pfSense-ийг VPN сервер ба клиент болгон: хоёр зам, нэг чиглүүлэгч

Нэг төхөөрөмж нэгэн зэрэг хоёр зүг рүү харж чадна: аялагч хэрэглэгчид дотогш холбогдож, мөн тэр хайрцаг сонгосон урсгал өөр сүлжээгээр гарахын тулд гадагш гарах нийлүүлэгчид холбогдоно. Хоёр үйлчилгээг асаах нь хэдэн минут л; тэднийг хамт амьдруулах нь зохион бүтээл шаарддаг, учир нь хоёр дахь үүрэг нь эхнийх нь тулгуурладаг маршрутын хүснэгтийг дахин бичдэг. Энэ зохион байгуулалт ажиллах эсэхийг гурван нөхцөл шийднэ, тухайлбал орж буй үйлчилгээ өөрийн буцах замаа хадгалж байгаа эсэх, гарч буй туннель өөрийн ханьдаа хүрч байгаа эсэх, дамжуулахаар төлөвлөсөн урсгал гарах замд сонгогдож байгаа эсэх. Нэгэнд нь алдвал хоёулаа холбогдсон гэж мэдээлдэг ч хооронд нь юу ч ашигтай нэвтрэхгүй хоёр туннель үүснэ. Доорх шалгалтууд нөхцөл бүрийг алдаа гардаг ердийн дарааллаар тогтооно.

Ямар ч тохиргоог хүрэхээс өмнө хоёр үүргийг нэрлэ

Хуулбар бүрт дөрвөн баримт бич: түүний алслагдсан хань, баталгаажуулалтын материал, түгээдэг хаягийн сан, түүний ард байгаа сүлжээнүүд. Хоёр хуулбар төхөөрөмж дээр тусдаа объект бөгөөд тэмдэглэлд ч тусдаа байх ёстой. Дараа гардаг бараг бүх будлиантай шинж тэмдэг нь тэдний утга холилдсоноос үүсдэг бөгөөд хоёр хуулбар нэг тэмдэглэлийн багцыг хуваалцвал буруу сан буруу талбарт ордог зам нь тэр.

Орж буй үйлчилгээнд гарч буй туннелийн хаягтай ч, төхөөрөмжийн чиглүүлдэг аливаа хувийн сүлжээтэй ч давхцахгүй туннелийн сүлжээ хэрэгтэй. Давхцал нь хоёр үүрэгт нэгэн зэрэг шинж тэмдэг үүсгэдэг цорын ганц алдаа бөгөөд цаасан дээр барих нь хамаагүй хямд. Аль нэг үйлчилгээг тохируулахаас өмнө хоёр саныг болон чиглүүлсэн хувийн сүлжээ бүрийг нэг дор харьцуул.

Хуваалцсан техник хэрэгсэл нь хуваалцсан нэвтрэх мэдээлэл гэсэн үг биш бөгөөд алсын хандалтын сангаас авсан клиентийн гэрчилгээ гарах нийлүүлэгчийн эсрэг ашиглагдах ёсгүй. Тусдаа материал нь цуцлалтыг бүх флотын үйл явдлын оронд орон нутгийн шийдвэр болгоно.

Серверийн хариуг WAN зам дээр бари

Төхөөрөмж өөрөө үүсгэдэг хариу нь хайхрамжгүй өгөгдмөл маршрутын анхны хохирол юм. Аялагч хэрэглэгчийн бүрхсэн пакет ирэхэд, хариу нь орон нутгийн гаралтай урсгал бөгөөд тэр хэрэглэгч орж ирсэн интерфейсээр гарах ёстой. Гарч буй клиент түүнийг барьдаг өгөгдмөл маршрут суулгасан бол хариу буруу туннельд орж, үйлчилгээ эрүүл харагдаж байх үед сесс зогсоно.

Үүнийг шийддэг ганц чагтлагч хайрцаг байхгүй, учир нь шийдвэр нь гарч буй клиент ямар урсгалыг барьж болох тухай. Нэг бол ямар ч маршрут татахгүй, сонгосноо л чиглүүл, эсвэл маршрут татаж төхөөрөмжийн өөрийн үйлчилгээг ажиллуулж байх үл хамаарах зүйлсийг нэм. Сонголтыг хуулбарын дэргэд бич, тэгэхгүй бол дараагийн хүн нөгөөг нь таамаглана.

netstat -rn | head -20
pfctl -sr | grep -i vpn
ifconfig | grep -A3 ovpn

Маршрутын хүснэгтийг хамгийн урт тохирлоор унш, ямар нэг зүйлийг тохируулсан дарааллаар биш. Асуулт нь гарах ханьийн хаягт аль бичлэг ялах, орж буй үйлчилгээний хариултад аль бичлэг ялах вэ гэдэг бөгөөд эдгээр хоёр хариу өөр байж болно.

Гарч буй туннельд өөрийн төгсгөлийн цэгийг идэхийг бүү зөвшөөр

Гарч буй клиент туннелийг огт байгуулахын тулд ханьийнхаа нийтийн хаягт хүрэх ёстой. Хэрэв тэр хаяг өөрөө туннель руу чиглүүлэгдвэл клиент өөрийн сүүлийг хөөнө: тээвэр хэзээ ч босохгүй, эсвэл босоод маршрут суурилагдсан мөчид унана. Лог нь маршрутын гэмтлээс илүү баталгаажуулалтын хугацаа дууссан мэт харагддаг, тиймээс маршрут эхний шалгалтад хүртэх ёстой.

