Fiti daban: tafkin VPN a kan usb0, zirga-zirgar ƙofa a kan eth0

Abokan ciniki suna haɗawa kuma suna tabbatar da kansu, sannan zirga-zirgarsu na fita ta hanyar haɗin sama marar kyau, domin hanya ta farko kawai a cikin na'urar ta ƙofar ce kanta. Maye gurbin wannan hanyar ta farko zai karya sabuntawar na'urar da kanta da hanyar shiga sarrafawa, don haka zaɓin dole ya fi «duk zirga-zirga» ƙunci. Siffar da za ta iya aiki ita ce ƙa'idar manufa da ta dogara kan adireshin tushen ciki na tafkin abokan ciniki, tana nunawa zuwa tebur na biyu na tafiyar da hanyoyi wanda ke da WAN ɗin madadin. Daga nan jerin dubawa ya shafi cikawa da halin gazawa, ba ƙa'idar kanta ba.

Tabbatar adireshin tushen ya tsaya har zuwa shawarar tafiyar da hanya

Ƙa'idar manufa da ta dace da kewayon tushe tana aiki ne kawai lokacin da fakitin har yanzu yana ɗauke da wannan tushen a lokacin bincike. Zirga-zirgar abokan ciniki da aka tura tana yin haka, muddin babu abin da ke sama ya sake rubuta shi kafin tafiyar da hanya. Zirga-zirgar da ƙofar kanta ke ƙirƙira ba ta yin haka, kuma wannan shine ainihin dalilin da ya sa hanyar farko ta ƙofar za ta iya kasancewa inda take.

Anan gwaje-gwajen gida suke yaudara. Gudanar da curl a kan ƙofar gudana ne da aka ƙirƙira a gida da adireshin ƙofar, don haka yana ɗaukar babban tebur kuma ba ya tabbatar da komai game da hanyar abokin ciniki. Gwada daga abokin ciniki da aka haɗa, ko ƙirƙiri zirga-zirga da tushen da ya ke cikin tafkin da gaske.

Fara da rubuta ainihin ƙima: prefix ɗin tafkin, haɗin tunnel ɗin da ke ɗauke da shi, adireshin WAN na biyu da mataki na gaba, da lambar teburin da kuke son amfani da ita. Share tsoffin ƙa'idoji daga kowane yunƙuri na baya kafin ƙara sababbi, domin ƙa'idojin da aka kwafa a fifiko daban-daban suna haifar da gazawa da suke kama da ta kwatsam.

Gina zaɓaɓɓen tebur wanda ya cika

Tebur ba hanya ta farko ce tare da aboki ba. Yana buƙatar isassun hanyoyi domin kowane bincike ya warware a cikinsa, har da hanyar da aka haɗa don yankin WAN don mataki na gaba ya isa. Don tafki na 10.77.0.0/24 a kan tun1, adireshin WAN na 203.0.113.20/24 tare da mataki na gaba 203.0.113.1, da tebur 600:

ip -4 route replace 203.0.113.0/24 dev usb0 src 203.0.113.20 table 600
ip -4 route replace 10.77.0.0/24 dev tun1 table 600
ip -4 route replace default via 203.0.113.1 dev usb0 table 600
ip -4 rule add priority 1500 from 10.77.0.0/24 lookup 600

Ƙa'idar tana zaune a fifiko ƙasa da duk wata ƙa'idar kama-duka da take akwai, don haka abokan cinikin da suka dace suna buga tebur 600 da farko kuma komai ya faɗi zuwa babban tebur. Bayanin ip-rule ya bayyana tsarin bincike mai tsari da tsarin zaɓe gaba ɗaya.

Sannan yi tunanin abin da teburin bai ƙunsa ba. Wurin da yake da hanya a babban tebur kawai, kamar yankin sarrafawa da ake iya isa ta eth0, ba za a same shi a tebur 600 ba kuma ba zai koma babban ba da zarar akwai hanyar farko a can. Idan waɗannan hanyoyin suna da muhimmanci, ƙara su a fili cikin zaɓaɓɓen tebur, wanda yawanci shine amsar da ta dace don teburin fitin VPN.

Ka riƙe zirga-zirgar mai saurare da kanta a wajen manufar

Mai sauraren OpenVPN yana da nasa haɗin waje, wanda ake ɗauka ta hanyar haɗin sama da abokin ciniki ya isa gare shi. Dole wannan zirga-zirgar ta riƙe hanyar dawowa da ta zo da ita, kuma babbar ƙa'ida da ta rufe adireshin jama'a na uwar garke ko dukan haɗin tunnel na iya ja shi cikin madadin tebur. Iyakance ƙa'idar ga tafkin ciki kuma ba wani abu ba.

