Hana abokan cinikin VPN samun juna a cikin rami

Abokan ciniki biyu na iya buɗe babbar hanyar tsalle kuma har yanzu ba su da wani aiki na buɗe juna. Samun sabis shawara ce ta turawa, yayin da samun takwaransa shawara ce ta manufa, kuma yawancin tarin VPN suna ajiye waɗannan a cikin abubuwa daban. Babu abin da ka saita na farko da ke tilasta na biyu. Don haka aikin ba ƙara doka ba ne, sai dai nemo abin da ke yanke hukunci kan zirga-zirgar takwarorinsu a wannan uwar garke, rubuta hanawa a can, sannan ka tabbatar da ita daga abokin ciniki.

Hanya zuwa haɗin gwiwar sabis ba izini ba ce tsakanin takwarorinsu

Sanar da ƙaramin cibiyar sadarwar abokan ciniki yana gaya wa takwaransa yadda za a saka fakiti a kan waya zuwa adireshin wani abokin ciniki. Ko za a isar da wannan fakitin an yanke shi daga baya, ta abin da ke tura shi. A kan ƙofar Linux wannan shine sarkar FORWARD; a cikin daemon na sararin mai amfani shine teburin zaman na ramin kansa. Hanya tana amsa isarsa kuma tana barin izini ba a taɓa shi ba.

Shi ya sa gwajin keɓewa da ke karanta hanyoyi kawai ba ya tabbatar da komai. Ana iya tura /24 ga kowane abokin ciniki yayin da ake jefa kowane fakiti tsakanin takwarorinsu a ƙugiyar turawa. Hali mai haɗari shine akasin: babu wata doka bayyananna, tsoho mai izini, da keɓewa da ke wanzu kawai saboda babu wanda ya gwada ta.

Rubuta buƙatar a layi ɗaya kafin ka buɗe tashar. Isa zuwa rukunin sabis da babbar hanyar tsalle, kada ka isa wani abu a cikin rukunin abokan ciniki.

Gano wanda a zahiri ke tura fakitin takwaransa

Habi'u biyu na uwar garke suna kama da juna daga gefen abokin ciniki kuma suna buƙatar dokoki daban-daban. Ko kwaya tana tura fakitin daga fuskar ramin sake, ko daemon yana kwafa shi tsakanin zama kuma kwaya ba ta gan shi.

WireGuard na cikin rukuni na farko: ba shi da maɓallin tsakanin takwarorinsu, don haka fakiti daga 10.8.0.4 zuwa 10.8.0.5 yana isowa a wg0, ya buga ƙugiyar turawa kuma an sake tura shi daga wg0 lokacin da AllowedIPs ya rufe duka adiresoshin. OpenVPN shine rukuni na biyu da zarar an saita client-to-client a cikin tsarin uwar garke, domin wannan umarni yana ba da fakitin tsakanin zama a sararin mai amfani. Bincika tsarin da aka ɗora don wannan umarni kafin ka rubuta komai. Dokar kwaya da ba ta taɓa ganin zirga-zirga ba ba za a iya bambanta ta da doka mai aiki ba, kuma haka ne turawa ta ƙare ba tare da wata keɓewa ba.

Karanta tsarin da ke aiki maimakon fayil ɗin da kake tsammanin an ɗora, domin fakitin rarraba suna kawo nasu haɗe-haɗe. Idan daemon yana turawa, hanawa tana cikin nasa sarrafawar kowane abokin ciniki, kuma bangon wuta na uwar garke yana tace zirga-zirgar da aka aika zuwa uwar garke kawai. Idan kwaya tana turawa, ƙugiyar turawa ce kawai wurin da ke da muhimmanci.

Turawar da aka yi wa hanya da fassara tana buƙatar ƙarin bincike ɗaya: tushen da abokin ciniki mai nisa ke gani bazai zama abin da kake tsammani ba. Sa'an nan dokar da ta dace da ƙaramin cibiyar abokan ciniki ba ta dace da komai. Rubuta adireshin da ya tsira daga fassarar kafin ka rubuta daidaituwar, kuma ka fifita daidaita ma'auratan fuska maimakon yin hasashen adiresoshin NAT.

