Samun sabis a kan abokin ciniki na VPN: rami mai juyi ko DNAT

Ko da kwamfutar tafi-da-gidanka da ke bayan NAT na mai ba da sabis na iya yi wa abokin aiki hidima, muddin uwar garken VPN ita ce wurin haɗuwa. Hanyoyi biyu suke kaiwa can: abokin ciniki ya fita waje ya nemi uwar garken ta riƙe tashar saurara, ko uwar garken ta wallafa tasha ta juya ta cikin ramin. Dukansu suna magance matsala ɗaya ta isa kuma suna yin daban a lokacin lalacewa, kulawa da yin rikodi. Sharuɗɗa uku suke yanke shawarar wanne ya dace da saitin ku.

Sifofi biyu, wurin haɗuwa ɗaya

A sifa ta farko abokin ciniki ya buɗe zaman SSH waje ya nemi uwar garken ta saurare a wata tashar da aka zaɓa, yana mai da kowace haɗi ta wannan zaman. Babu abin da ake turawa a uwar garken kuma babu fassarar fakiti, don haka buƙatun kawai asusun SSH ne, turawa da aka yarda da shi da dokar katangar wuta don tashar. Sabis ɗin ya kasance a ɗaure da loopback a kan abokin ciniki, wanda yawanci shine abin da kuke so.

ssh -N -R 8081:127.0.0.1:8080 -o ExitOnForwardFailure=yes -o ServerAliveInterval=30 [email protected]

A sifa ta biyu uwar garken ce ke da tashar jama'a kuma tana sake rubuta kowace haɗi zuwa adireshin ramin abokin ciniki. Wannan yana buƙatar kunna turawar IP, fassarar manufa a hanyar shiga da fassarar tushe a hanyar fita, kuma yana ci gaba da aiki lokacin da babu zaman SSH. Tashar ta uwar garken ce ba ta zaman ba, kuma wannan siffa ce ke yanke yawancin al'amuran gaske.

Babu wani daga cikin sifofin biyu da ya fi tsaro bisa tsarin sa. Dukansu suna ƙarewa da fallasa tashar sabis ɗaya ga duk wanda zai iya isa adireshin jama'a na uwar garken, kuma dukansu suna dogaro da tabbatar da sabis ɗin kansa.

Sharɗi na ɗaya: shin tashar dole ta fi zaman tsayi

Turawa mai juyi tana rayuwa daidai tsawon zaman SSH da ya kirkiro ta. Idan hanyar ta faɗi, mai sauraro yana ɓacewa kuma abokin aikin yana ganin an ƙi haɗi maimakon hanya a hankali. Kula da umarnin da naúrar systemd da manufar sake farawa yana gyara hakan, kuma ExitOnForwardFailure=yes yana sa gazawar ɗaure ta bayyana nan take maimakon barin zaman da ke gudana ba tare da turawa ba.

Fassashen tasha yana jure sake kunnawa idan an adana dokoki, amma ya dogara da abokin ciniki ya riƙe adireshin ramin ɗaya. Rijiyar da ke canzawa da ke ba kwamfutar tafi-da-gidanka wani adireshi daban bayan sake haɗawa tana karkatar da dokar zuwa babu komai a shiru. Fara ajiye adireshin ramin, sannan ka rubuta dokar, kuma ka ɗauki duka biyun a matsayin canji ɗaya.

Idan sabis ɗin dole ya amsa da ƙarfe uku na safe ba tare da wani yana kallo ba, sifa da tashar da uwar garken ta wallafa ita ce mafi ƙarancin sassa masu motsi, domin tsarin da dole ya tsaya shi ne ramin kansa.

Sharɗi na biyu: wa ke da katangar wuta da rubutun ajiya

Sifa mai juyi tana riƙe duk manufofin a wurare biyu. sshd yana yanke shawara ta AllowTcpForwarding ko an yarda da turawa daga nesa kwata-kwata, kuma GatewayPorts yana yanke shawara ko mai sauraro yana ɗaure da loopback ko da kowace adireshi. Da tsohowar no abokin aiki da ke wajen uwar garken ba zai iya isa tashar ba ko da turawar ta yi nasara, kuma hakan yana kama da karyayyen rami alhali kuwa adireshin ɗaure ne.

sudo ss -ltn '( sport = :8081 )'
sudo grep -E '^(GatewayPorts|AllowTcpForwarding)' /etc/ssh/sshd_config

