Mu matsar da sabar VPN zuwa sabon IP na jama'a: abin da za a fara dubawa

Sake sanya adireshi yana ɗaukar minti ɗaya. Satin da ke gaba shi ne inda motsin yakan karye, kuma ba safai ba inda na'urar sarrafawa ta mai bayarwa ke nunawa. Sabon IP na jama'a ana ambatonsa a wurare huɗu: socket ɗin da daemon ke saurare, ankaɗin amincewa da abokan ciniki ke tantancewa, kowace doka da ke ambaton tsohon adireshin, da rikodin DNS da ke haɗa su. Motsi biyu suna kama da juna daga panel ɗin sarrafawa amma suna yin daban: sake sanya adireshin a na'urar da kake tafiyar da ita, ko kafa ƙarshen ƙarshe na biyu da matsar da abokan ciniki zuwa gare shi. Dubawa da ke ƙasa suna sanya gazawa mai sauƙi a gaba, kuma kowane sashe yana faɗin wane motsi ya shafi.

Musanya a wurin da juyawa a layi ɗaya ayyuka ne daban-daban

Musanya a wurin yana riƙe da mai masauki, maɓallan, teburin hanya da jerin masu amfani; adireshin ne kawai ke canzawa. Abin da sake sanya IP mai iyo ke yi ke nan, kuma a wurin masu bayarwa da yawa baƙon ba ya lura da komai, domin fassarar tana faruwa a gaban kwafin. Sake ginawa ko sake sanyawa daga mai bayarwa ya fi tsanani: baƙon yana ganin canjin, kuma duk abin da ya adana tsohuwar ƙimar a cache yana koya ta a lokaci ɗaya.

Ƙarshen ƙarshe na layi ɗaya shine mai masauki na biyu da ke yin aikin ɗaya. Gina shi, gwada shi da bayanin martaba ɗaya, ka bar tsohon yana amsa har sai sabon ya tabbatar da kansa a hanya ta gaske. Farashin shi ne yanayi. Ba tare da haɗaɗɗun shigarwar peer, sokewa da yin rikodi ba, kana da cibiyoyin sadarwa biyu da suka haɗa suna daidai.

Nemo kowane wuri da aka rubuta tsohon adireshin

Fara da binciken rubutu, domin fayilolin saiti su ne rabin mai sauƙi. Bincika saitin daemon, guntun wutan wuta, makasudin sa ido da duk wani ƙulla abokin ciniki da aka samar a faifai. Haɗa da adireshin IPv6 idan kana wallafa ɗaya; motsin da ke bin rikodin A kawai yana barin abokan ciniki masu tarin biyu a tsohuwar hanya.

OLD=203.0.113.10
grep -RIn -- "$OLD" /etc /root
ss -lunpt | grep -F "$OLD"
nft list ruleset | grep -F "$OLD"
iptables-save | grep -F "$OLD"
wg show all endpoints

Sannan bincika kernel ɗin, domin tsarin da ke aiki yana riƙe adireshin a wuraren da babu fayil da ya ambata. Dokar NAT ta tushe mai tsayawa, shigarwar ipset, adireshin ɗaure da shigarwar conntrack suna rayuwa fiye da gyaran saitin da ya cire su, wasu kuma suna tsira daga sake kunnawa domin sun dawo daga ajiyayyen jerin dokoki. Mataki ɗaya sama, ƙungiyoyin tsaro na mai bayarwa, makasudin mai daidaita nauyi da duba sa ido ba su ma a tsarin fayil ɗinka.

Rubuta lissafin kafin ka canza komai; yana aiki kuma a matsayin rubutun komawa baya.

Abokan ciniki masu sunan mai masauki suna warkewa; abokan ciniki masu IP na zahiri suna yin shiru

Idan abokan ciniki suna isa sabar ta sunan mai masauki, juyawar galibi matsalar DNS ce, kuma TTL ɗin da ka saita jiya shi ne ke yanke shawarar yadda zai yi muni. Masu warwarewa suna ajiya, stub masu warwarewa suna sake ajiya, kuma yawancin abokan ciniki suna neman sunan ne kawai a sabuwar haɗi, don haka ramin da aka kafa yana riƙe da adireshin farko.

Idan ƙarshen ƙarshe adireshi ne na zahiri, babu abin da ke sake warwarewa kuma babu abin da ke rubuta ƙara. WireGuard yana adana adireshin socket da aka warware: Endpoint = vpn.example.net:51820 yana zama IP a lokacin da wg-quick up ya gudana kuma yana zama wannan IP har sai ka canza shi. OpenVPN ya fi haƙuri: yana warware sunan mai masauki remote a lokacin haɗi kuma, tare da resolv-retry infinite, yana sake gwada DNS yayin sake haɗawa. Da IP na zahiri, dukansu biyu suna ci gaba da buga na'urar da ba ta wanzu.

