Shin da gaske zirga-zirgar ke bi ta VPN? Yadda za a tabbatar

Rashin nasara biyu suna kama da juna daga gunki a cikin tiren tsarin: zirga-zirgar da ke shiga ramin da zirga-zirgar da ke bi ta gefensa a hankali. Abokin ciniki yana nuna Connected a duka lokuta biyu, domin Connected yana nufin kawai cewa bawon ramin yana nan kuma abokin ciniki ya sanya hanyoyin da yake so. Shin fakiti ɗaya na manhaja ɗaya ya yi amfani da waɗannan hanyoyin tambaya ce dabam, wadda ake amsawa a wani wuri a cikin tudun. Ma'auni huɗu suna warware mafi yawansa — binciken hanya, tsalle ta farko, kamawa a kan adafta ta zahiri da lura daga waje — kuma kallon zaman uwar garke ya rufe sauran.

Fara da hanyar da fakitin zai bi

Teburin hanya shi ne shawarar, don haka tambaye shi game da wata manufa maimakon karanta duka da yin hasashe. A Linux, ip route get yana ambaton bawon da adireshin tushe da manhajar tsakiya ta zaɓa:

ip route get 203.0.113.10
ip route get 10.20.5.7

A Windows, Find-NetRoute -RemoteIPAddress 203.0.113.10 ya fi route print -4 amfani saboda wannan dalili: yana ba da rahoton hanyar da ta yi nasara, ba dukan hanyoyin da suke ba. Karanta teburin sau ɗaya don layinsa na 0.0.0.0. Kasancewar nau'in /1 a can yana nufin abokin ciniki na cikakken rami ya sake rubuta hanyar da aka saba: zaɓin redirect-gateway def1 na OpenVPN yana saka 0.0.0.0/1 da 128.0.0.0/1 ta cikin ramin, wanda ya fi 0.0.0.0/0 na yanzu ƙarfi a mafi tsayin daidaiton prefix ba tare da share hanyar zahiri ta asali ba. Shi ya sa hanyoyi biyu na asali za su iya kasancewa tare alhali komai na shiga rami.

Cikakkun abubuwa biyu suna sa teburin yin ƙarya. Na farko, duba prefix ɗin da ya dace ba adadin hanyoyin asali ba, domin ma'aunin bawon ko nau'in /1 ne ke tantance mai nasara. Na biyu, haɗin da ya riga ya wanzu yana riƙe da hanyar da aka kafa shi da ita; bayan ramin ya tashi, buɗaɗɗen zama na iya ci gaba da amfani da tsohuwar hanya har sai an sake saita shi, shi ya sa sake haɗawa yake kama da gyara matsalar hanya. Abokin ciniki mai gudana — ps ax | grep openvpn — yana tabbatar kawai cewa tsarin ya fara.

Bi suna na ciki da suna na waje

Binciken hanya yana nuna manufa; hanya tana nuna isarwa. Bi sunan da dole ya kasance na ciki da sunan da bai kamata ba, yayin da kake haɗe, ka kwatanta tsalle ta farko:

traceroute intranet.corp.example
traceroute 1.1.1.1

Tsalle ta farko ɗaya ga duka biyu yana nufin sunan ciki bai taɓa shiga ramin ba kuma kuskuren yana sama da shi, yawanci sunan da ke warwarewa zuwa adireshin waje ko hanyar da ba a taɓa saka ba. Idan zirga-zirgar ciki na fita ta 10.8.0.1 alhali na waje na fita ta 192.168.1.1, ramin da aka raba yana yin daidai abin da aka saita shi don yi. Hanyar da ta isa ƙofar VPN sannan ta dawo da lokutan ƙarewa kawai yawanci matsalar hanyar dawowa ce ko ta bangon wuta na uwar garke, ba hanyar turawa da ta ɓace ba.

ICMP da aka tace yana sa wannan duba ta yi ƙarya: taurari a duka hanyoyin biyu suna kama da mataccen rami kuma yawanci bangon wuta ne. Gwada tashar TCP inda za ka iya — traceroute -T -p 443 a Linux — kuma ka tuna hanyar ba ta faɗin wace manhajar warwarewa ta amsa: suna na iya warwarewa a gida kuma har yanzu ana iya isa gare shi ta rami.

Ka yi kamawa a kan adafta ta zahiri, ba a kan rami ba

Hanyar zahiri ita ce kawai wurin da ke nuna abin da cibiyar sadarwa take gani da gaske. Da ramin yana sama, zama zuwa ofis ya kamata ya bayyana a matsayin ɗaukar nauyi da aka rufa da sirri wanda aka yi wa uwar garken VPN adireshi, ba a matsayin haɗi zuwa 10.20.5.7 ba:

sudo tcpdump -ni eth0 udp port 53
sudo tcpdump -ni eth0 host 10.20.0.5

Tace ta farko tana kama warware suna da ke fita a gida, wanda shi ne mafi yawan yaɗuwa kuma mafi shiru — shafin yana lodawa duk da haka, mai warwarewa kawai ya ga tambayar. Tace ta biyu tana kama zirga-zirgar talakawa zuwa adireshin ciki wanda ya kamata ya kasance kawai cikin ramin. A Windows, pktmon yana yin aikin ɗaya ba tare da direba ba: pktmon filter add -p 53, sannan pktmon start --capture --pkt-size 128, sannan pktmon stop da pktmon format pktmon.etl -o capture.txt. Waɗannan tutoci suna ɗan bambanta tsakanin nau'ikan Windows, don haka duba pktmon filter add /? kafin ka amince da rubutun.

