OpenVPN iroute da hanyar kernel: wanne ne ya ɓace?

Fakiti zuwa 10.77.20.0/24 yana ɗaukar shawara biyu daban a kan sabar OpenVPN: dole ne tsarin aiki ya miƙa shi ga muƙamin VPN, kuma OpenVPN dole ne ya san wane abokin haɗi da ke da wannan prefix. Rashin hanyar kernel na jefa shi kafin rami, kuma rashin hanyar abokin haɗi na jefa shi bayan haka. Kuskuren biyu suna kama da juna daga LAN mai nisa, kuma gano wanne kuke da shi yana buƙatar umarni ɗaya a kowane gefe.

A tsohuwar hanyar bayanai ta sararin mai amfani, hanyar kernel tana kai fakiti cikin aikin rami, kuma iroute yana gaya wa wannan aikin wane abokin haɗi ya kamata ya karɓa. Babu ɗaya da ke maye gurbin ɗayan, kuma tsari da ke ɗauke da ɗaya kawai zai yi kama da hankali har zuwa ping na farko.

Shawara biyu, ba hanya ɗaya ba

Ka yi tunanin haɗin wuri-da-wuri inda 10.77.20.0/24 ke bayan abokin haɗi ɗaya. Hanyar kernel ta sabar, misali ip route add 10.77.20.0/24 dev tun0, tana aika fakiti masu dacewa zuwa na’urar rami. Sa’an nan OpenVPN yana duba teburinsa na ciki, wanda aka gina daga shigarwar iroute a cikin babban fayil ɗin tsarin abokin haɗi, don yanke shawara wace hanyar haɗi ce za ta karɓe su. Idan babu hanyar kernel fakiti ba ya taɓa isa aikin, kuma idan babu hanyar abokin haɗi yana isa aikin kuma ba ya zuwa ko’ina.

Wannan rabo yana da sauƙin mantawa, domin layin hanya ɗaya a cikin bayanin abokin haɗi na iya yin kama da yana yin ayyukan biyu. Ba ya yin haka: tura hanya yana gaya wa abokan haɗi abin da za su aika ta rami, yayin da iroute yana gaya wa sabar wanda ya mallaki kewayon adireshi bayan abokin haɗi. Suna zama a cikin fayiloli daban-daban, ɓangarori daban-daban ne ke karanta su, kuma suna kasawa a kwatance daban-daban.

Inda iroute yake da abin da yake faɗa

Shigarwar tana tafiya cikin fayil na kowane abokin haɗi wanda aka yi wa suna da common_name na abokin haɗin, a ƙarƙashin client-config-dir, kamar iroute 10.77.20.0/24. Daidaituwar sunan fayil ba adon kawai ba ce: OpenVPN yana neman tabbatacciyar shaida kuma yana karanta fayil ɗin da wannan sunan daidai, don haka fayil mai suna site-a yana aiki ne kawai ga abokin haɗin da sunansa na gama gari site-a ne. Ƙara ccd-exclusive idan abokan haɗin da ba su da irin wannan fayil ya kamata a ƙi su gaba ɗaya, wanda shine madaidaicin saitin lokacin da kowane abokin haɗi shine ƙofar wuri. Riƙe fayil ɗaya ga kowace ƙofa kuma ka ba shi suna bisa batun takardar shaidar da kake bayarwa a zahiri.

Gwada shigarwar daga sabar kafin ka zargi LAN mai nisa. Fayil ɗin matsayi yana lissafta abokan haɗin da aka haɗa tare da sunayensu na gama gari, kuma sabar da ke aiki a --verb 4 tana yin log ɗin shigar iroute a lokacin da abokin haɗi ya haɗa. Idan babu abin da ya bayyana a lokacin haɗi, fayil ɗin yana cikin babbar fayil ɗin da ba daidai ba ko yana faɗin shaida mara daidai.

Tarkon: fayil yana nan, shaida ba daidai ba

iroute mai kama da daidai wanda aka haɗa da abokin haɗi mara daidai yana ɓata lokaci fiye da fayil da ya ɓace, domin komai a faifai yana kama da daidai. Canza sunan takardun shaida, maimaita sunaye na gama gari, da username-as-common-name da ke canza ainihin shaida duk suna haifar da haka. Duba wace shaida sabar ta tabbatar, maimakon wadda ka yi tsammani: fitarwar matsayi ita ce mai iko, yayin da sunan fayil maɓallin bincike ne kawai.

Hanya na iya rayuwa fiye da mai ita. Hanyoyin tsayayyu da shigarwar iroute suna bayyana prefix ne, ba tabbacin samuwa ba, don haka zirga-zirga na iya ci gaba da tafiya zuwa abokin haɗi wanda a halin yanzu ba a haɗa shi ba.

Kammala hanyar bayan abokin haɗi

Mallakar abokin haɗi ita ce tsakiyar hanya, ba ƙarshe ba. Dole ne abokin haɗi ya tura fakiti daga rami zuwa LAN ɗinsa, wanda ke nufin an kunna tura IP a kan wannan na’ura kuma dokar wutar bango tana ba da izinin wucewa. Na’urori a LAN mai nisa suna buƙatar hanyar dawowa don adireshin rami: ko dai hanya da ke nuni zuwa ƙofar, ko kuma ƙirar NAT da aka yi da gangan a gefen abokin haɗi. Tabbatar da saitin turawa a kan abokin haɗi da sysctl net.ipv4.ip_forward maimakon ɗauka cewa tsoho na rarrabawa ne.

Idan wasu abokan haɗin VPN dole su isa wannan ƙaramin cibiyar sadarwa, tsarin yana ƙaruwa kuma: sabar tana buƙatar client-to-client, kuma waɗannan abokan haɗin dole su tura prefix ɗin ta rami. Babu ɗaya daga cikin waɗannan da ke fitowa daga teburin hanya na sabar kanta.

Tabbatar da manufa ɗaya daga tushe na gaske maimakon daga sabar kanta. Ping daga na’urar LAN da ba ta da alaƙa zuwa na’urar da ke bayan abokin haɗi yana gwada hanyar dawowa, dokar turawa da mallakar abokin haɗi a mataki ɗaya, yayin da handshake mai nasara ke tabbatar da shaida kawai. Sa’an nan ka cire abokin haɗin da ya mallaka kuma ka rubuta abin da hanyar ke yi, domin wannan amsar ita ce hanyar gazawarka.