Abin da ke ɓatar da mutane shi ne hoton madubi. Abokin ciniki da ya riga ya nufi sabon adireshin, yayin da tsohon mai saurare yana amsa, yana wuce duk gwajin da ka yi daga teburinka. Ni ma an yaudare ni da haka: sabon ƙarshen ƙarshe ya tashi a waya a gwaji ɗaya, kuma abokin ciniki da tsohon bayanin martaba ya bayyana ne kawai lokacin da aka kashe tsohon mai saurare da yawa daga baya.

Aminci ba ya ƙaura tare da adireshin

WireGuard yana raba ainihi daga isa, wanda ke sa motsin adireshi kusan kyauta. Ana gane peers da maɓallin jama'a, kuma ƙarshen ƙarshe shine kawai inda fakiti ke tafiya a yanzu; mai masauki yana sabunta ƙarshen peer daga adireshin tushen fakiti na ƙarshe da aka tabbatar. Peer mara aiki har yanzu yana buƙatar dalili don magana da sabon wuri, kuma yana koyon adireshin ne kawai lokacin da zamansa ya tsufa kuma sake gwada handshake ya kasa a wani wuri da ake gani. Farkon sauri na WireGuard ya shafi filin ƙarshen ƙarshe.

Sabarorin da suka dogara da TLS su ne akasin yanayin. Takardar shaida tana ɗaure da suna, kuma abokin ciniki da ya buga adireshi yana kwatanta abin da ya buga da sunayen madadin batun. Haɗa ta IP zuwa takardar shaida da ke ɗauke da SAN na DNS kawai kuma tabbatarwa ta kasa: sunan da abokin ciniki ya yi amfani da shi ba ya cikin takardar. Sake bayarwa da SAN na IP yana gyara wannan haɗin guda ɗaya kuma yana sa motsi na gaba ya fi muni. Riƙe sunan mai masauki a cikin bayanin martaba da barin verify-x509-name a wurinsa yana riƙe dubawa da tsanani yayin da adireshin da ke ƙasa ke canzawa.

Sannan duba abin da daemon ya ɗaure da shi; socket da aka lika a tsohon adireshin yana kasa cikin shiru. Sabar OpenVPN da aka fara da local 203.0.113.10 ta ƙi tashi da zarar wannan adireshin ya tafi, yayin da mai saurare a 0.0.0.0 ke bin canjin kyauta. NAT yana rabuwa haka: MASQUERADE yana bin duk adireshin da na'urar ke da shi yanzu, kuma SNAT --to-source 203.0.113.10 mai tsayawa yana ci gaba da sake rubutu zuwa adireshin da ba ka mallaka ba kuma, don haka zirga-zirgar dawowa tana ɓacewa. Idan sabon adireshin ya zo da wata ƙofar upstream daban, duba rp_filter: tacewar hanyar baya tana watsar da zirga-zirgar dawowa da ke isowa a wata fuska da kernel ɗin ba ya tsammani.

Tsarin juyawa da shaidar cewa ya yi aiki

Rage TTL kwana ɗaya gaba, ka tayar da sabon mai saurare, ka tabbatar da shi da bayanin martaba da kai kaɗai ke da shi. Gwajin daga cikin wannan hanyar sadarwa ba ya tabbatar da kusan komai, don haka yi amfani da waya a kan salula ka gwada wani abu da ramin ya kamata ya ɗauka maimakon ping zuwa ƙarshen ƙarshe.

Kalli duka adiresan biyu cikin taga. wg show all latest-handshakes a kan sabon mai masauki, ko fayil ɗin matsayin OpenVPN, yana gaya maka peers nawa suka ƙaura da gaske. Lokacin da sabon ƙarshen ƙarshe yana da peers da kake tsammani kuma tsohon yana da waɗanda suka tsaya baya kawai, yi ritaya da tsohon mai saurare, cire tsohuwar dokar NAT ka cire adireshin daga wutan wutar mai bayarwa. Cire tsohon mai saurare shi ne matakin da ake tsallakewa, kuma yana rufe giɓin da tsohon bayanin martaba har yanzu ke isa tsohuwar cibiyar sadarwa.

Rubuta abin da zai jawo komawa baya kafin ka fara: idan sabon ƙarshen ƙarshe bai sami handshake daga wani abokin ciniki na gaske ba bayan tagan da aka amince, mayar da tsohon adireshi ka daina rarraba bayanan martaba. Sake gudanar da binciken bayan haka ka tabbatar babu mai saurare da ke ɗaure da adireshin da aka yi ritaya. Abubuwa biyu suna wucewa zuwa motsi na gaba: sunan mai masauki a cikin bayanin martabar abokin ciniki domin canji na gaba ya zama gyaran DNS, da lissafin da aka adana kusa da bayanan dawo da sabar.