Ƙofar VPN a kan Raspberry Pi: katin sadarwa ɗaya ko tashar abokin ciniki ta keɓaɓɓe

Kana da Pi ɗaya, furofil ɗin VPN mai fita da ke aiki, da na'urori biyu da ya kamata su isa intanet ta gare shi. Tambayar da ke yanke dukan ginin ba wace jagora za a bi ba ce, sai dai nawa keɓewa kake buƙata. Tasha ɗaya tana barin Pi ya zauna kusa da waɗannan na'urori a LAN na na'urar sarrafawa kuma ya yi aiki a matsayin ƙofa ta ƙari; tasha ta biyu tana barin ka saka su a wani yanki inda Pi ne kaɗai hanyar fita. Duk abin da ke bayan wannan zaɓi — DHCP, iyakar wutar bango, DNS, yanayin katsewa — ya biyo daga gare shi.

A me ne tsare-tsaren biyu suka bambanta da gaske

Dukan tsare-tsaren biyu suna sarrafa hanya. Bambancin shi ne wanda kuma yake a kan waya da abin da ke faruwa sa'ad da manufarka ba daidai ba ce.

Keɓewa ita ce ainihin ginshiƙi. Tsarin A na bayar da shawara: na'urar da ta yi watsi da ƙofar da DHCP ta bayar kuma ta zaɓi na'urar sarrafawa tana aiki har yanzu, amma ba a ɓoye ta ba. Tsarin B ana tilasta shi ta hanyar tsarin haɗin kai, domin babu wani mataki na gaba da za a zaɓa.

Tsarin A: Pi a matsayin ƙofa ta ƙari a kan LAN da ke akwai

A ce na'urar sarrafawa ta ISP ita ce 192.168.50.1, Pi shi ne 192.168.50.2, kuma zaɓaɓɓun abokan ciniki suna nuni zuwa Pi. Abin da ke da muhimmanci shi ne cewa kwararar fakiti biyu daban-daban suna raba waya ɗaya. Fakitin ciki na abokin ciniki ya isa Pi kuma dole ya fita ta ramin; fakitin Pi da kansa da aka ɓoye zuwa abokin VPN dole ya fita ta wannan waya zuwa na'urar sarrafawa. Suna tafiya a alkibla daban-daban a kan muƙamai ɗaya kuma suna buƙatar kulawa daban.

Ba Pi adireshinsa ta hanyar mai kula da cibiyar sadarwa da aka shigar, ba ta wata tsohuwar girke-girken fayil ɗin muƙamai da ke fafatawa da shi a kan na'urar ba. Sa'an nan ka saita abokan ciniki: ƙofa mai tsayawa a kan na'ura ɗaya, ko ajiyar DHCP da ke bayar da 192.168.50.2 a matsayin na'urar sarrafawa. Kada ka canza dukan kewayon DHCP na na'urar sarrafawa domin na'urori biyu, kuma kada ka ɗauka cewa abokin ciniki yana mutunta zaɓin — ka tabbatar da shi.

Raunin yana cikin tsari ne ba abin gyarawa ba. Duk abokin ciniki a wannan yanki na iya nuni zuwa 192.168.50.1 kuma ya fita a fili, kuma na'ura mai muƙamai na biyu ko rediyon wayar hannu tana barin hanyar tilastawa gaba ɗaya. Idan wannan jumlar ba ta karɓuwa ga na'urar da ake magana a kai, kana da amsarka tukuna: yi amfani da tsarin B.

Tsarin B: tasha ta musamman tana rufe na'urori a ciki

A nan Pi yana riƙe da 192.168.50.2 a kan hanyar sama tare da ƙofar 192.168.50.1, kuma yana ɗaukar 10.20.0.1/24 a muƙamai na biyu domin na'urorin da aka haɗa. Yanzu Pi ya zama na'urar sarrafawa mai cibiyoyin sadarwa biyu, kuma yankin da aka haɗa yana da mafita ɗaya kawai.

Duba kewayon da duk sauran abubuwa kafin ka ƙulla alkawari: ƙaramin cibiyar sadarwar ramin da kansa, sauran prefixes tsakanin wurare, da duk abin da ake iya isa ta VPN. 10.20.0.0/24 da ta yi karo da LAN mai nisa tana haifar da irin wannan rabin-aiki sakamakon da ke ɗaukar maraice ana bincike. Idan tasha ta biyu adaftar USB ce, tabbatar an tallafa mata kuma ka ƙulla sunanta a cikin mai kula da cibiyar sadarwa domin sake tsari bayan sake kunnawa kada ya motsa adireshin LAN naka.

Tafiyar da mai sauraron DHCP a kan wannan muƙamai ne kawai. Sabar da ke amsawa a hanyar sama tana fafatawa da na'urar sarrafawa ta ISP kuma tana ba da adireshin yankinka ga sauran gidan. Ka ɗaure ta da muƙamai na LAN, ka iyakance ta ga kewayon da aka ayyana, kuma ka ajiye adireshin Pi da kansa a waje da tafkin.

