Ինչպես պլանավորել VPN հաճախորդների հասցեների լողավազան, որը տեղավորվում է

Սկսեք VPN սերվերի լողավազանի դաշտից, ոչ թե աղյուսակից։ Այն, ինչ մուտքագրեք այնտեղ, դառնում է ներքին հասցեային տարածություն յուրաքանչյուր հաճախորդի համար, որը միանում է հետո, և այն պետք է գոյակցի այն LAN-ի հետ, որին հասնում են այդ հաճախորդները, դրա հետևում գտնվող երթուղավորված կայքերի և այն հասցեի հետ, որ հաճախորդն արդեն ունի տանը։ Միացրեք մեկ հաճախորդ լողավազանը պահելուց անմիջապես հետո, որովհետև այդ առաջին միացումը ձեզ ասում է՝ արժեքը գործում է գործնականում, թե ոչ։ Այնտեղից ուղեցույցը շարժվում է դեպի դուրս՝ հասցեն, որը ստացել է հաճախորդը, ուղին, որով անցնում է պատասխանը, և գրառումը, որը թողնում եք ձեր հետևից։

Սկսեք լողավազանի դաշտից, նախքան որևէ հաճախորդ կմիանա

Յուրաքանչյուր ապրանք դա ցույց է տալիս տարբեր կերպ, ուստի գտեք այն օբյեկտը, որն իրականում հասցեներ է հատկացնում։ OpenVPN-ն ունի սերվերի կողմի լողավազանի հրահանգ, որը տալիս է հաջորդ ազատ հասցեն, IKEv2 դարպասն ունի զուգընկերի կոնֆիգուրացիային կապված լողավազանի բաժին, իսկ WireGuard-ը չունի դրանցից ոչ մեկը, քանի որ յուրաքանչյուր զուգընկեր կրում է իր սեփական հասցեն իր կոնֆիգուրացիայի ֆայլում։ Լողավազանի հրահանգը և յուրաքանչյուր զուգընկերի հասցեն փոխարինելի չեն, և սխալի խմբագրումը վատնում է ուղեցույցի մնացած մասը։

Դաշտը ձեռք բերելուց հետո թվարկեք արդեն գոյություն ունեցող միջակայքերը՝ գրասենյակի LAN-ը, յուրաքանչյուր երթուղավորված կայք, ամպային VPC-ն և ցանկացած այլ լողավազան, որը դեռ ծառայության մեջ է։ Համընկնությունը որոշվում է նախածանցային թվաբանությամբ, ոչ թե նրանով, թե արդյոք հոսթի համարները ծանոթ են թվում, ուստի համեմատեք ագրեգատը այդ միջակայքերից յուրաքանչյուրի հետ։ Երկու միջակայք, որոնք երկուսն էլ նման են 10.x-ի, անվնաս են, երբ դրանց ագրեգատները չեն հատվում, և աջակցման դեպք, երբ հատվում են։

Ապա որոշեք՝ հասցեն ֆունկցիա է նրանից, թե ով է միանում, թե երբ են միանում։ Դինամիկ հատկացումը տալիս է այն, ինչ ազատ է, մինչդեռ ինքնության հիման վրա հատկացումը կապում է ֆիքսված հասցե հավատարմագրային տվյալներին։ Գրեք ընտրությունը, որովհետև այն փոխում է, թե ինչպիսին պետք է լինի վերամիացումը հետագայում։

Կարդացեք այն հասցեն, որը հաճախորդն իրականում ստացել է

Միացրեք մեկ հաճախորդ և կարդացեք, ինչ հաղորդում է թունելը, ոչ թե ինչ խոստացել էր լողավազանը։ Հաճախորդն իր ներքին հասցեն ցույց է տալիս միացման կարգավիճակում, իսկ Linux-ում ինտերֆեյսը կրում է այն ուղղակիորեն։

Համեմատեք այդ հասցեն ձեր պահած միջակայքի հետ։ Եթե այն միջակայքից դուրս է, դուք տեսնում եք հատկացման այլ ուղի, քան այն, ինչը խմբագրել եք։ Ստուգեք նաև նախածանցի երկարությունը, որովհետև /32 ունեցող հաճախորդը կապի վրա զուգընկեր չունի և յուրաքանչյուր նպատակ ուղարկում է իր լռելյայն երթուղով։

ip -4 addr show tun0
ip route get 192.168.50.20

Նույն միջակայքն օգտագործող տնային երթուղիչից միացող հաճախորդը կմիանա և հետո գրեթե ոչինչ չի հասնի։ Հաճախորդը պահպանում է այդ նախածանցի իր տեղական երթուղին, ուստի թունելի հասցեն բախվում է դրա հետևում գտնվող ցանցին և երթևեկությունը դուրս է գալիս սխալ ինտերֆեյսով։ Այդ դեպքը հնարավոր չէ վերանորոգել սերվերում. փաստագրված միջոցը տնային ցանցի վերահամարակալումն է կամ բավական հեռու լողավազանի միջակայք ընտրելը, որպեսզի բախումները հազվադեպ մնան։ Գրանցեք և՛ խափանումը, և՛ միջոցը, որովհետև օգնության սեղանը նորից կհանդիպի դրան։