Маршрутыг нэвтрэх мэдээллийн өмнө, туннель боссны дараа дахин шалга, учир нь бичлэг ачаалах үед зөв, минутын дараа буруу байж болно. Ханьийн хаяг ердийн WAN зам руу заах ёстой, хэзээ ч туннелийн төхөөрөмж рүү биш. Тээвэр тогтворжсоны дараа сонирхолтой асуулт дамжуулсан урсгал руу шилжинэ, энэ нь дараагийн шийдвэр.

netstat -rn | grep -F '198.51.100.10'
traceroute -n 198.51.100.10

Аль хэрэглэгчид гарах замыг авахыг сонго

Эх үүсвэрийн бодлого нь урсгал төхөөрөмжид ордог орох хаалганд хамаарна, тиймээс алсын хандалтын санг эсвэл түүний доторх нарийн таних тэмдгүүдийг сонго. Гарах зам руу хэзээ ч илгээх ёсгүй хувийн очих газрууд болон удирдлагын үл хамаарах зүйлсийг хадгал, тэдгээр дүрмийг өргөн дүрмийн өмнө тавь. Дараа нь гарах замд өөрийн орчуулга эсвэл чиглүүлсэн буцах зохион байгуулалт хэрэгтэй бөгөөд ихэнх зохион бүтээлд энэ нь санг хамарсан гарах интерфейс дээрх гарч буй NAT гэсэн үг. Орчуулга гарах замыг сонгодоггүй; энэ нь аль хэдийн гарсныг л дахин бичдэг, тиймээс хамааралгүй WAN дээрх NAT дүрэм сонголтод юу ч өөрчлөхгүй.

Алслагдсан тал энэ зохион бүтээлээс дамжуулсан урсгалыг зөвшөөрч байгааг батал, учир нь зарим нийлүүлэгч зөвшөөрдөг, зарим нь үгүй. Ялгаа нь холбогддог ч юу ч зөөдөггүй туннель хэлбэрээр харагдах бөгөөд үүнийг орон нутгийн гэмтэл гэж уншихад амар. Гурван урсгалыг тус тусад нь шалга, учир нь тэд бие даан бүтэлгүйтдэг бөгөөд гурвын хоёр нь хагас барьсан зохион бүтээл.

openvpn --config user07.ovpn
curl -sS https://ifconfig.me
curl --interface 10.10.10.1 -sS https://intranet.corp.example/health

Эхний команд бол аялагч хэрэглэгчийн гадаад холболт бөгөөд клиент эхлүүлэх дараалал дууссан гэж мэдээлэхэд ажиллана. Хоёр дахь нь тэр холбогдсон зөөврийн компьютерээс ажиллаж, таны WAN хаягын оронд гарах нийлүүлэгчийн хаягийг мэдээлэх ёстой. Гурав дахь нь төхөөрөмж дээр сангийн хаягт уягдсан ажиллаж, алслагдсан хэрэглэгчийг огт оролцуулалгүй дамжуулсан урсгалын эх үүсвэрийн бодлогыг шалгана. Хэрэв оронд нь WAN-аас хариулбал бодлого тохироогүй бөгөөд NAT засварын ямар ч хэмжээ сонголтын асуудлыг засдаггүй.

Гарах зам бүтэлгүйтэхэд юу болохыг шийд

Алдааны зан төлөвийг тохиолдохоос өмнө бич: гарч буй туннель унахад хэрэглэгчид ердийн WAN руу буцах уу, эсвэл гарах зам буцаж иртэл блоклогдох уу? Хоёр хариу хоёулаа хамгаалагдах боломжтой бөгөөд төхөөрөмж таны оронд сонгохгүй. Хасагдсан маршрут эсвэл үхсэн гарц руу заасан бодлого автоматаар бүрэн блоклолтын үр дүн үүсгэдэггүй. Хэрэв блоклолт хүсвэл бодлого үүнийг тодорхой хэлэх ёстой бөгөөд гарах замыг авч хасаж шалгах ёстой, түүний тухай бодох замаар биш. Хэрэв буцаалт хүсвэл үүнийг хэрэглэгчдэд зарла, учир нь чимээгүй ердийн замыг сонгосон урсгал нь хэн нэгэн халхлагдсан гэж бодсон яг тэр урсгал юм.

Клиентийн хуулбарыг идэвхгүй болгож, холбогдсон хэрэглэгч юунд хүрч байгааг хар, дараа нь дахин эхлүүл. Хугацаа дуусах хүсэлт нь таны хүссэн бүрэн блоклолтын үр дүн; WAN хаягаар хариулах хүсэлт нь таны баримтжуулаагүй буцаалт. IPv6 болон DNS-д шалгалтыг давтаж бич, учир нь IPv4-д зориулж бичсэн бодлого AAAA урсгалын тухай юу ч хэлдэггүй бөгөөд аль ч туннель түлхсэн резолвер асуулга үнэхээр гарч байгаа газраас хариулдаг.

pfSsh.php playback svc stop openvpn client 2
curl --max-time 6 -sS https://ifconfig.me
pfSsh.php playback svc start openvpn client 2

Netgate-ийн чиглүүлсэн OpenVPN жор эх үүсвэрийн бодлого, интерфейсийн хуваарилалт, гарч буй орчуулга хэрхэн нийцдэгийг харуулдаг бөгөөд түүний сайт хоорондын хамрах хүрээ нь бүхэлд нь хуулах ёсгүй хэсэг юм. Үүний хэлж чадахгүй зүйл бол дээрх гурван нөхцлийн алийг нь таны зохион бүтээл аль хэдийн зөрчсөн бэ гэдэг.