Turawa, fassara da ka'idar rufewa yayin gazawa

Abubuwa huɗu ana kwatanta su a matsayin ɗaya kuma ba haka suke ba. Kunna turawa (net.ipv4.ip_forward=1) yana gaya wa ƙwayar kawai cewa tana iya motsa fakiti tsakanin muƙamai; shi kansa ba ya ba da izinin komai kuma ba ya tabbatar da wata hanya. Zaɓin mafita shi ne shawarar sarrafa hanya. Ba da izinin fakitin shi ne shawarar manufa a cikin sarkar forward. Sake rubuta tushensa shi ne shawarar postrouting. Ginin da ke yin na farko kawai yana haifar da Pi da ke turawa cikin farin ciki zirga-zirgar abokin ciniki daga hanyar sama.

Iyakance izini ga tushen da ka nufa da muƙamai da zirga-zirgar ya kamata ta yi amfani da shi, kuma ka haɗa da hanyar dawowa da wuraren da Pi da kansa ke buƙata. Sa'an nan ka fassara a mafitar ramin idan mai bayarwa ba ya sarrafa hanyar prefix ɗin LAN naka zuwa gare ka. littafin jagora na nftables yana ɗaukar turawa, fitarwar gida da fassarar tushe a matsayin ayyuka daban, wanda shi ne tsarin tunani daidai a nan.

Gazawar da ta zama ruwan dare ita ce babbar ka'idar masquerade a kan muƙamai na zahiri. Sannan zirga-zirgar tana isa intanet ta hanyar ISP yayin da, daga ɓangaren abokin ciniki, take kama da VPN mai aiki daidai. Wannan ba ya tabbatar da komai. Ka riƙe fassarar a ɗaure da mafitar da aka ayyana, kuma ka riƙe ka'idodinka a cikin wutar bango da mai masaukin ya riga ya yi amfani da ita maimakon ƙara wani tsarin ka'idoji mai fafatawa da ke wanke sarkar postrouting da aka raba.

Sa'an nan ka magance rashin ramin. Furofil ɗin abokin ciniki da ke shigar da babbar hanyar da aka saba yana nufin kuma cewa idan ramin ya faɗi, hanyar da aka saba tana iya dawowa kuma zirga-zirgar abokin ciniki ta koma hanyar sama a shiru. Inda koma baya zuwa bayyanannen rubutu bai zama abin karɓa ba, manufar forward dole ta ƙi zirga-zirgar daga abokin ciniki zuwa hanyar sama a fili, a cikin yanayin da hanyar VPN ta tafi. Rubuta wannan a matsayin ka'idar ƙin yarda, ba a matsayin zato ba. Sufurin Pi da kansa da aka ɓoye zuwa abokin VPN kwarara ce ta local-output daban kuma dole ta kasance an ba da izini, in ba haka ba ramin ba zai taɓa dawowa ba.

DNS da IPv6 suna buƙatar amsarsu

Idan abokan ciniki suna amfani da Pi a matsayin mai warwarewa, suna isa ga mai sauraro na gida kuma Pi yana fara sabuwar tambaya. Wannan tambayar zuwa sama tana bin hanyar Pi da kansa, ba ka'idar forward da ka rubuta wa abokan ciniki ba, don haka hanyar abokin ciniki ta ramin kawai tare da mai warwarewa da ke fita kai tsaye ɓoyewa ce ba tare da wata saƙon kuskure ba. Ka yanke shawara da gangan: mai warwarewa da ake isa gare shi ta ramin, ko na gida da ka karɓa a matsayin kai tsaye, kuma ka daidaita manufar fitarwa ta Pi da kansa da wannan shawarar.

IPv6 kuma ya zama wani yanayi daban. Ka'idar forward ta IPv4 ba ta iyakance komai game da IPv6 ba, kuma sanarwar na'urar sarrafawa a hanyar sama na iya ba Pi, kuma ta gare shi yankin da aka haɗa, wata hanyar da aka saba da ke ƙetare manufarka. Ko ka ba IPv6 hanyarta mai kariya bisa wannan ƙa'ida, ko ka iyakance shi a fili a yankin abokan ciniki kuma ka faɗi haka.

Gwada iyakar kafin ka amince da ita

Karɓi tsarin bayan gwaje-gwaje huɗu daban, domin gwajin guda ɗaya mai ruɗani — buɗe burauza a kan abokin ciniki ɗaya — yana wucewa a cikin yanayi da yawa da suka lalace.

Tabbatar cewa abokin ciniki na gaske ɗaya ya isa intanet ta ramin, sannan ka tabbatar cewa wannan abokin cinikin ba zai iya isa intanet ba yayin da ramin ya faɗi. Tabbatar cewa warwarewar DNS tana aiki kuma tambayar tana fita inda ka nufa. Tabbatar cewa sufurin Pi da kansa yana aiki har yanzu bayan sake kunnawa ramin, kuma dawowar ba ta buƙatar sake kunnawa na'urar. A ƙarshe, duba na'urar da ba ka zaɓa ba: a ƙarƙashin tsarin A ya kamata ta ci gaba da aiki akai-akai, kuma a ƙarƙashin tsarin B ba ya kamata ta kasance a wannan yanki kwata-kwata.

• Tashoshi biyu da ka'idar ƙin yarda suna ba da tilastawa; tasha ɗaya da zaɓin DHCP suna ba da shawara.
• Fassara a kan muƙamai mara kyau tana kama da nasara kuma ba ita ba ce.
• Zirga-zirgar Pi da kansa, DNS da IPv6 kowannensu yana buƙatar shawara, ba zato ba.