Ka yi kamawa a bawon zahiri don samun ɓarnar bayanai; kamawa a kan ramin tana ɗauke da fakitin da ka riga ka yarda suna can, kuma a kan uwar garke tana ɗauke da fakitin waje marasa karantawa waɗanda tushensu shine ƙofa. Ma'aunin byte a kowace bawon yana kwatanta fakiti, ba manhajoji ba; don danganta zirga-zirga da tsari ana buƙatar mai lura da ke haɗa soket da matakai.

Tambayi sabis na waje, sannan ka sake tambayarsa ga kowace manhaja

Duba ɗaya tilo da ke tabbatar da fita ita ce amsa daga waje: sabis da ke mayar da adireshin tushen da ya gani. Gudanar da shi daga harsashi, inda za ka iya zaɓar bawon, kuma gudanar da shi sau biyu:

sudo curl --interface tun0 https://example.net/ip
sudo curl --interface eth0 https://example.net/ip

Amsoshi dabam-dabam suna ba ka hujjar duka hanyoyin biyu da hanyar gwada takamaiman manhaja: ɗaure ta, ko gudanar da ita a cikin sararin suna na cibiyar sadarwa mai hanya ɗaya, ka ga wane adireshi ƙarshen nesa ya yi rijista. Amsoshi iri ɗaya su ne kuskuren mai ban sha'awa: ko ɗaurin bai yi tasiri ba, ko wani abu tsakanin mai masaukin da ƙarshen nesa yana sake rubuta adireshin tushe kafin ya iso. A Windows, curl --interface yana son adireshin adafta ba sunansa ba.

Burowza da ke ba da rahoton adireshin VPN yana tabbatar da burowzan. Abokin ciniki na wasiƙa, mai kula da fakiti, wakilin ajiya ko wani bayanin burowza na biyu kowanne na iya bin wata hanya dabam, musamman idan saitin wakili ko hanyar ramin da aka raba ya rufe ɗaya daga cikinsu. Canjin adireshi ba hujja ba ce da kanta cewa an yi ɓarna: mai daidaita nauyi na iya amsawa dabam dangane da fitar da ya gani, don haka kwatanta adireshin tushen da aka yi rijista, ba shafin ba.

Yi amfani da kallon uwar garke don tabbatar da takwaransa

Uwar garke tana amsa wata tambaya: shin takwaransa na haɗe, nawa ya ɗauka da shin zaman ya sake farawa. Takwaransa da ke aiki a uwar garke alhali ma'aunin abokin ciniki kaɗan ke motsi yana nufin zirga-zirgar manhajar baya shiga rami, duk abin da teburin abokin ciniki ya faɗa. Takwaransa da ke motsa bayanai da yawa ga mai amfani da ke cewa babu abin da ke aiki wata bincike ce dabam.

Tarko biyu suna nan. Ramin da aka rufe yana sa kowane kwarara ya bayyana kamar ya fito daga ƙofa, don haka bayanai da lissafin kowane abokin ciniki sukan taru a adireshi ɗaya. Kuma ana ɗaukar abokin ciniki a matsayin mai masauki na gida, don haka tambayar ko wani yana kwafin fayiloli ta VPN ana amsa ta da zirga-zirgar rabon fayil a uwar garke ko binciken mai masauki a uwar garke — kallon ramin yana ba da ƙarshen maki da girma, ba sunayen fayiloli ba.

Ka bambanta shawarar ƙira da ɓarna

Ba duk abin da ke wajen ramin ɓarna ba ne. Zirga-zirgar mahaɗin gida da watsa shirye-shirye suna zama na gida bisa ƙira, firinta da aka samu ta multicast tana ci gaba da sanarwa a LAN, kuma DHCP dole ya fita a gida. Manhajar da aka ɗaure ga takamaiman bawon tana ƙetare teburin hanya da gangan, kuma sai dai ƙa'idar bangon wuta, sararin suna ko hanyar manufa ne ke canja hakan.

IPv6 ya cancanci nasa layin a cikin jerin dubawa. Ramin da ke ɗauke da IPv4 kawai yana barin mai masauki mai ɗigo biyu da wata hanya mai amfani ta biyu, kuma manufar mai ɗigo biyu za ta fifita ta — har da DNS, idan ana iya isa mai warwarewa ta IPv6. Kashe IPv6 a kan adafta ko tabbatar da ramin yana ɗauke da shi kafin ka ɗauki sakamakon IPv4 a matsayin cikakke.

Lokacin da dubawa suka saɓa, saɓanin yawanci yana ambaton kuskuren:

Tsari da ke aiki: ajiye teburin hanya kafin da bayan haɗawa, bi suna na ciki da na waje, ka yi kama da DNS a kan adafta ta zahiri, mayar da adireshin fita daga harsashi ga takamaiman manhaja, sannan karanta uwar garke don girma. Idan huɗun na farko sun yarda, ramin yana ɗauke da abin da kake tsammani kuma sauran matsalar tana sama da shi. Idan biyu daga cikinsu sun saɓa, nau'in da ya saɓa shi ne kuskuren, ba gunki ba.