Тохирох VPN клиентийн хаягийн санг хэрхэн төлөвлөх вэ

VPN серверийн сангийн талбараас эхэл, хүснэгтээс биш. Тэнд бичсэн зүйл дараа холбогдох клиент бүрийн дотоод хаягийн орон зай болж, тэдгээр клиентүүд хүрэх LAN, түүний ард байгаа маршрутлагдсан сайтууд болон клиентийн гэрт аль хэдийн байгаа хаягтай зэрэгцэн орших ёстой. Сан хадгалагдмагц нэг клиентийг холбоно уу, учир нь тэр эхний холболт утга практикт ажиллаж байгаа эсэхийг хэлнэ. Тэндээс гарын авлага гадагш хөдөлнө: клиентийн авсан хаяг, хариу явдаг зам, таны үлдээх бичлэг.

Сангийн талбараас эхэл, ямар ч клиент холбогдохоос өмнө

Бүтээгдэхүүн бүр үүнийг өөрөөр харуулдаг тул хаяг үнэхээр хуваарилдаг объектыг ол. OpenVPN-д дараагийн чөлөөт хаягийг олгодог серверийн талын сангийн заавар байдаг, IKEv2 гарцанд түншийн тохиргоотой холбогдсон сангийн хэсэг байдаг, харин WireGuard-д аль нь ч байхгүй, учир нь түнш бүр өөрийн хаягийг өөрийн тохиргооны файлд авч явдаг. Сангийн заавар ба түнш тус бүрийн хаяг солилцох боломжгүй бөгөөд буруугийг засах нь гарын авлагын үлдсэнийг үрэгдүүлнэ.

Талбарыг авсны дараа аль хэдийн байгаа хүрээнүүдийг жагсаа: оффисын LAN, маршрутлагдсан сайт бүр, үүлэн VPC болон ашиглалтад байгаа бусад сан. Давхцалыг префиксийн арифметикаар шийддэг, хостын дугаарууд танил харагдаж байгаа эсэхээр биш, тиймээс агрегатыг тэдгээр хүрээ тус бүртэй харьцуул. Хоёулаа 10.x шиг харагдах хоёр хүрээ агрегатууд нь огтлолцохгүй үед хор хөнөөлгүй, огтлолцох үед дэмжлэгийн тохиолдол болно.

Дараа нь хаяг нь хэн холбогддог эсвэл хэзээ холбогддог функц мөн эсэхийг шийд. Динамик хуваарилалт чөлөөтэйг нь өгдөг бол иргэний үнэмлэхээр хуваарилах нь тогтмол хаягийг итгэмжлэлд холбодог. Сонголтыг бичиж үлдээ, учир нь энэ нь дараа дахин холбогдолт ямар байх ёстойг өөрчилнө.

Клиентийн үнэхээр авсан хаягийг унш

Нэг клиентийг холбоод сан амласныг биш, туннель мэдээлж байгааг унш. Клиент дотоод хаягаа холболтын төлөвт харуулдаг бөгөөд Linux дээр интерфэйс үүнийг шууд авч явдаг.

Тэр хаягийг хадгалсан хүрээтэй харьцуул. Хэрэв хүрээнээс гадуур бол та засаж байсангаас өөр хуваарилалтын зам харж байна. Префиксийн уртыг ч шалга, учир нь /32-той клиент холбоос дээр түншгүй бөгөөд очих газрыг бүр өөрийн өгөгдмөл маршрутаар илгээдэг.

ip -4 addr show tun0
ip route get 192.168.50.20

Мөн хүрээг ашигладаг гэрийн чиглүүлэгчээс холбогдсон клиент холбогдоод дараа нь бараг юунд ч хүрэхгүй. Клиент тухайн префиксийн локал маршрутаа хадгалдаг тул туннелийн хаяг ардах сүлжээтэй мөргөлдөж, урсгал буруу интерфэйсээр гардаг. Тэр тохиолдлыг сервер дээр засах боломжгүй; баримтжуулсан арга нь гэрийн сүлжээг дахин дугаарлах эсвэл мөргөлдөөн ховор байхын тулд хангалттай холд сангийн хүрээ сонгох юм. Алдаа болон аргыг хоёуланг нь тэмдэглэ, учир нь тусламжийн ширээ дахин тааралдана.

