VPN tsakanin wurare da shiga daga nesa: me kowanne ke haɗawa

Ana kiran duka tsare-tsaren biyu VPN kuma suna magance matsaloli daban-daban. Tunel tsakanin wurare yana haɗa ƙofofin shiga biyu, don haka kowane mashin da ke bayansu zai iya isa adiresoshin da aka yarda da su a wani gefen ba tare da shigar da komai ba. Tunel na shiga daga nesa yana haɗa na’urori ɗaya-ɗaya da cibiyar sadarwa, abokin ciniki ɗaya a lokaci ɗaya. Kwatancen yana da muhimmanci domin yawancin kurakuran turawa suna fitowa ne daga daidaita ɗayan tare da tsammanin halin ɗayan, kuma alamar yawanci ita ce ƙarewar lokaci a wata sabis da tunel ɗin ya kai da gaske.

Tsare-tsare biyu, iyakoki biyu

Babu ɗayan tsare-tsaren da ke faɗaɗa yankin watsa LAN. Na’urorin da ke wani gefen ba sa fitowa a jerin ganowa na gida, kuma tsammanin hakan shine zato na farko da ya kamata a barshi. Sunayen DNS na sirri da kuke bugawa da gangan sun fi duk wata yarjejeniyar ganowa sauƙin hasashe, kuma suna jure canjin mai bayarwa.

Ɗauki 10.10.0.0/24 a wani wuri da 10.20.0.0/24 a wani. Ƙofar shiga A tana buƙatar hanya ko mai zaɓin zirga-zirga da ke aika prefix ɗin 10.20.0.0/24 cikin tunel, kuma ƙofar shiga B tana buƙatar madubinsa. Bayan haka mashinan kowane gefe suna amfani da haɗin IP na yau da kullum kuma ba sa taɓa sanin akwai tunel. Wannan rashin gani shine fasalin, kuma shine dalilin da yasa gazawa ke kama da kurakuran cibiyar sadarwa na yau da kullum maimakon kurakuran tunel.

Na tushen manufa da na tushen hanya ba tunel ɗaya bane

A cikin turawar IPsec na tushen manufa, masu zaɓin zirga-zirgan da aka tattauna suna bayyana daidai waɗanne nau’ikan tushe da manufa ake kariya. Idan sabon ƙaramin cibiya ya bayyana bayan wata ƙofar shiga kuma babu mai zaɓi da ya rufe shi, tunel ɗin zai ci gaba da aiki kuma ba a ɗaukar sabon ƙaramin cibiyar. A cikin tsari na tushen hanya, wani mu’amala yana karɓar zirga-zirgar kuma teburin hanya ke yanke shawara, wanda ke sa ƙara prefix ya zama canjin hanya maimakon sake tattaunawar tunel.

StrongSwan yana nuna dukkan ra’ayoyin biyu kai tsaye, kuma karanta su tare shine hanyar gano wace ƙira kuka tura da gaske.

swanctl --list-sas
ip xfrm policy
ip -4 route show table all | grep -E '10\.(10|20)\.'

Jerin masu zaɓi da ya tsallake prefix ɗin da kuke buƙata yana bayanin gazawar ba tare da kama fakiti ba, kuma hanyar da ke nuna mu’amala mara kyau tana bayanin gazawar madubi a hanyar dawowa. Karanta duka biyu kafin sake tattauna komai, domin sabunta maɓalli ba zai ƙara mai zaɓin da ba ku taɓa daidaita shi ba.

Tsara adireshi kafin tunel

Yankunan da suka haɗu shine kuskuren tsari wanda ba za a iya gyara shi da daidaitawa ba. Idan duka wuraren biyu suna amfani da 192.168.1.0/24, mashin da ke buƙatar 192.168.1.50 yana da ’yan takara biyu kuma babu hanyar zaɓi. Tunel ɗin zai tabbatar da kansa, ƙungiyoyin tsaro za su kafu, kuma shawarar hanya za ta kasance ba daidai ba ko rashin tabbas duk da haka.

Zaɓi ɗaya daga cikin zaɓuɓɓuka uku na gaskiya: sake lambobi wani wuri, fassara yankin da ya haɗu a ƙofar shiga domin kowane gefe ya ga prefix daban, ko barin turawa kai tsaye ga waɗannan mashinan kuma buga sabis ɗin ta wata hanya. Kowanne yana da farashi, kuma na farko shine mafi arha a tsawon shekaru biyu. Yanke shawara kafin tunel ɗin ya kasance, domin daga baya canjin zai taɓa kowace na’ura da ke da tsohon adireshin.

Gyara tambayar MTU da wuri kuma. Tunel yana rage nauyin da ake amfani da shi, kuma tsarin da ya dogara da rarrabuwa yana yin daban da wanda ke ƙulla MSS a ƙofofin shiga.

Turawa da manufa suna wajen tunel

Ƙofar shiga dole ta yarda ta tura fakiti tsakanin mu’amalar tunel da mu’amalar LAN, kuma dukan hanyoyin biyu suna buƙatar manufar da ke ba da izinin sabis ɗin. A Linux waɗannan saituna biyu ne daban, tare da ka’idojin bangon wuta da ke yanke shawara ko an yarda da kwararar da aka tura kwata-kwata.

sysctl -w net.ipv4.ip_forward=1
iptables -A FORWARD -s 10.20.0.0/24 -d 10.10.0.0/24 -j ACCEPT
iptables -A FORWARD -s 10.10.0.0/24 -d 10.20.0.0/24 -j ACCEPT

Mashin da ke karɓa yana ƙara mataki na uku: bangon wutarsa dole har yanzu ya karɓi abokin ciniki daga ƙaramin cibiyar da ke nesa. Sabar fayil da ke ba da izini ga /24 ɗinta na gida kawai za ta ƙi zirga-zirgar da aka tura daga 10.20.0.7, komai lafiyar tunel ɗin, kuma ana iya karanta wannan ƙin a matsayin gazawar hanya.

Gwada daga mashin, ba daga ƙofar shiga ba

Ping da ƙofar shiga kanta ta aika na iya bin adireshin tushe daban da manufa daban fiye da zirga-zirgar mai amfani da aka tura. Wannan yana mai da shi gwaji mara ƙarfi kuma wani lokacin mai ruɗani: yana cin nasara yayin da aikace-aikacen ke gazawa, ko yana gazawa yayin da aikace-aikacen ke aiki.

ip route get 10.10.0.5 from 10.20.0.7
ping -I 10.20.0.7 10.10.0.5
curl -sv --max-time 5 http://files.10-10.internal/ -o /dev/null

Yi amfani da ainihin mashin, ainihin adireshin tushe da ainihin yarjejeniyar da aikace-aikacen ke amfani da ita. Sannan karanta hanyar dawowa daban, domin alkiblar gaba mai aiki ba tare da hanyar dawowa ba tana haifar da ƙarewar lokaci wanda yake kama da sabis da aka toshe.

Zaɓi tsarin bisa ga tambayar da kuke amsawa: kuna haɗa cibiyoyin sadarwa ne ko kuna karɓar na’urori? Duk sauran, har da wane mai bayarwa kuke daidaitawa, suna fitowa daga wannan amsar.