Նորից միացրեք նույն հաճախորդին և հետևեք հասցեին։ Դինամիկ լողավազանը կարող է վերադարձնել նույն արժեքը կամ մեկ այլ, և երկուսն էլ ճիշտ են, մինչդեռ հասցեն փոխող ինքնության հիման վրա լողավազանը չի հարգում կապը։ Այդ ստուգումը տևում է վայրկյաններ և որոշում է՝ առաջին բաժնում գրանցած ռեժիմը գործող ռեժիմն է, թե ոչ։

Հետևեք պատասխանին հետադարձ ծառայությունից

Լողավազանը աշխատում է միայն այն ժամանակ, երբ պատասխանները կարող են հետ վերադառնալ դրան։ LAN-ի ծառայությունը պատասխանում է ներքին հասցեին, ուստի դրա դարպասին պետք է երթուղի լողավազանի համար կամ թարգմանություն ծառայության առջև։ Երբ հարցումը գալիս է թունելով, և պատասխանը դուրս է գալիս այլ ուղով, վիճակ պահող firewall-ը կամ հակադարձ ուղու ստուգումը գցում է այն, և հաճախորդը տեսնում է ծառայություն, որը միանում է և հետո կախվում։ Տեղադրեք լողավազանը երթուղավորման նախագծում որպես մեկ ամփոփելի բլոկ՝ յուրաքանչյուր հոսթի համար երթուղիներ ավելացնելու փոխարեն։

Թարգմանությունը փոխում է այն, ինչ տեսնում է համակարգի մնացած մասը։ Երբ աղբյուրը վերագրվում է, հոսթի firewall-ում և հավելվածի մատյանում եղած հասցեն թարգմանվածն է, ուստի լողավազանի հասցեի դեմ գրված կանոնը ոչնչի չի համապատասխանում, և մատյանի տողը հնարավոր չէ հետագծել մինչև հաճախորդ։ strongSwan-ի փոխանցման փաստաթղթերը ընդգրկում են այդ ուղու սերվերի կողմի կեսը IKEv2 դարպասի համար։ DNS-ը կրում է նույն սահմանափակումը, որովհետև այն անվանումը, որը լուծվում է հաճախորդի համար անհասանելի հասցեի, ձախողվում է ավելի ուշ և այլ տեղ։

Երկու հաճախորդ, ապա մեկ չեղարկում

Միացրեք երկու հաճախորդ միաժամանակ և կարդացեք երկու հասցեները։ Դրանք պետք է տարբեր լինեն, օգտագործելի և լողավազանի ներսում, և յուրաքանչյուրը պետք է հասնի այն ծառայությանը, որի համար նախատեսված է։ Կրկնակի հասցեներ տվող լողավազանը սովորաբար ի հայտ է գալիս այստեղ, ոչ թե առաջին մեկ հաճախորդի փորձարկման ժամանակ։

Չեղարկեք մեկ հավատարմագիր, մինչ մյուս հաճախորդը մնում է միացված, ապա փորձեք ծառայությունը ողջ մնացած հաճախորդից։ Մյուս նստաշրջանը խանգարող չեղարկումը մատնանշում է ընդհանուր վիճակ, ամենից հաճախ մեկ հավատարմագիր կամ մեկ հասցե, որը կրկին օգտագործվում է սարքերի միջև։ Նորից միացրեք չեղարկված հաճախորդին և հաստատեք, որ նրան մերժում են, այլ ոչ թե տալիս են ազատված հասցեն։

Ավարտեք մի նպատակով, որը պետք է մերժվի։ Այն հաճախորդը, որը հասնում է ամեն ինչի, միացվել է, ոչ թե փորձարկվել։

Գրեք չորս արժեքները այնտեղ, որտեղ հաջորդ փոփոխությունը կգտնի դրանք

Գրառումը կարճ է՝ լողավազանի միջակայքը և նախածանցը, հատկացման ռեժիմը, վերադարձի ուղին կամ օգտագործվող թարգմանությունը, և DNS ծավալը, որը պատասխանում է այդ նպատակների համար։ Դրեք այն սերվերի կոնֆիգուրացիայի կողքին, ոչ թե տոմսի մեջ, և ամսաթվեք այն։ Ով հետագայում փոխի չորսից մեկը, նրան պետք են մյուս երեքը իր առջև, որովհետև լողավազանի չափի փոփոխությունը կոտրում է երթուղին, իսկ երթուղու փոփոխությունը կոտրում է DNS պատասխանը։

Պահեք դրա հետ սեփականության գրառումը. թունելի միջակայքը պատկանում է VPN սերվերին, և LAN-ի DHCP ծավալում արված ամրագրումը ոչինչ չի ամրագրում թունելի ներսում գտնվող հաճախորդի համար։ Այդ մեկ տողը կանխում է ամենատարածված վերամշակումը, երբ ինչ-որ մեկը ավելացնում է ամրագրում և ակնկալում, որ թունելի հասցեն կհետևի դրան։