Abokan cinikin VPN suna haɗuwa amma babu intanet: sassa uku da suka ɓace

Abokin ciniki yana samun adireshi, sabar tana amsa ping, kuma kowane shafi har yanzu yana ƙarewa. Yawancin mutane suna fara gyara bayanin abokin ciniki a wannan lokacin, wanda yawanci aikin banza ne: da zarar tunel ɗin ya tashi, sabar dole ta kasance kamar na’urar turawa. Sharudda uku dole su kasance a lokaci ɗaya kafin fakiti ya fita kuma amsa ta dawo, kuma alamar cutar ɗaya ce ko wanne ya ɓace.

Me ya sa tunel mai aiki har yanzu ba shi da hanyar fita

Kwakwalwar kwamfuta dole ta tura fakiti tsakanin mu’adilai, wanda a yawancin rarrabuwar Linux a kashe yake. Dole a fassara zirga-zirgar zuwa adireshin da duniyar waje za ta iya amsawa, sai dai idan kowane na’urar turawa ta sama ya riga ya san hanyar dawowa zuwa ƙaramin cibiyar sadarwar tunel. Hanyar turawa ta bangon wuta dole ta ba da izinin zirga-zirgar a duka biyu, ciki har da amsoshi.

Kowanne daga cikinsu ana iya gyara shi dabam, kuma nan ne tarko. Kunna turawa ba tare da dokar fassara ba yana barin fakiti suna fita da tushe na sirri kuma babu hanyar dawowa. Ƙara fassara ba tare da dokar turawa ba yana barin kwakwalwar ta jefar da fakitin mataki ɗaya daga baya.

Don haka gwada matakai uku maimakon abokin ciniki, kuma canza ɗaya a lokaci ɗaya domin sakamakon ya kasance da ma’ana.

Turawa wata maɓalli ce ta kwakwalwa da dole ka tabbatar da ita

Duba ƙimar da ake da ita kafin ka canza ta, sannan ka saita ta kuma ka tabbatar canjin ya yi tasiri.

sysctl net.ipv4.ip_forward
sysctl -w net.ipv4.ip_forward=1
sysctl net.ipv4.ip_forward

Umarni na farko yana bayar da ƙimar yanzu, na biyu yana saita ta a lokacin aiki, na uku kuma yana tabbatar da rubutun ya yi aiki. Ƙimar lokacin aiki tana ɓacewa a sake kunnawa na gaba, shi ya sa zaman da ke aiki zai iya lalacewa bayan kulawa ba tare da wani canjin tsari ba.

Ka mai da ita ta dindindin a cikin fayil a ƙarƙashin /etc/sysctl.d/, sannan ka yi amfani da wannan fayil maimakon sake kunnawa don ganowa. A FreeBSD makamancin shine net.inet.ip.forwarding, tare da gateway_enable=YES a cikin rc.conf don dorewa. Na’urar da ke bayar da rahoton an kashe turawa tana bayyana aji ɗaya na rahotannin «fakiti suna zuwa kuma babu abin da ke dawowa». Duba saitin bayan kowane ɗaukaka, domin kwakwalwar da aka sake ginawa ko hoton na’urar da aka musanya na iya sake saita shi ba tare da gaya wa kowa ba.

Zaɓi masquerade ko adireshin fassara ɗaya da aka ƙayyade

Da adireshin waje mai canzawa, masquerading ita ce hanya mafi sauƙi daidai. Ka ambaci ƙaramin cibiyar sadarwar tunel a matsayin tushe da mu’adilin waje a matsayin fita.

iptables -t nat -A POSTROUTING -s 10.9.0.0/24 -o eth0 -j MASQUERADE

Da adireshin jama’a na tsayayye, fassarar tushe zuwa wannan adireshin daidai ya fi hasashe kuma ya fi sauƙin dubawa.

iptables -t nat -A POSTROUTING -s 10.9.0.0/24 -j SNAT --to-source 198.51.100.10

Hanya ta biyu tana ɗauke da tarkon kulawa: adireshin da aka rubuta a jiki wanda daga baya ya canza yana ajiye tunel ɗin yana aiki yayin da hanyar intanet ta tsaya a shiru. Ko ka yi amfani da masquerade ko ka sabunta dokar duk lokacin da mai bayarwa ya motsa ka. Mu’adilin ma yana da muhimmanci, domin na’urar turawa da ke raba tunel ɗinta na sama dole ta fassara ta wannan tunel maimakon WAN ta zahiri.

