Cibiyar OpenVPN ɗaya, LAN uku: shirin adireshi da fayilolin iroute

Hanyoyin sadarwa na LAN masu zaman kansu guda uku za su iya haɗuwa a cibiya ɗaya ba tare da kowane wuri ya san abin da ke cikin sauran ba, kuma dukan tsarin ya dogara kan hukunce-hukuncen saiti guda huɗu. Abin da ke sa ya yi aiki ba wata fuska ce ta musamman ta ka'ida ba, sai dai shirin adireshi wanda babu wanda zai yi hasashe, tare da hanyoyi ga kowane abokin ciniki waɗanda ke gaya wa cibiyar wace reshe ce ta mallaki wace prefix. Idan ka yi kuskure a ɗaya daga cikinsu, ramin zai taso duk da haka, kuma wannan ne ya sa gazawar ta zama mai ruɗani.

Bi matakan a jere. Kowanne ya dogara kan shirin matakin da ya gabata, kuma babu wanda ke buƙatar sabuwar hukumar tabbatarwa.

Fara da shirin da babu wanda zai yi hasashe

Rubuta prefix guda huɗu da ba su haɗu ba kafin ka taɓa fayil ɗin saiti: LAN na cibiyar kanta, LAN na kowane reshe, da tafkin da ake ba abokan ciniki masu yawo. Rashin haɗuwa shi ne ke sa duk sauran abu mai sauƙi, domin jeri masu haɗuwa suna mai da turawa wuyar warwarewa ta mafi tsayin daidaituwa wanda babu wani saiti na kowane abokin ciniki da zai gyara. Sannan tabbatar da wace na'ura ce ƙofar da aka saba da ita ga kowace LAN, domin na'urar turawa ta reshe da ba ƙofar LAN ɗinta ba tana buƙatar a saka hanyoyin nesa a wani wuri daban. A ƙarshe, tabbatar da sunaye masu tabbaci waɗanda ke gane kowane reshe, domin waɗannan sunaye su ne mabuɗan da ake neman fayilolin kowane abokin ciniki da su.

Wani shiri na misali yana ajiye tafkin nesa da LAN uku. Naka zai bambanta, kuma ka'ida ɗaya tak da ita ita ce babu jeri biyu da su haɗu.

Hub LAN        172.20.0.0/24
Branch A LAN   172.21.0.0/24
Branch B LAN   172.22.0.0/24
VPN pool       10.77.0.0/24

identity branch-a owns 172.21.0.0/24
identity branch-b owns 172.22.0.0/24

Faɗa wa kernel na cibiyar inda rassan suke

Cibiyar tana buƙatar bayanai biyu ga kowane reshe: hanyar kernel da ke tura prefix ɗin cikin na'urar rami, da iroute shigarwa da ke gaya wa OpenVPN tsari wane abokin ciniki ne ya mallake ta. Hanyar kernel ita kaɗai tana isar da fakiti zuwa ramin kuma tana tsayawa a nan, domin daemon har yanzu dole ya yanke shawara wane abokin zamani zai karɓe su. iroute shigarwar ita kaɗai tana barin waɗannan fakiti a cikin kernel ba tare da hanyar da za su bi ba. Dukan layukan biyu na cikin saitunan da daemon ke lodawa da gaske, abin da ya cancanci tabbatarwa kafin ka gyara wani abu daban.

dev tun
topology subnet
server 10.77.0.0 255.255.255.0
disable-dco

route 172.21.0.0 255.255.255.0
push "route 172.20.0.0 255.255.255.0"
client-config-dir /etc/openvpn/ccd
route 172.22.0.0 255.255.255.0

Kashe abokin ciniki-zuwa-abokin ciniki lokacin da kernel ya kamata ya zama wurin tilastawa. Wannan zaɓi yana isar da zirga-zirgar abokan zamani a cikin daemon, abin da ke da sauƙi kuma yana nufin dokokin tura ka ba sa ganin kwararar. Duk abin da ke ƙasa yana ɗauka cewa kernel yana ganin kowane fakiti tsakanin rassa.

Ba kowane reshe hanyoyin da yake buƙata

Kowane reshe yana buƙatar hanyoyi zuwa sauran rassa da zuwa LAN na cibiyar, kuma ba ya buƙatar ɗaya zuwa LAN ɗinsa da ke haɗe. Tura prefix na nesa daga cibiyar maimakon liƙa su cikin kowane na'urar turawa, domin wuri na huɗu daga baya ya zama sabon fayil na kowane abokin ciniki maimakon gyare-gyare huɗu. Fayil ɗin kowane abokin ciniki yana ɗauke da layin iroute, wanda ke ajiye mallaka da sanarwa a wuri ɗaya. Sa fayil ɗin da abubuwan da ke cikinsa a karanta ƙarƙashin tsarin izinin uwar garke, in ba haka ba binciken zai kasa ba tare da saƙo ba.

# /etc/openvpn/ccd/branch-a
iroute 172.21.0.0 255.255.255.0
push "route 172.22.0.0 255.255.255.0"

Wuri na huɗu yana bin wannan tsari: sunan tabbaci daban, prefix mallaka, hanyar kernel a cibiyar, iroute shigarwa, da sanarwa kawai ga wuraren da aka ba su izinin isa gare shi.

Gwada a duka bangarorin biyu kafin ka ce an gama

Kunna tura IPv4 a dukan na'urorin turawa uku, sannan tabbatar cewa bangon wuta yana ba da izinin kwararar da aka yi niyya a duka bangarorin biyu, domin gwajin gefe ɗaya yana wucewa da hanyar dawowa da ta lalace fiye da yadda kowa ke tsammani. Tsakanin wurare ba a buƙatar fassarar asali, kuma adana asalin asali shi ne ke ba kowane reshe damar amfani da manufarsa kan buƙata.

Gwada daga mai masaukin da ke LAN na reshe ɗaya zuwa sabis a wani, sannan juya alkibla, sannan gwada daga reshe zuwa LAN na cibiyar. Waɗannan sakamako uku shaidu ne daban-daban, kuma babu ɗaya da ke nuna sauran. Idan na'urar turawa ta reshe ba ita ce ƙofar da aka saba ta LAN ɗinta ba, saka prefix na nesa a kan ainihin ƙofar kuma haɗa da tafkin lokacin da abokan cinikin rami za su fara haɗi zuwa wannan LAN.

Yi rikodin shirin, fayilolin kowane abokin ciniki da dokokin bangon wuta a matsayin takarda ɗaya, domin ƙarin wuri na gaba za a yi hukunci da su.

Tsarin yana riƙe tare domin kowane mataki yana da aiki ɗaya: shirin yana riƙe prefix a keɓaɓɓu, hanyar kernel tana motsa fakiti, iroute yana ambaton mai shi, kuma bangon wuta yana yanke shawara abin da aka yarda. Lokacin da wani abu ya karye, wannan jerin shi ne kuma tsarin da za a duba shi.