Me ya sa kwandon macvlan ba zai iya amsa wa abokin ciniki na VPN ba

Ka yi tunanin wani mai masaukin Linux da ke ƙare VPN kuma yana gudanar da kwando a kan hanyar sadarwar macvlan. LAN ita ce 192.168.60.0/24, kwandon yana riƙe da 192.168.60.210, kuma abokan ciniki na VPN suna zuwa daga 10.95.0.0/24. Abokin ciniki yana isa sabis ɗin, amsar ba ta sake dawowa, kuma kowace ka’idar wutar bango a kan mai masaukin tana kama da daidai. Ƙuntatawa biyu daban-daban suna haifar da wannan alamar, kuma gyara ɗaya yana barin ɗayan a wurinsa.

Ƙuntatawa biyu, alama ɗaya

Ƙuntatawa ta farko ita ce keɓewa: direban macvlan na Docker ba ya barin kwando ya yi magana da mai masaukinta ta hanyar haɗin iyaye. Sufuri tsakanin tarin mai masaukin da kwandon ba shi da hanya, ko yaya aka rubuta hanyoyin a kan mai masaukin.

Ƙuntatawa ta biyu ita ce hanyar dawowa. Ƙofar da aka saba wa kwandon yawanci ita ce na’urar LAN, don haka amsar da aka aika wa abokin ciniki na VPN tana fita ta wannan na’urar. Idan na’urar ba ta da hanya ta komawa wurin ajiyar VPN, ana watsar da amsar a wani wuri a tsakiya.

Waɗannan gazawa biyu suna kama da juna daga wurin abokin ciniki: buƙata da ta iso da amsa da ba ta zuwa. Suna buƙatar gyare-gyare daban-daban, kuma faffadan ka’idar masquerade na iya ɓoye wacce daga cikinsu har yanzu ta lalace. Shi ya sa gwajin farko ya zama ɗaukar hoton fakiti a gefen kwandon maimakon wani canjin wutar bango. Idan buƙatar ba ta taɓa bayyana a nan ba, ƙuntatawar keɓewa ce ke aiki.

Gina shim ɗin gefen mai masaukin, a taƙaice

Wani haɗi na biyu na macvlan a kan mai masaukin, wanda aka haɗa da iyaye ɗaya a yanayin gada, yana ba tarin mai masaukin nasa ainihi a wannan ɓangaren LAN. Ka tanadi masa adireshin da ba ya cikin ajiyar DHCP kuma ba ya cikin kewayon kwandon, sannan ka bi da kwandon kaɗai ta cikinsa.

ip link add macvlan-vpn link eth0 type macvlan mode bridge
ip address add 192.168.60.250/32 dev macvlan-vpn
ip link set macvlan-vpn up
ip route add 192.168.60.210/32 dev macvlan-vpn src 192.168.60.250

Umarni na farko yana ƙirƙirar haɗin a yanayin gada, wanda shi ne tsohon tsarin da aka rubuta wa wannan direba kuma yanayin da kake so don sufuri tsakanin mai masauki da kwando. Na biyu yana ba da /32 don adireshin kada ya yi karo da gaban LAN, na huɗu kuma yana aika adireshin kwandon kaɗai ta cikin shim ɗin.

Kada ka juya dukan LAN ta sabon haɗin. Hanyar da aka saba da ita tana nan yadda take, kuma hanyar mai masaukin da gangan take kunkuntu don kwando ɗaya ya sami hanya ba tare da sauran ɓangaren sun canza halinsu ba. Hanyar da aka saba zuwa shim ɗin wani tsari ne daban da sakamako daban. Ka riƙe ta da takamaiman, kuma faɗin ɓarna zai kasance ƙarami.

Waɗannan umarnin suna canza saitin hanyar sadarwa a kan mai masauki mai aiki. A kan na’ura ko dandali mai kulawa, yi amfani da hanyar daidaitawa da dandalin ke goyon baya, domin canjin da aka yi a cikin root-shell na iya rashin jure haɓɓakawa.