Tacewar hanyar dawowa ta cancanci dubawa saboda wannan dalili. Lokacin da amsoshin zuwa ga abokan ciniki suka fita ta usb0 yayin da buƙatar ta zo ta wata hanyar haɗi, tsattsauran saitin rp_filter na iya jefar da fakitin da manufar tafiyar da hanya ke ɗauka a matsayin ingantacce. Duba ainihin ƙimar sysctl a kan duka haɗin biyu kafin ka yanke shawarar cewa ƙa'idar ta gaza.

Tsari ma yana da muhimmanci dangane da duk wani abu a cikin na'urar. Gada na Docker, VPN na biyu, da duk wasu ƙa'idoji da suka riga sun kasance daga hoton mai bayarwa duk suna ƙara fifiko, don haka karanta cikakken jerin ƙa'idoji maimakon ɗauka cewa fifiko 100 shi kaɗai ne.

Sa turawa da fassara su jitu da hanyar

Tafiyar da hanya tana zaɓar haɗin sama; ba ta ba da izinin turawa ba. Dole kernel ɗin ya kasance da turawar IPv4 a kunne, kuma dole bangon wuta ya karɓi alkiblar abokin ciniki zuwa WAN da zirga-zirgar dawowa. Madaidaicin tebur tare da sarkar FORWARD da ke jefar da gudana yana haifar da alama ɗaya da hanyar da ta ɓace, shi ya sa ake duba duka biyu a zagaye ɗaya.

Idan WAN na biyu ba zai tura tafki mai zaman kansa zuwa gare ku ba, fassara tushen a wannan fitin. Don haɗin da ke da adireshi mai canzawa, kunkuntar ƙa'idar masquerade da aka iyakance ga tafkin da haɗin ita ce zaɓin da aka saba:

iptables -t nat -A POSTROUTING -s 10.77.0.0/24 -o usb0 -j MASQUERADE

Iyaka ya fi manufa muhimmanci a nan. Ƙa'idar masquerade da ta dace da kowane haɗin fita za ta sake rubuta zirga-zirgar da ke fita ta eth0 yadda ya kamata, kuma hakan yana ɓoye kurakurai na tafiyar da hanya maimakon gyara su. Fassara tana gudana bayan shawarar tafiyar da hanya, don haka ba za ta taba gyara fakitin da aka aika zuwa haɗin sama marar kyau ba.

Nauyin tunnel ma yana buƙatar kulawa da zarar hanyoyin sun bambanta. Idan abokan ciniki suka yi yarjejeniyar babban TCP MSS kuma WAN ɗin madadin yana da ƙananan MTU ko tunnel a cikinsa, manyan ɓangarori suna tsayawa yayin da ƙanana ke aiki. Matsa MSS a hanyar turawa yana mai da hakan halin da ake iya tsammani maimakon tsayawa lokaci-lokaci.

Yanke shawara abin da zai faru idan usb0 ya ɓace

Tebur mara komai ba yanayin rufewa da gazawa ba ne. Idan hanyar da ta dace ta ɓace, bincike yana ci gaba zuwa ƙa'ida ta gaba, ya isa babban tebur kuma ya ɗauki hanyar farko ta eth0. Zirga-zirgar da ya kamata ta fita ta WAN na biyu tana fita a hankali ta na farko, wanda a cikin turawar da aka yi da manufa yawanci shine sakamakon da ba ka so.

Inda wannan koma baya ba shi da karɓuwa, ƙara bayyanannen hanyar ƙarshe a tebur 600, kamar hanyar farko ta blackhole, ko jefar da tafkin a cikin bangon wuta yayin da haɗin ke a kashe. Kowanne daga cikin zaɓuɓɓukan biyu shawara ce da za ka iya rubutawa; shiru ba haka ba ne.

Dorewa ita ce abu na ƙarshe. Duk wanda ya mallaki duka hanyoyin haɗin, ko manajan cibiyar sadarwa ne, ko rubutun mai aikawa, ko yanayin rayuwar haɗin, dole ya sake ƙirƙirar hanyoyin da ƙa'idar a kowane sake haɗawa ba tare da ƙara kwafi ba. Tabbatar da buƙata daga ainihin abokin ciniki da kuma buƙata daban daga ƙofar, tabbatar da fitin da aka gani a duka biyu, sannan cire WAN na biyu ka kalli wanne daga cikin sakamakon biyu da ka tsara zai faru da gaske. IPv6 yana buƙatar nasa tebur, ƙa'ida da fassara; ƙa'idar IPv4 da ke sama ba ta ce komai game da ita ba.