Wane adireshin tushe NGINX zai rubuta wa abokin ciniki na VPN?

Adiresoshin abokan ciniki guda uku suna bayyana a cikin tsarin NGINX da OpenVPN a kan uwar gida ɗaya, ɗaya ga kowace hanya da buƙata za ta iya bi. Mai bincike da ke isa adireshin tunnel, mai bincike da ke isa adireshin jama'a, da shirin da ke fita ta hanyar intanet ta ƙofar, duk suna bayyana daban a soket ɗin saurare. Yanke shawara kan hanyar da kake kallo kafin ka fassara layin log ɗin. Shawarar ta dogara ne kan inda abokin ciniki ya nufa, kan keɓancewar da yake da ita ga ƙarshen VPN na waje, da ko wani abu yana fassara fakiti a hanya.

Yanke shawara bisa inda aka nufa, ba bisa wanene mai amfani ba

Fara da adireshin da aka aika buƙatar zuwa gare shi, domin wannan adireshin ne ke zaɓar hanya. Buƙata zuwa adireshin tunnel na uwar gida tana isowa kan muƙaƙƙen tunnel ɗin da adireshin ciki na abokin ciniki a matsayin tushe. Buƙata zuwa adireshin jama'a na uwar gida yawanci tana isowa kan muƙaƙƙen da ke fuskantar intanet da adireshin jama'a na abokin ciniki, ko da kuwa wannan kwamfutar tafi-da-gidanka tana da tunnel da aka kafa a wannan lokacin. Don haka kasancewa cikin rukunin VPN ɗabi'a ce ta hanyar fakiti, ba ɗabi'ar da ke bin mai amfani ba.

Wannan layi na uku ne ya fi dacewa a fara dubawa sa'ad da mai amfani da VPN ya bayyana a log ɗin da adireshin da ba shi da alaƙa da tunnel. Har ila yau yana bayyana dalilin da ya sa masu amfani biyu a kan bayanin ɗaya za su iya samar da bayanai daban-daban: hanyoyin sadarwar su na shiga sun bambanta, kuma babu wani abu cikin tunnel ɗin da ke sake rubuta hakan.

Dalilin da ya sa ƙarshen waje ke ƙirƙirar hanya ta biyu ta jama'a

Dole abokin ciniki ya isa adireshin jama'a na ƙofar domin kafa tunnel ɗin, don haka dole hanyar zuwa wannan adireshin ta kasance a wajen tunnel ɗin. Sa'ad da abokin ciniki ya juya duk zirga-zirga zuwa ciki, ingantaccen aiwatarwa yana riƙe da takamaiman hanyar uwar gida zuwa adireshin jama'a na uwar gida domin guje wa tunnel da ke dogaro da kansa. Wannan keɓancewar ba ta keɓance ayyuka ba, don haka duk buƙata zuwa wannan adireshin jama'a tana biye da ita, har da buƙatar mai bincike zuwa wani rukunin yanar gizo da aka shirya a ƙofar.

Wannan shine injin da ke bayan mafi yawan rahotannin ruɗani a wannan fannin, kuma yana da alaƙa da aiwatarwar abokin ciniki maimakon uwar gida. Don haka abokan ciniki biyu masu bayanin da ya yi daidai za su iya yin daban. Cire keɓancewar don »gyara« log ɗin yana jawo tunnel ɗin ƙasa tare da shi, don haka riƙe shi ka tsara kewaye da shi.

Karanta soket ɗin, tebur ɗin da tsarin log ɗin tare

Abubuwan lura guda uku suna warware hanyar da kake kallo: inda soket ɗin ke saurare, wace muƙaƙƙa ce ke amsa inda aka nufa, da abin da tsarin log ɗin ke rubutawa da gaske. Idan mai saurare yana daure ne kawai ga adireshin tunnel, buƙatar jama'a ba za ta iya isa gare shi kwata-kwata ba, wanda ke kawar da layuka biyu nan take. Idan binciken abokin ciniki ya dawo da na'urar tunnel, buƙatar ta iso da tushen ciki kuma log ɗin ya kamata ya nuna hakan.

ss -lntp 'sport = :443'
ip route get 10.24.0.20
ip route get 192.0.2.44

Sannan karanta tsarin maimakon layin. Filin da aka ciyar da shi daga kanun labarai da aka tura yana rubuta da'awa, ba abokin soket ba, kuma da'awar tana da mahimmanci ne kawai sa'ad da abokin da ke kusa amintacce ne. Rubuta duka ƙimomin cikin log ɗin yana warware muhawara daga baya, domin abokin da ke kusa da adireshin da aka maye gurbinsa abubuwa ne daban-daban kuma ɗaya ne kawai daga cikinsu ya fito daga hanyar sadarwa.

log_format tunneled '$remote_addr $realip_remote_addr $request $status';
grep -n 'log_format' /etc/nginx/nginx.conf

Zaɓi wurin shiga da kake so ka sa DNS ya yarda

Idan rukunin yanar gizon ya kasance ta tunnel ne kawai, ba shi suna da ke warwarewa zuwa adireshin tunnel ga abokan ciniki na VPN kuma ka aiwatar da manufa a soket ɗin saurare. Amsar split-DNS da ke mayar da 10.24.0.1 ga sunan ciki shawara ce ta hanya a cikin rigar dalla-dalla na warware suna. Idan rukunin yanar gizon dole ya zama na jama'a kuma, riƙe sunaye biyu ko tashoshi biyu ka bar log ɗin ya gaya maka wanne ne ya yi hidimar buƙatar.

Dokokin izini suna bin wannan tunani ɗaya. Ba da izinin rukunin tunnel ba ya ba da izini ga buƙatar jama'a, kuma ba zai cika adireshin ciki a haɗin da ya iso ta intanet ba. Haɗa wuraren shiga biyu ƙarƙashin suna ɗaya yana mai da tushen da aka rubuta ya zama sakamakon hanyar abokin ciniki maimakon zaɓin ƙira.

Tabbatar da hanya, sannan manufa

Tabbatar da hanyar da ɗaukar hoto a ƙofar da buƙatar da kake sarrafawa. Ɗaukar hoto a na'urar tunnel da ɗaya a muƙaƙƙen jama'a suna nuna wanne ne ya ɗauki baiti, kuma tsarin fakiti yana gaya maka ko an yi fassarar a tsakanin su.

tcpdump -ni tun0 port 443 -c 5
tcpdump -ni eth0 port 443 -c 5

Sannan tabbatar da shiga ta ɓangarorin biyu: wurin shiga mai suna da aka nufa yana aiki ga abokin ciniki da aka nufa, kuma hanyar jama'a da ba a amince da ita ba a ƙi ta maimakon ta zama a hankali kawai. Wani rukunin yanar gizo na IP-echo na gama gari yana tabbatar da wani abu game da fitar ƙofar zuwa intanet kuma ba komai game da wannan rukunin yanar gizo a uwar gida ɗaya ba. Sa'ad da shafi da WebSocket suka saba, kwatanta URL ɗinsu, iyalan adireshinsu da amsoshin DNS kafin ka taɓa saitin uwar gida.