Yanke shawara yadda ake adana tushen

Da shim ɗin a wurin, kwandon zai iya isa ga mai masaukin, kuma tambayar ta zama wane adireshin tushe amsar ke ɗauka. Adana ainihin tushen VPN shi ne tsari mafi tsafta: kwandon yana ganin ainihin adireshin abokin ciniki, kuma bayanan sabis ɗin da ka’idojin shiga na iya amfani da shi.

Don wannan ya yi aiki, saitin hanyar sadarwar kwandon dole ne ya aika sufuri na 10.95.0.0/24 zuwa 192.168.60.250 a matsayin ƙofarsa don wannan hanya. Wannan saitin hanya ne ko ƙofa da aka goyon baya a cikin saitin kwandon kansa, ba dabarar gefen mai masauki ba. Ka tabbatar da shi daga cikin kwandon maimakon ɗauka cewa saitin ya yi tasiri. Ƙofar da aka saba wadda har yanzu take nuni ga na’urar LAN za ta ci gaba da aika amsoshi cikin rami ɗaya.

Idan tsarin da aka amince da shi yana ɓoye tushen VPN a maimakon haka, ka taƙaita fassarar: ainihin ajiyar VPN, shim ɗin a matsayin haɗin fita, da takamaiman kwando da sabis.

iptables -t nat -A POSTROUTING -s 10.95.0.0/24 -o macvlan-vpn -j SNAT --to-source 192.168.60.250

Ka daidaita shim ɗin a matsayin haɗin fita, ba ramin ba. Ka’idar da ta ambaci ramin a matsayin haɗin fita ba za ta dace da fakiti da ke zuwa wajen kwandon ba, kuma wannan ita ce kuskuren da irin wannan tsari yawanci ke ɗauka. Ka riƙe ka’idar da kunkuntu kamar jumlar da ke sama kuma ka sake duba ta idan ajiyar ta canza.

Ka tabbatar daga abokin ciniki, ba daga mai masauki ba

Buƙata daga mai masaukin kansa, wadda aka ɗaure da adireshin shim ɗin, tana tabbatar da cewa shim ɗin zai iya isa ga kwandon. Ba ta tabbatar da cewa kwandon zai iya mayar da sufuri zuwa tushen da aka adana na 10.95.0.x ba, domin adireshin tushe a wannan gwajin na shim ɗin ne.

curl -sS --interface 192.168.60.250 -o /dev/null -w '%{http_code}\n' http://192.168.60.210:8080/health
sudo tcpdump -ni macvlan-vpn host 192.168.60.210

Umarni na farko yana gwada ɓangaren daga mai masauki zuwa kwando, na biyu kuma yana nuna abin da ke wucewa ta shim ɗin yayin da ainihin abokin ciniki na VPN ke yin buƙatar. Ka duba adireshin tushe a hanyar shigowa da kuma ko amsa ta bayyana da wannan kwarara.

Dole ne a kunna turawa a kan mai masaukin, kuma hanyar turawa tana buƙatar izini ga ajiyar VPN zuwa shim ɗin a tashar sabis ɗin tare da amsoshin da aka kafa. Ka’idar INPUT a kan mai masaukin ba ta ba da izinin sufurin da aka tura ba, wanda shi ne sanadin da aka saba na watsar da fakitin bayan tafiyar hanya ta yi kama da daidai.

Ka gudanar da ainihin manhajar da ainihin shaidun shiga, sannan ka duba cewa wani sabis na biyu, mara alaƙa a kan kwando ɗaya har yanzu yana hana ka. Idan hanya ɗaya tilo da za a sa ya yi aiki ita ce buɗe kowace ka’idar turawa, tsarin bai kammala ba. Ka lura kuma wane adireshin tushe ne sabis ɗin ya yi rikodin, domin shi ne ka’idojin shigarsa za su yi amfani da shi daga yanzu.