Mataki na gaba a hanyar VPN: me ya sa dole ƙofar ta kasance ana iya samunta a gida

Hanya zuwa cibiyar VPN tana ɗaukar adireshi biyu waɗanda ke da sauƙin rikicewa: prefix ɗin manufa da fakitin ke ƙoƙarin isa gare shi da mataki na gaba da zai matsar da shi mataki ɗaya kusa. A kan na’urar LAN, wannan matakin na gaba dole ya zama na’urar da za ku iya isa gare ta a kan wannan hanyar. Adireshin VPN na nesa ba mataki na gaba ba ne, duk yadda ya yi daidai da manufar da kuke da ita a zuciya.

Wannan jagorar tana magana ne kan al’amarin da aka saba: kwamfutar tafi-da-gidanka a kan 192.168.20.0/24, ƙofar VPN mai adireshin LAN na 192.168.20.5, da cibiyar nesa 10.70.0.0/24 a bayan wannan ƙofar. Duk umarnin da ke ƙasa suna ɗauka cewa kana kan kwamfutar tafi-da-gidanka sai an faɗi akasin haka.

Adireshi biyu, hanya ɗaya

Shigarwar da ake nufi ita ce 10.70.0.0/24 via 192.168.20.5. Prefix ɗin yana faɗin inda fakitin ke zuwa; adireshin via yana faɗin wanda ke ɗauke shi zuwa can. Kernel ɗin yana ƙin saka hanyar da ba zai iya isa ƙofarta ta hanyar da ka ambata ba, kuma wannan ƙin shine dukkan ma’anar: mataki na gaba da ke buƙatar rami don a iya samunsa ba zai iya zama matakin na gaba da ke gina ramin ba.

Don haka binciken farko ba «ƙofar tana aiki» ba ne amma «ƙofar tana kan wannan hanyar». Dole subnet ɗin kwamfutar tafi-da-gidanka, shigarwar ARP ko maƙwabcinta, da hanyar da ke cikin hanya su yi daidai. Adireshin da ke wanzuwa kawai a cikin 10.70.0.0/24 zai iya zama manufar hanya ta biyu, amma ba zai taɓa zama via na farkon ba.

Abin da mataki na gaba ke wajabta wa ƙofar

Saka hanyar a kan kwamfutar tafi-da-gidanka yana ƙayyade juyawa ta farko kawai. Bayan haka ƙofar tana buƙatar hanyarta: a kunna turawa, hanyar rami don 10.70.0.0/24, da duk wata manufar shiga da ke ƙayyade wanda zai iya amfani da ita. A Linux wannan shine net.ipv4.ip_forward=1 tare da hanyar rami; bangon wuta da ke gabanta yana buƙatar ƙa’idar da ke ba da izinin kwararar da ake turawa.

Hanyar dawowa ita ce sashin da mutane ke mantawa. Dole gefen nesa ya sami hanyar dawowa zuwa 192.168.20.0/24, ko kuma tsarin ya fassara tushen kwamfutar tafi-da-gidanka zuwa wani abu da gefen nesa ya sani. Ping mai aiki daga ƙofar yana tabbatar da cewa ƙofar za ta iya isa cibiyar nesa; ba ya faɗin komai game da ko fakitin kwamfutar tafi-da-gidanka sun tsira daga tafiyar dawowa.

Tabbatar da binciken daga na’urar da ke aikawa

Tambayi kernel ɗin wane mataki na gaba zai zaɓa, sannan karanta hanyar da ke cikin amsar:

ip route get 10.70.0.10
ip route show 10.70.0.0/24
ip neigh show 192.168.20.5

Idan binciken ya ba da rahoton ƙofar da hanyar LAN, an saita ƙafar farko yadda ake so. Idan ya ba da rahoton na’urar rami, wani abu da ya gabata a cikin tebur ya fi takamaimai kuma yana cin nasara. Idan hanyar ba za ta saka kwata-kwata ba, kernel ɗin yana gaya muku cewa ba za a iya isa ƙofar ba, kuma wannan saƙon ya fi amfani fiye da kowane ɗaukar fakitin.

Sannan sake gwajin daga wurin da ya dace. Buƙatar da aka ƙirƙira a kan ƙofar tana amfani da adireshin tushen ƙofar kanta, wanda zai iya ɓoye hanyar dawowa da ta ɓace ko manufar da ke ba da izini ga wasu tushe kawai. Littafin ip-route yana raba manufa, ƙofa da sokewar onlink, kuma sokewar ta cancanci fahimta kafin ka yi amfani da ita.

Kada ka yi amfani da onlink don yin ƙarya game da isa

onlink yana gaya wa kernel ɗin ya tsallake binciken isa ga ƙofa sannan ya aika zuwa gare ta duk da haka. Ba ya ƙirƙirar hanya, ba ya warware ARP don adireshin da ba ya nan, kuma ba ya sa na’urar nesa ta amsa a kan sashin Ethernet ɗinka. Yana da halal ga ƙofofin da ke amsawa amma ba sa zama cikin subnet ɗin da aka haɗa, kuma tarko ne idan an yi amfani da shi don yin shiru da kuskuren da ba ka bayyana ba.

Idan hanyar tana saka ne kawai da onlink, tambaya ta gaba ita ce me ya sa ƙofar ba ta inda kake tsammani ba. VLAN mara kyau, adireshi na biyu a kan hanyar da ba ta dace ba, ko kuskuren rubutu a okteti na ƙarshe duk suna haifar da wannan, kuma kowannensu yana karya hanyar dawowa da zarar zirga-zirgar ya fara gudana.

Ramin aya-zuwa-aya ba Ethernet ba ne

Na’urar rami ba ta yin ARP kuma sau da yawa ba ta da subnet ɗin maƙwabta mai ma’ana. Hanyoyinta sau da yawa suna kama da 10.70.0.0/24 dev tun0, ba tare da kowane via ba, domin abokin aikin shine kawai wani ƙarshen. Kwafin via irin na LAN cikin wannan tebur yana haifar da hanyar da kernel zai iya ƙi ko, mafi muni, wacce ke nuna adireshin da abokin aikin ba zai taɓa amsawa ba.

Ka raba tsarin biyu a cikin jagorar: hanyar LAN tana da ƙofar da za a iya isa, hanyar rami tana da hanya da abokin aiki. WireGuard, OpenVPN da IPsec duk suna nuna siffofi daban-daban kaɗan, don haka rubuta siffar da ka yi amfani da ita a zahiri maimakon yin gama-gari daga na’ura ɗaya.

Ƙara, tabbatar, koma baya

Duk canjin umarni uku ne da bincike ɗaya, kuma ya kamata a rubuta shi cikin wannan tsari:

sudo ip route add 10.70.0.0/24 via 192.168.20.5
ip route get 10.70.0.10
ping -c 3 10.70.0.10
sudo ip route del 10.70.0.0/24 via 192.168.20.5

Tabbatar da hanyar, tabbatar da manufa ɗaya, sannan ka riƙe layin gogewa a shirye idan canjin ya sa na’urar ba za a iya isa ba ta hanyar da ba ka yi tsammani ba. Idan hanyar dole ta tsira daga sake kunnawa, saka ta cikin tsarin cibiyar sadarwar na’urar ba cikin bayanin shell ba, kuma gwada sake kunnawa kafin ka dogara da ita. Hanyar da ke wanzuwa kawai a cikin shell ɗin da ya ƙara ta ita ce hanyar da za ka gyara sau biyu.