Yadda za a aika ɗaya kawai keɓaɓɓen ƙaramin cibiyar sadarwa ta VPN

Wuce ƙaramin cibiyar sadarwa ɗaya ta cikin rami sauran duk abin kuma ta hanyar da ka saba, buƙata ce ƙarama da hanyoyi da yawa na yin kuskure. Abin da ke ƙayyade sakamakon ba alamar da aka yi wa lakabi split tunneling ba ce, amma inda ake tilasta shawarar: teburin hanya na abokin ciniki da kansa, hanyar da uwar garke ke turawa, ko manufar da ɓangarorin biyu ke tattaunawa. Zaɓi matakin da ba daidai ba ka samu ko cikakken rami da ba ka taɓa so ba, ko hanyar da ke nuni zuwa ramin da wancan ɓangaren ya ƙi karɓa. Ina amfani da gwaji mai sharuɗɗa uku kafin buɗe kowane tsari, sannan na zaɓi ɗaya daga cikin hanyoyin da ke ƙasa.

Shaɗarru uku da ke ƙayyade ƙirar

Na farko, kana buƙatar ainihin prefix da mask daga mai cibiyar sadarwa. Cibiyar sadarwar 10.x ba prefix ba ce; 10.20.0.0/16 ce. Tabbatar ba ta haɗu da LAN na gidanka, gadar Docker ko wani VPN da kake gudanarwa ba, domin haɗuwa na sa hanyar rashin tabbas kuma kernel ɗin yana zaɓar shigarwar da ba ka nufa ba.

Na biyu, wa ke amsa zirga-zirgar dawowa. Yin hanya da fakiti zuwa cikin rami yana kai shi ga uwar garken VPN kawai. Idan ƙaramin cibiyar sadarwar tana bayan wani na'urar hanya da ba ta da hanyar dawowa zuwa gaɗin abokan cinikinka, dole uwar garken ta ɓoye zirga-zirgar, ko wannan na'urar ta koyi gaɗinka. Babu wata hanya a ɓangaren abokin ciniki da za ta gyara hanyar dawowa da ta ɓace.

Na uku, wurin tilastawa. Wasu abokan ciniki suna saka hanya kuma tsarin aiki ne ke yin sauran. Wasu kuma suna tattauna manufa, kuma manufar da ƙofar ba ta karɓa ba ta haifar da wani rami kwata-kwata: ana jefar da fakiti ba tare da bayyanannen kuskure ba. Gano wanne daga cikin biyun naka ne kafin ka rubuta komai.

WireGuard: AllowedIPs shine teburin hanya

A kan abokin ciniki, AllowedIPs yana lissafa wuraren da za su iya shiga ramin, kuma wg-quick yana mai da kowace shigarwa zuwa talakawan hanya. Don haka rabin abokin ciniki na wannan aiki layi ɗaya ne.

[Peer]
PublicKey = ...
Endpoint = vpn.example.net:51820
AllowedIPs = 10.20.0.0/16

Yanzu kwatanta shigarwar uwar garke ga wannan abokin ciniki. Tana bayanin abin da uwar garken za ta aika wa abokin ciniki, wanda yawanci adireshin rami ne na abokin ciniki, ba ƙaramin cibiyar sadarwa ba.

[Peer]
PublicKey = ...
AllowedIPs = 10.99.0.2/32

Musanya waɗannan biyu shine kuskuren da na fi gani. Saka 10.20.0.0/16 ƙarƙashin sashen peer na uwar garke yana bayyana cewa dukan ƙaramin cibiyar sadarwar tana bayan wannan abokin ciniki, wanda da'awa ce ta wuri-zuwa-wuri ba izini ba. Ana jefar da fakiti da ba su dace da AllowedIPs na kowane peer ba cikin shiru, don haka kuskuren shigarwa yana kama da matsalar wuta bango daidai.

Idan kai kanka ke sarrafa hanyoyin, saita Table = off ƙarƙashin [Interface] ka ƙara hanyar da kake so. Sannan ba a ƙara komai ta atomatik ba, don haka hanyar tana cikin abin da ke ɗaga mu'amala.

OpenVPN: tura hanyar, sannan tabbatar ta isa

A kan talakawan uwar garke canjin umarni ɗaya ne a cikin tsarin uwar garke, kusa da gaɗin abokan ciniki.

push "route 10.20.0.0 255.255.0.0"

Abokin ciniki yana ƙara ta idan ya haɗa. Yanayin gazawa yana bayyana idan wannan bayanin yana tura redirect-gateway kuma, ko idan wani ya riga ya ƙara route-nopull: na farko yana mai da zaman cikakken rami, na biyun kuma yana watsi da duk hanyar da aka tura har da naka.

Abokin ciniki da ke buƙatar ɗabi'a mai kunci a gaban uwar garken cikakken rami ya kamata ya yi watsi da sassan da ba ya so kawai. A cikin OpenVPN 2.4 da bayansa, pull-filter yana nan don haka daidai.

pull-filter ignore "redirect-gateway"
route 10.20.0.0 255.255.0.0

Ka raba iyalan adireshi daban: hanyar IPv4 da aka tura ba ta yin komai ga hidimar ciki da ke warware zuwa IPv6, kuma wannan hidimar tana gazawa ta rami yayin da duk sauran suke da kyau.