Ba kowane adireshin ainihi da za a iya soke shi shi kaɗai

Keɓewa tana rushewa da zarar na'urori biyu sun raba shaida ɗaya. Dokar da aka ɗaure da wannan ainihi ba za ta iya raba su ba, kuma soke kwamfutar tafi-da-gidanka da ta ɓace yana soke dukan ƙungiyar. Takaddun shaida na kowace na'ura ko maɓallan kowane takwaransa suna barin sokewa a cikin gida da manufar a iya karantawa, domin kowane adireshin yana daidai da mutum ko na'ura ɗaya. Inda ƙira ba za ta iya yin haka ba, faɗa hakan a cikin littafin aiki maimakon kwatanta dokar a matsayin mai zurfi.

Rarraba adireshi dole ya yarda da manufar. Ajiye yanki don sabis, yanki don abokan ciniki, kuma ba da adiresoshin abokan ciniki daga tafki da kake sarrafawa maimakon kewayon wanda ya fara zuwa. Idan uwar garke tana fassara ko gada, riƙe teburin taswira kusa da tsarin, domin wannan tebur shine abin da mai karatu na gaba ke buƙata don sake fitar da dokar.

Sanya hanawa inda fakitin ke ƙetare ramin

A kan ƙofar da ke tura zirga-zirgar WireGuard, dokoki biyu suna rufe al'amarin: ba da izinin rukunin sabis, sannan a jefa sauran rukunin abokan ciniki. Ma'auratan fuska suna da muhimmanci kamar adiresoshin, domin daidaitawa a kan manufa kawai tana kama zirga-zirgar da ke zuwa daga LAN. Ɗora su a wannan tsari domin a fara tantance izini.

Da nftables ma'auratan suna shiga teburin inet filter da ke akwai, izini da farko sannan jefawa. Duk daidaitawar biyu suna liƙa ma'auratan fuska tare da adiresoshin.

nft add rule inet filter forward iifname "wg0" oifname "wg0" ip saddr 10.8.0.0/24 ip daddr 10.8.2.0/24 accept
nft add rule inet filter forward iifname "wg0" oifname "wg0" ip saddr 10.8.0.0/24 ip daddr 10.8.0.0/24 drop

Karanta sarkar baya bayan ɗorawa maimakon dogara da matsayin fita, kuma tabbatar da cewa dokokin biyu suna cikin tsarin da ka yi niyya. Ƙara dokokin ip6 masu dacewa don tafkin IPv6, in ba haka ba ma'auratan v4 kawai ado ne a kan ramin matakai biyu. Idan uwar garke tana da manufar turawa mai izini tuni, ƙara jefawa maimakon maye gurbin sarkar gaba ɗaya.

Lokacin da client-to-client ke kunne a kan OpenVPN, waɗannan dokokin turawa ba sa taɓa dacewa da zirga-zirgar takwarorinsu kuma hanawa dole ta kasance cikin sarrafawar daemon kanta. Riƙe dokokin kwaya don zirga-zirgar da aka aika zuwa uwar garke, amma kada ka lissafa su a matsayin sarrafawar keɓewa.

Tabbatar da hanawa daga abokin ciniki, ba daga uwar garke ba

Gwaji daga ƙofar ba ya tabbatar da komai, domin zirga-zirgar da aka ƙirƙira a gida tana ɗaukar hanyar fita kuma ba ta taɓa ƙetare ƙugiyar turawa ba. Yi amfani da abokan ciniki na gaske biyu: ɗaya wanda ya kamata ya isa sabis, ɗaya wanda ya kamata a ƙi. Fara gudanar da yanayin izini, domin kada a ɗauki ramin da ya lalace a matsayin manufar da ke aiki.

Daga abokin ciniki da aka ba izini, tabbatar da cewa sabis yana amsawa a tasharsa. Daga wannan abokin cinikin, gwada adireshin takwaransa kuma yi tsammanin jefawa a hankali maimakon ƙin:

ping -c 3 -W 2 10.8.0.5
nc -z -w 2 10.8.0.5 22
nft list chain inet filter forward
iptables -vnL FORWARD
ping -6 -c 3 -W 2 fd00:8::5

Fakitin da aka jefa da takwaransa da ba ya kan layi duk suna kama da ƙarewar lokaci, don haka duba ƙididdiga kafin ka yanke shawara. Tabbatar da cewa ƙididdigar dokar jefawa tana ƙaruwa yayin da takwaransa a bayyane yake a kunne. Maimaita a kan IPv6, inda rashin dokar ip6 ke barin hanawar v4 ta zama kamar tana aiki. Rubuta sakamakon da aka yarda da wanda aka ƙi a cikin littafin aiki tare da kwanan wata, domin ƙaura ta gaba za ta sake fitar da dokar.