Tebur ɗin tacewa ne ƙofar ta uku

Turawa da fassara duk na iya kasancewa daidai yayin da fakitin har yanzu yana mutuwa a tebur ɗin tacewa. ufw ya zama mai laifi akai-akai: ana ba da manufofin turawarsa a matsayin DROP, kuma sauran tsarin na iya zama daidai sosai yayin da wannan saiti ɗaya ke kashe zirga-zirgar. Ɗaga ta shawara ce ta tsaro da gangan ba akwatin zaɓi ba.

iptables -A FORWARD -i tun0 -o eth0 -j ACCEPT
iptables -A FORWARD -i eth0 -o tun0 -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT

Doka ta farko tana ba da izinin sabon zirga-zirga daga tunel zuwa waje, ta biyu kuma tana ba da amsoshi kawai a dawo. Ka taƙaita duka biyu zuwa ƙaramin cibiyar sadarwar tunel da inda aka nufa, domin yarda gama gari a mu’adilin tunel yana mai da VPN wurin fita buɗe ga duk wanda zai iya tabbatar da kansa.

Tunel ɗin gada yana buƙatar wata amsa dabam. Adireshin na gadar ne, ba na tashar jiki ba, don haka bautar da mu’adal ɗin yana cire adireshin da yake da shi a da kuma mai masaukai ya zama kamar ba a iya isa gare shi har sai gadar kanta ta sami ɗaya, wanda dhclient br0 zai iya bayarwa. Wannan gazawar tana kama da matsalar VPN kuma matsala ce ta mataki na biyu. Duba adireshin gadar kanta kafin ka taɓa bangon wuta, domin canjin tacewa ba zai iya gyara mai masaukai da ba shi da adireshin da zai aika daga gare shi kuma.

Inda za ka duba lokacin da shafi bai taɓa lodawa ba

Yi ping zuwa adireshin tunel ɗin sabar don tabbatar da tunel ɗin yana nan. Sannan ka gudanar da traceroute daga abokin ciniki zuwa adireshin jama’a kuma ka karanta inda ya tsaya: a sabar fakitin yana zuwa amma ba a tura shi ko fassara shi ba; bayan sabar matsalar tana sama kuma ta fita daga hannunka.

ping -c 3 10.9.0.1
traceroute -n 198.51.100.10

Umarni na farko yana tabbatar da tunel ɗin yana ɗaukar zirga-zirga zuwa sabar kanta, na biyu kuma yana nuna yadda fakitin ya isa waje. Wata alama da ta ƙare a adireshin tunel tana nuna turawa ko fassara a sabar, yayin da alamar da ta tsaya bayan tsalle ɗaya tana nuna mai bayarwa ko hanyar dawowa ta na’urar turawa ta sama.

A sabar, ka lura da mu’adilin waje yayin da abokin ciniki ke loda shafi. Zirga-zirgar da ke fita da adireshin tushe na sirri yana nufin fassara ta ɓace, kuma babu amsa kwata-kwata yana nufin hanyar turawa ko hanyar dawowa ta sama tana jefar da shi.

Idan abokan ciniki na nesa dole su isa ga masaukai a LAN ɗin sabar kuma, ka tuna cewa LAN tana buƙatar hanyar dawowa zuwa ƙaramin cibiyar sadarwar tunel. Wannan turawa ce ba fassara ba, kuma shine matakin da aka fi mantawa bayan hanyar intanet ta yi aiki a ƙarshe.