Fassashen sifa yana buƙatar kunna turawa da dokoki biyu, kuma doka ta biyu ita ce inda yawancin hanyoyin ke kuskure. Iyakance fassarar tushe da yanayin conntrack DNAT yana nufin ana sake rubuta haɗin da dokar manufa ta kirkira kawai, maimakon kowane fakiti da uwar garken ke turawa cikin ramin.

sudo sysctl -w net.ipv4.ip_forward=1
sudo iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 8081 -j DNAT --to-destination 10.88.0.6:8080
sudo iptables -t nat -A POSTROUTING -o tun0 -m conntrack --ctstate DNAT -j SNAT --to-source 10.88.0.1

Wannan sake rubutun kuma yana lalata dangantakar mai kira. Bayan haka abokin ciniki yana ganin kowane mai kira a matsayin adireshin ramin uwar garken, wanda ke haɗa duk iyakar gudu ta kowace adireshi cikin kwano ɗaya kuma yana ɓoye wanda ya aika me. Idan dangantaka tana da muhimmanci, ka ƙare haɗin a uwar garken ko ka ajiye shawarar izini a can ka wuce asali a cikin kanun labari da sabis ɗin ya amince da shi. Zaɓi tsakanin waɗannan gyare-gyare biyu ya dogara da ko sabis ɗin yana karanta kanun labarin wakili kwata-kwata.

Sharɗi na uku: tasha ɗaya ko da yawa, kuma wa ke da sunan

Sabis ɗaya a tasha ɗaya shine yanayin da turawa mai juyi ke nasara akan ƙoƙari. Kana buƙatar umarni ɗaya, asusu ɗaya da dokar katangar wuta ɗaya, kuma tsaftacewa shine kashe zaman. Sabis da yawa a kan adireshin jama'a ɗaya suna tura ka zuwa sifar da uwar garken ta wallafa, domin kowace turawa mai juyi tana buƙatar tashar uwar garkenta, kuma tarin yana girma da kowane sabis.

Sunaye suna ƙara rikitarwa. Turawa mai juyi na iya zama bayan wakilin TCP da ke bin hanyar SNI, yayin da fassashen tasha yawanci tasha ɗaya ce ga kowane sabis. Idan sabis ɗin yana ƙare TLS da kansa kuma yana buƙatar ainihin sunan mai masauki, hanyar wakili tana kiyaye shi, hanyar DNAT kuma tana kiyaye shi ne kawai idan sabis ɗin ya karɓi wannan sunan a wannan tashar.

Rubuta wane daga cikin sharuɗɗan uku ya yanke shawarar sifar. In ba haka ba mutum na gaba da zai ƙara sabis na biyu zai sake buɗe wannan kwatancen da ƙarancin bayani.

Yanke shawara, sannan gwada daga waje

Gwada hanyar daga cibiyar sadarwar da ba ta da wata hanya zuwa kwamfutar tafi-da-gidanka, kuma ka lura da ƙididdiga a uwar garken yayin da buƙatar ke gudana. Gwada daga uwar garken zuwa adireshinta na jama'a ba ya tabbatar da komai a nan, domin ana ƙirƙirar fakitin a gida kuma baya taɓa isa ƙugiyar fassarar shiga ba, don haka gwajin na iya wucewa alhali hanyar gaske ta karye.

sudo iptables -t nat -L PREROUTING -n -v
sudo tcpdump -ni any 'tcp port 8081' -c 20

Ƙididdiga da suka tsaya cak suna nufin fakitin bai taɓa isa dokar ba, wanda ke nuni ga mai ba da sabis ko katangar wutar mai masauki. Ƙididdiga da ke motsi yayin da sabis ɗin ya ƙi suna nuni ga katangar wutar abokin ciniki ko adireshin da sabis ɗin ke saurare a kansa. Ramin da ke ɗaukar fakitin amma ba ya mayar da komai matsala ce ta hanya ko hanyar dawowa, kuma babu ɗaya daga cikin waɗannan sakamako uku da ya kamata a gyara ta hanyar gyara adaftar abokin ciniki. Rubuta wace ƙididdiga ta motsa kafin ka canza wani abu, domin gwaji na gaba yana buƙatar wannan tushen.

Da zarar sifar ta yi aiki, rubuta tashar, mai ita da hanyar kulawa kusa da saitin ramin. Gyaran isa da ke wanzuwa a tarihin harsashin wani kawai yana da nisan sake kunnawa ɗaya daga aukuwar maimaitawa.