Idan ƙaramin cibiyar sadarwar ba ta kan uwar garken VPN ba amma tana bayan wani abokin ciniki, dole a gaya wa uwar garken. Ƙara fayil ga kowane abokin ciniki ta client-config-dir wanda ke ɗauke da iroute 10.20.0.0 255.255.0.0, tare da route mai dacewa domin sauran abokan ciniki su koyi hanyar. Ba tare da iroute uwar garken ba ta da dalilin aika wannan prefix ta wannan ramin musamman.

IPsec: zaɓaɓɓun zirga-zirgar dole su daidaita

Da IPsec babu hanyar da za a tura. Ɓangarorin biyu suna tattauna waɗanne adireshi ke cikin ramin, kuma zirga-zirgar da ke wajen zaɓaɓɓun da aka amince ba a ɓoye su ba kuma ba a aika su ta cikinsa ba. A kan abokin cinikin strongSwan zaɓaɓɓun a bayyane suke.

leftsubnet=192.168.1.0/24
rightsubnet=10.20.0.0/16

Idan an saita ƙofar da 0.0.0.0/0 a ɓangarorin biyu, kunkuntar IKEv2 yawanci tana rage SA na yaro zuwa haɗuwar shawarwarin biyu, wanda shine sakamakon da kake so. Wasu ƙofofin suna ƙin shawara da ba ta dace da zaɓaɓɓun da aka saita ba, sannan log ɗin yana nuna SA na yaro da ya gaza maimakon korafin hanya. Idan hakan ya faru canjin na ƙofar ne, domin hanyar abokin ciniki ba za ta iya ƙirƙirar rami ga zaɓaɓɓen da wancan ɓangaren ba zai karɓa ba.

A Windows abokin cinikin da ke ciki yana ɓoye wannan shawarar a bayan saituna biyu. Dole a kunna rabon rami, kuma dole a yi wa prefix rijista a kan bayanin.

Set-VpnConnection -Name Office -SplitTunneling $true
Add-VpnConnectionRoute -ConnectionName Office -DestinationPrefix 10.20.0.0/16

Rijistar prefix ɗin ita ce ke sa ya tsira daga sake haɗawa, abin da hanyar da aka ƙara da hannu ba ta yi.

Ka ajiye ƙarshen wuri da DNS a wajen shawarar

Ƙarshen wurin VPN dole ya kasance ana iya isa ba tare da ramin ba, in ba haka ba ramin yana rugujewa cikin kansa. Idan 10.20.0.0/16 kaɗai ake yi wa hanya hakan na atomatik ne, tunda ƙarshen wurin adireshi ne na jama'a. A cikin bayanin cikakken rami ba haka ba ne, kuma abokin ciniki yana buƙatar bayyanannen hanyar mai masauki zuwa ƙarshen wurin kafin ramin ya tashi.

DNS shawara ce ta biyu da tura hanya ba ya ɗauka dominka. Sunayen ciki yawanci suna warwarewa ta hanyar mai warwarewa da cibiyar sadarwar keɓaɓɓiya kaɗai za ta iya isa. Idan uwar garken tana tura uwar garken DNS, kowane suna yana wucewa ta gareta; idan ba ta yi ba, sunayen ciki ko suna gazawa ko suna warwarewa a fili zuwa wani abin da ba ka nufa ba. DNS mai rabo yana riƙe yanki ɗaya na bincike a kan mai warwarewa na ciki, amma ya dogara da goyon bayan abokin ciniki, don haka ɗauke shi a matsayin aikinsa daban ba sakamakon gefen hanya ba.

Tabbatar, sannan sake yi, sannan sake tabbatarwa

Gwaje-gwaje uku suna rufe tambayar hanya. Tambayi kernel ɗin inda adireshi mai nisa zai je, debo wani abu daga cikin ƙaramin cibiyar sadarwar, sannan tabbatar cewa roƙon jama'a na yau da kullum har yanzu yana fita ta haɗin da ka saba.

ip route get 10.20.5.7
curl -sS http://10.20.5.7/health
curl -sS https://ifconfig.me

Layin farko yana ambaton mu'amala. Idan ya ambaci mu'amalarka ta jiki, hanyar ba ta taɓa zama ba. A Windows Find-NetRoute -RemoteIPAddress 10.20.5.7 yana amsa wannan tambaya, kuma gwajin ƙarshe ya kamata har yanzu ya nuna adireshinka na yau da kullum ba na uwar garken VPN ba.

Sannan sake yi. Hanyoyin da aka ƙara da hannu suna ɓacewa, yayin da hanyoyin daga bayanin, daga tsarin da aka tura ko daga AllowedIPs suke dawowa. Idan kunci mai ɗanɗano yana aiki kafin sake yi kuma ya gaza bayan, laifin yana cikin yadda ramin ke farawa, ba cikin hanyar kanta ba.

Kafin ka ce an gama, tabbatar da abubuwa huɗu: prefix ɗin ya fito daga mai cibiyar sadarwar kuma bai haɗu da wani abu na gida ba, hanyar dawowa tana nan ko wata ka'idar ɓoyewa ta maye gurbinta, hanyar da ka saita ita ce ke tilasta yin hanya a dandalin ka, kuma irin waɗannan gwaje-gwajen suna wucewa bayan cikakken sake yi. bayanan strongSwan game da turawa sun cancanci karatu idan hanyar dawowa ita ce sashen da ke ci gaba da gazawa.