Hvernig á að skipuleggja VPN-biðlaraþyrpingu sem passar

Byrjaðu í þyrpingarreitnum á VPN-netþjóninum, ekki í töflureikni. Það sem þú slærð þar inn verður innra vistfangssvæði fyrir hvern biðlara sem tengist síðar, og það verður að geta verið til samhliða því LANi sem þessir biðlarar ná til, leiðbeindu staðsetningunum bak við það og hvaða vistfangi sem biðlarinn hefur þegar heima. Tengdu einn biðlara um leið og þyrpingin er vistuð, því fyrsta tengingin segir þér hvort gildið virki í reynd. Þaðan færist gangurinn út: vistfangið sem biðlarinn fékk, slóðin sem svar fer og skráningin sem þú skilur eftir.

Byrjaðu á þyrpingarreitnum, áður en nokkur biðlari tengist

Hver vara sýnir þetta á sinn hátt, svo finndu hlutinn sem úthlutar vistföngum í raun. OpenVPN hefur þyrpingarfyrirmæli á netþjónshlið sem úthlutar næsta lausa vistfangi, IKEv2-hlið hefur þyrpingarhluta sem er bundinn við stillingar jafningsins, og WireGuard hefur hvorugt því hver jafningi ber sitt eigið vistfang í stillingaskránni sinni. Þyrpingarfyrirmæli og vistfang hvers jafnings eru ekki skiptanleg, og að breyta því ranga eyðir restinni af ganginum.

Þegar þú hefur reitinn skaltu telja upp sviðin sem þegar eru til: skrifstofu-LANið, hverja leiðbeindu staðsetningu, VPC skýsins og hvaða aðra þyrpingu sem enn er í notkun. Skörun ræðst af forskeytareikningi, ekki af því hvort hýsitölurnar virðast kunnuglegar, svo berðu saman safnið við hvert þessara sviða. Tvö svið sem bæði líta út eins og 10.x eru meinlaus þegar söfn þeirra skerast ekki og atvik í þjónustuveri þegar þau skerast.

Ákveddu síðan hvort vistfangið sé fall af því hver tengist eða hvenær þeir tengjast. Kvikt úthlutunarkerfi úthlutar því sem er laust, en úthlutun eftir auðkenni bindur fast vistfang við skírteini. Skrifaðu valið niður, því það breytir því hvernig endurtenging á að líta út síðar.

Lestu vistfangið sem biðlarinn fékk í raun

Tengdu einn biðlara og lestu það sem göngin segja, ekki það sem þyrpingin lofaði. Biðlarinn sýnir innra vistfang sitt í stöðu tengingarinnar, og á Linux ber viðmótið það beint.

Berðu þetta vistfang saman við sviðið sem þú vistaðir. Ef það er utan sviðsins ertu að skoða aðra úthlutunarslóð en þá sem þú breyttir. Athugaðu líka lengd forskeytisins, því biðlari með /32 hefur engan jafningja á tengingunni og sendir hvert áfangastað í gegnum sjálfgefna leið sína.

ip -4 addr show tun0
ip route get 192.168.50.20

Biðlari sem tengist frá heimaleiði sem notar sama svið mun tengjast og ná síðan næstum engu. Biðlarinn heldur staðbundinni leið sinni fyrir þetta forskeyti, svo vistfang ganganna rekst á netið bak við það og umferð fer út um rangt viðmót. Þetta tilvik er ekki hægt að laga á netþjóninum; skjalfesta ráðið er að endurnúmera heimanetið eða velja þyrpingarsvið nógu fjarri svo árekstrar verði sjaldgæfir. Skráðu bæði bilunina og ráðið, því hjálparborðið mun hitta það aftur.

Tengdu sama biðlara aftur og fylgstu með vistfanginu. Kvilt þyrping getur skilað sama gildi eða öðru og bæði eru rétt, en þyrping eftir auðkenni sem breytir vistfanginu virðir ekki bindingu. Sú athugun tekur sekúndur og ræður því hvort hamurinn sem þú skráðir í fyrri hlutanum er hamurinn sem gildir.

Fylgdu svarinu til baka frá þjónustunni

Þyrpingin virkar aðeins þegar svör geta ferðast til baka til hennar. Þjónusta á LANinu svarar innra vistfanginu, svo hlið hennar þarf leið fyrir þyrpinguna eða þýðingu fyrir framan þjónustuna. Þegar beiðni kemur í gegnum göngin og svarið fer út aðra slóð, hendir stöðufylgjandi eldveggur eða öfug slóðarathugun því, og biðlarinn sér þjónustu sem tengist og stendur síðan. Settu þyrpinguna í leiðarskipulagið sem eitt samanteknanlegt blokk í stað þess að bæta við leiðum fyrir hvern hýsil.

Þýðing breytir því sem restin af kerfinu sér. Þegar upprunanum er umbreytt er vistfangið í eldvegg hýsilsins og í atburðaskrá forritsins hið þýdda, svo regla sem skrifuð er gegn vistfangi þyrpingarinnar passar við ekkert og ekki er hægt að rekja atburðaskrárlínu til biðlara. Skjöl strongSwan um áframsendingu ná yfir netþjónshlið þeirrar slóðar fyrir IKEv2-hlið. DNS ber sömu takmörkun, því nafn sem leystist í vistfang sem biðlarinn nær ekki bilast síðar og annars staðar.

Tveir biðlarar, síðan ein afturköllun

Tengdu tvo biðlara samtímis og lestu bæði vistföngin. Þau verða að vera aðskilin, nothæf og innan þyrpingarinnar, og hvort verður að ná þjónustunni sem það er ætlað fyrir. Þyrping sem úthlutar tvíteknum vistföngum kemur yfirleitt í ljós hér en ekki í fyrstu prófun með einum biðlara.

Afturkallaðu eitt skírteini á meðan hinn biðlarinn er áfram tengdur, prófaðu síðan þjónustuna frá biðlaranum sem lifir af. Afturköllun sem truflar hina setuna bendir til sameiginlegs ástands, oftast eins skírteinis eða eins vistfangs sem endurnýtt er milli tækja. Tengdu afturkallaða biðlarann aftur og staðfestu að honum sé synjað í stað þess að fá lausa vistfangið.

Endaðu á áfangastað sem á að synja. Biðlari sem nær öllu hefur verið tengdur, ekki prófaður.

Skrifaðu fjögur gildin þar sem næsta breyting finnur þau

Skráningin er stutt: þyrpingarsviðið og forskeytið, úthlutunarhamurinn, bakleiðin eða þýðingin sem er í notkun og DNS-umfangið sem svarar fyrir þessa áfangastaði. Settu hana við hlið netþjónsstillingarinnar í stað miða, og dagsettu hana. Hver sem breytir einu af fjórum síðar þarf hin þrjú fyrir sér, því stærðarbreyting þyrpingarinnar brýtur leiðina og leiðabreyting brýtur DNS-svarið.

Haltu eignarnótunni með: svið ganganna tilheyrir VPN-netþjóninum, og frátekt sem gerð er í DHCP-sviði LANsins frátekur ekkert fyrir biðlara inni í göngunum. Þessi eina lína kemur í veg fyrir algengustu endurvinnuna, þegar einhver bætir við frátekt og ætlast til að vistfang ganganna fylgi henni.