cikin saitin interface ɗin da ke da LAN ɗin, ba cikin shell ɗin da za ka rufe ba.

Duba amsar umarnin na biyu. Idan ya bayyana abokin ciniki a matsayin gateway kuma interface ɗin LAN a matsayin device, matakin farko daidai ne kuma sauran aikin yana kan ɗayan na’urar.

Mataki 2: ba abokin ciniki hanyarsa ta gefen tunnel

Abokin ciniki yanzu yana karɓar fakiti zuwa 10.60.0.0/24 kuma yana duba teburinsa. Idan saitin tunnel ɗinsa ya sanya hanya ga wannan prefix ɗin, fakitin yana ci gaba da rufewa. Idan bai yi ba, fakitin ya dace da na yau da kullum kuma ya koma 192.168.50.1, wanda ke sake tura shi ga abokin ciniki.

Duba kafin ka ƙara wani abu:

ip route show table all | grep -E "10\.60\.0\.0/24|default"
sysctl net.ipv4.ip_forward

Rashin hanyar prefix a kowane tebur shi ne abin da kake nema. Ƙara shi ta hanyar saitin tunnel ɗin kansa, domin haɗin gaba ya sake sanya shi; ip route add na hannu yana ɓacewa tare da zaman kuma yana sa kuskuren ya dawo a lokacin da bai dace ba. Mataki na gaba shi ne interface ɗin tunnel ko adireshin da VPN ke bayarwa a matsayin takwaransa, dangane da abokin ciniki, kuma adireshin takwaransa ya kamata ya fito daga bayanin da ake ciki ba daga tsohon rubutu ba.

Madaukin, idan ya faru, a aikace ba shi da iyaka: TTL yana raguwa a kowane wucewa kuma fakitin yana mutuwa da saƙon wucewar lokaci. Shi ya sa traceroute mai maimaitawa zai iya nuna zagayawa yayin da abokin ciniki wanda kawai ba ya turawa gaba yana jefar da wannan fakitin a shiru.

Mataki 3: ba da izinin turawa gaba kuma zaɓi hanyar dawowa

Karɓa da turawa gaba izini ne daban. net.ipv4.ip_forward=1 a kan abokin ciniki yana ba da izinin wucewa a matakin kernel, kuma dokar firewall har yanzu dole ta ba da izini tsakanin interface ɗin LAN da tunnel ɗin. Dokar da ke ba da izinin shiga shafin sarrafawa na abokin ciniki ba za ta ba da izinin wucewa zuwa LAN na nesa ba, kuma ana iya rasa bambancin idan wannan host ɗin yana amsa ping a gida.

Ƙasar nesa tana da matsalar madubi. Dole ta san cewa 192.168.50.0/24 ana iya isa gare shi ta wannan abokin ciniki da aka tabbatar. Tare da OpenVPN hakan yawanci yana nufin hanya ga kowane abokin ciniki da saitin uwar garke ke turawa, ko fayil na musamman na abokin ciniki a kan uwar garke wanda ke bayyana LAN ɗin da ke bayan abokin ciniki. Ba tare da shi ba, LAN na nesa ko ya jefar da amsar ko ya tura ta ga ƙofarsa ta asali, wato intanet.

Fassarar tushe ita ce madadin idan ba za a iya sanar da prefix ɗin LAN ba. Dokar masquerade mai iyaka a kan abokin ciniki tana sake rubuta tushen zuwa adireshin tunnel ɗin, kuma amsoshi suna dawowa bisa dabi’a. Hakanan tana ɓoye wace na’urar LAN ce ta yi buƙatar, kuma ita kaɗai ba ta ba ƙasar nesa damar fara haɗi zuwa ciki ba. Zaɓi wannan musanya da gangan maimakon ƙara masquerade gabaɗaya sannan ka gano illar daga baya.

Mataki 4: tabbatar da duka shawarwari biyu, sannan gwada ainihin hanyar

Kowace hanya tana da mai shi, kuma mai shi shi ne saitin da ake sake ƙirƙira lokacin boot ko lokacin sake haɗawa. A kan na’urar zai iya zama rikodin hanya tsayayyiya; a kan abokin ciniki zai iya zama bayanin VPN, NetworkManager ko systemd-networkd. Tabbatar ta hanyar sake haɗa tunnel ɗin da sake kunna abokin ciniki, sannan karanta teburin kuma maimakon amincewa da gyaran.

Riƙe hanyar da aka saba da ke ɗauke da haɗin waje na tunnel ɗin lafiya. Maye gurbinta don “sauƙaƙa” saitin yana karya hanyar rufaffe kafin kowane zirga-zirge na ciki ya iya amfani da ita, kuma alamar ita ce tunnel ɗin da ba ya sake kafawa bayan canjin.

Gwada daga na’urar LAN ta gama gari, ba daga abokin ciniki ba, domin buƙatar da ta samo asali a kan abokin ciniki ba ta taɓa yin amfani da matakin farko na na’urar ba. Kawo sabis ɗin da ke wanzu kawai a LAN na nesa kuma tabbatar da jikin amsar, sannan duba ƙididdiga ko rajistan ayyukan abokin ciniki don ganin wucewar tana faruwa. traceroute na ciki da ke nuna matakai masu zaman kansu yana tabbatar da turawa gaba, ba rufewa ba: hanyar waje duba ce ta daban, kuma ƙididdigar interface ɗin tunnel ɗin kawai ke nuna abin da ya fita ta ciki.