Тэр клиентийг дахин холбоод хаягийг ажигла. Динамик сан ижил утга эсвэл өөр утга буцааж болох бөгөөд хоёулаа зөв, харин хаягийг өөрчилдөг иргэний үнэмлэхээр сан холбоог сахихгүй. Тэр шалгалт хэдхэн секунд авч, эхний хэсэгт тэмдэглэсэн горим хүчин төгөлдөр горим мөн эсэхийг шийднэ.

Үйлчилгээнээс хариуг буцаж дага

Хариунууд түүн рүү буцаж аялж чадвал л сан ажиллана. LAN дахь үйлчилгээ дотоод хаягт хариулдаг тул түүний гарцанд санд зориулсан маршрут эсвэл үйлчилгээний өмнө хөрвүүлэлт хэрэгтэй. Хүсэлт туннелээр ирж, хариу өөр замаар гарвал төлөв хадгалдаг firewall эсвэл урвуу замын шалгалт үүнийг хаяж, клиент холбогдоод дараа нь дүүжлэгддэг үйлчилгээг хардаг. Хост бүрт маршрут нэмэхийн оронд санг чиглүүлэлтийн зураг төсөлд нэг нэгтгэж болох блок болгон тавь.

Хөрвүүлэлт системийн бусад хэсэг хардаг зүйлийг өөрчилдөг. Эх сурвалж дахин бичигдэхэд хост firewall болон аппликейшны лог дахь хаяг нь хөрвүүлэгдсэн хаяг болдог тул сангийн хаяг руу бичсэн дүрэм юунд ч таарахгүй, лог мөрийг клиент хүртэл мөрдөх боломжгүй. strongSwan-ы дамжуулалтын баримт бичиг IKEv2 гарцад зориулсан тэр замын серверийн талын хагасыг хамардаг. DNS мөн адил хязгаарлалттай, учир нь клиент хүрч чадахгүй хаяг руу шийдэгддэг нэр дараа болон өөр газар бүтэлгүйтдэг.

Хоёр клиент, дараа нь нэг цуцлалт

Нэгэн зэрэг хоёр клиентийг холбоод хоёр хаягийг унш. Тэд ялгаатай, ашиглах боломжтой, сангийн дотор байх ёстой бөгөөд тус бүр зориулагдсан үйлчилгээндээ хүрэх ёстой. Давхардсан хаяг өгдөг сан ихэвчлэн энд илэрдэг, эхний ганц клиентийн туршилтад биш.

Нөгөө клиент холбогдсон хэвээр байхад нэг итгэмжлэлийг цуцалж, дараа нь үлдсэн клиентээс үйлчилгээг турш. Нөгөө сессэд саад болох цуцлалт нь хуваалцсан төлөв рүү заадаг, ихэвчлэн нэг итгэмжлэл эсвэл төхөөрөмжүүдийн хооронд дахин ашиглагддаг нэг хаяг. Цуцлагдсан клиентийг дахин холбоод чөлөөлөгдсөн хаягийг өгөхийн оронд татгалзаж байгааг батал.

Татгалзах ёстой очих газартайгаар дуусга. Бүгдэд хүрдэг клиент холбогдсон, туршаагүй байна.

Дөрвөн утгыг дараагийн өөрчлөлт олох газарт бич

Бичлэг богино: сангийн хүрээ ба префикс, хуваарилалтын горим, буцах зам эсвэл ашиглагдаж буй хөрвүүлэлт, тэдгээр очих газарт хариулдаг DNS хамрах хүрээ. Үүнийг тасалбарын оронд серверийн тохиргооны хажууд тавьж, огноо тавь. Дараа нь дөрвийн нэгийг өөрчилсөн хүнд үлдсэн гурав нь нүдний өмнө хэрэгтэй, учир нь сангийн хэмжээний өөрчлөлт маршрутыг, маршрутын өөрчлөлт DNS-ийн хариуг эвддэг.

Үүнтэй хамт эзэмшлийн тэмдэглэлийг хадгал: туннелийн хүрээ VPN серверт хамаарна, LAN-ы DHCP хүрээнд хийсэн захиалга туннелийн доторх клиентэд юу ч захиалдаггүй. Тэр нэг мөр хамгийн түгээмэл дахин хийх ажлыг сэргийлнэ, хэн нэгэн захиалга нэмээд туннелийн хаяг түүнийг дагана гэж хүлээх үед.