Me ya sa LAN ɗinka ba ta iya isa sabis a kan abokin ciniki na VPN

Tunnel ɗinka yana aiki, sabis ɗin yana saurara, kuma LAN ɗin ofis ɗin har yanzu ba ta samun komai a dawowa. Babu wanda ya karya VPN ɗin. Daga ɓangaren LAN, adireshin tunnel ɗin kwamfutar tafi-da-gidanka ba ya wanzuwa har sai wani abu ya gaya wa LAN yadda za ta isa gare shi, kuma amsa dole ta dawo ta hanyar da buƙatar ta fita. Na ga mutane sun sake gina tunnel cikakke sau uku kafin wani ya kalli hanyar dawowa.

Ba tunnel ɗin ne ya lalace ba

Ƙarshen biyu suna zaune a kan jeri na sirri, wanda shi ne al’ada kuma ba kuskuren daidaitawa ba ne. Adireshi kamar 10.8.0.6 gaskiya ne a cikin tunnel kuma babu shi a ko’ina, don haka LAN ba ta da dalilin aika wani abu zuwa gare shi. Kafin ka taɓa rarraba hanya, tabbatar cewa ana iya samun sabis ɗin a cikin tunnel kwata-kwata: a kan abokin ciniki, ss -ltn yana nuna ko mai saurara yana ɗaure da 127.0.0.1, da ƙofar sadarwar LAN, ko adireshin tunnel. Daemon da aka ɗaure da loopback kawai ba ya amsa wa kowa sai kansa, kuma babu wata hanya, DNAT ko tura tashar da za ta canza hakan.

Wakili a tashar 80 ko 443 wani kayan aiki ne daban da wani gani dabam. Yana motsa buƙatu, ba fakiti ba, don haka shi ne layin da bai dace ba don haɗin bayanai na danye, kuma kama shi shi ne yadda wannan matsala ta ƙare nisa kayan aiki uku kafin wani ya auna komai.

Siffar hanya: gaya wa LAN inda tafkin yake

Hanya tsayayye a ƙofar LAN ita ce amsa mafi tsafta lokacin da LAN da tafkin tunnel ba su haɗu ba. Juya tafkin zuwa injin da yake ƙare tunnel ɗin:

ip route add 10.8.0.0/24 via 192.168.1.12
route add -p 10.8.0.0 mask 255.255.255.0 192.168.1.12   # Windows, persistent

Wannan yana gyara hanya ɗaya kawai, shi ya sa sassan wannan canji da ba su cika ba suna kama da ci gaba. Ƙasar tunnel tana buƙatar rabin da ya dace, in ba haka ba amsa ta bar abokin ciniki ta hanyar da ya saba da ita kuma ta mutu a hanya:

push "route 192.168.1.0 255.255.255.0"

Don ƙaramin cibiyar da ke bayan abokin ciniki ɗaya maimakon bayan uwar garke, uwar garken tana buƙatar duka hanyar tsarin da kuma shigarwar iroute a cikin fayil ɗin wannan abokin ciniki a ƙarƙashin client-config-dir. Ba tare da iroute ba OpenVPN ya san cewa prefix ɗin yana wanzu kuma ba shi da masaniyar wane abokin ciniki ya mallake shi: fakiti suna zuwa kuma daemon ba shi da abin da zai daidaita su da shi.

Ga tatsuniya da ta cancanci suna. Hanya tana sa adireshi ya isa; ba ta sa ɓangaren da ke gaba ya yarda ya amsa ba. Abokan hulɗa na rukunin yanar gizo suna ƙara wani layi a kai, domin ƙofar nesa tana karɓar tushe ne kawai a cikin prefix ɗin da ke cikin manufofinta, kuma kwamfutar tafi-da-gidanka da ta zo daga tafkin gida ba ta cikinsu.

Siffar NAT: DNAT zuwa ciki, da layin SNAT da kowa ke tsallakewa

Lokacin da ba za ka iya taɓa ƙofar LAN ba, ko kana son buga tashar guda ɗaya daidai, fassara a kan uwar garken VPN tana aiki ba tare da kowace hanya a kan LAN ba. Buga tashar, tura ta, kuma fassara tushen a kan hanya zuwa cikin tunnel:

iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 8080 -j DNAT --to-destination 10.8.0.6:3000
iptables -A FORWARD -i eth0 -o tun0 -p tcp -d 10.8.0.6 --dport 3000 -j ACCEPT
iptables -t nat -A POSTROUTING -o tun0 -d 10.8.0.6 -p tcp --dport 3000 -j SNAT --to-source 10.8.0.1

Layi na uku shi ne wanda yakan ɓace. Tsallake shi sai abokin ciniki ya ga adireshin LAN na asali a matsayin tushe, ya amsa ta hanyar da ya saba da ita, kuma wannan amsar ta nufi tunnel maimakon komawa zuwa LAN. Ko haɗin zai rayu ya dogara ne a kan rarraba hanyar da ba ka taba shiryawa ba. Da SNAT abokin ciniki yana ganin adireshin tunnel na uwar garke, don haka amsa tana bin tunnel ɗin zuwa ga uwar garken da za ta iya soke fassarar.

Firmware na mabukaci yana amfani da sunayen sarkar nasa kuma ba ya ƙirƙirar wannan fassarar a gare ka. A kan Tomato, dokar shigowa tana faɗawa cikin WANPREROUTING sannan cikin sarkar tacewa kamar wanin, kuma tsarin dokoki da ya yi kama da cikakke har yanzu yana buƙatar layin POSTROUTING na hannu. Wannan ba kuskuren firmware ba ne; tsarin dokoki ne da aka rubuta don zirga-zirgar shigowa kawai.

Me ya sa doka da ta yi kama da daidai har yanzu tana jefar da fakitin

Yawancin waɗannan gazawar ba su cikin dokar da kake kallo ba. Duba abubuwa huɗu a wannan tsari, kuma tsaya a kan na farko da bai tabbata ba:

• Tsarin sarkoki. iptables -I yana saka a sama kuma -A yana ƙarawa a ƙasa, don haka dokar izini ko hana da ta gabata ita ce ta farko ta yanke hukunci.
• Sarkar da ba daidai ba. Zirga-zirgar da aka nufa wa na’urar tasha kanta tana wucewa ta INPUT, kuma zirga-zirgar da aka tura gaba ba ta taɓa shi ba. Buga sabis ɗaya na iya buƙatar dokoki a duka biyun.
• Tutoci na alkibla. -i tun0 yana daidaitawa da zirga-zirgar da ke zuwa daga abokan ciniki kuma -o tun0 da zirga-zirgar da ke fita zuwa gare su. REJECT da tuta mara kyau yana hana wani abu da ba ka yi niyya ba.
• Ƙuntatawar tushe. Tura gaba da ke karɓar adireshin abokin ciniki ɗaya yana aiki daga wannan abokin ciniki kuma yana jefar da kowane tushe ba tare da wata kalma ba.

Doka da ma’aunin fakiti sifili ba ta cikin hanya kwata-kwata, kuma karanta ma’aunan ita ce hanya mafi sauri ta raba matsalar sarkar da ba daidai ba daga matsalar doka da ba daidai ba.

Tura gaba na gida, lokacin da babu abin da za a iya canzawa a kan LAN

Tura gaba na SSH na gida yana ƙetare dukan tambayar. Ba ya buƙatar hanya a kan LAN, ko haɗin kai daga Tacewar Wuta na abokin ciniki, ko tashar da aka buga a ko’ina:

ssh -N -f -L 3000:10.8.0.6:3000 user@vpn-host

Sai sabis ɗin ya bayyana a kan localhost:3000 na injin da ke riƙe tunnel ɗin, kuma babu wani wuri. Wannan ita ce iyaka: aiki ɗaya, tasha ɗaya, kuma tura gaban yana mutuwa tare da zaman sai wani abu ya sake farawa. Ga mai gudanarwa da ke duba bayanan matakin farko shi ne kayan aiki da ya dace. Ga kyamara ko na’urar daukar hoto da wasu mutane dole su isa, ba haka ba ne, domin kowane mai amfani zai buƙaci nasa tura gaban.

Duba duka alkiblolin kafin ƙara wata doka

Fassara tana barin alamu, kuma karanta su ya fi tsammani. A kan uwar garken VPN, conntrack -L yana nuna ko fassarar ta faru kwata-kwata, iptables -t nat -L -n -v yana nuna ko ma’aunan sun motsa, kuma tcpdump -ni any port 3000 yana nuna wane adireshin tushe ya zo da gaske. A kan abokin ciniki, ss -ltn yana tabbatar cewa mai saurara yana kan adireshin da tunnel zai iya isa.

Sa’an nan ka zaɓi siffar da za ka riƙe. Tasha ɗaya da aka buga, hanya don dukan tafkin, da tura gaba ga mai gudanarwa ɗaya, uku ne daban-daban alkawura, kuma haɗa su shi ne yadda tsarin da ke aiki ya zama wanda babu wanda zai iya bayyana shi bayan wata shida. Rubuta wane adireshi ake iya isa daga ina, kuma mutum na gaba da zai gyara wannan zai fara daga amsa maimakon tunnel.