ਇੱਕ OpenVPN ਕਲਾਇੰਟ ਨੂੰ SSH ਨਾਲ ਦੂਜੇ ਤੱਕ ਪਹੁੰਚਣ ਦਿਓ, ਪੂਲ ਨਾ ਖੋਲ੍ਹ ਕੇ

ਇੱਕ ਕਲਾਇੰਟ ਨੂੰ ਦੂਜੇ ਕਲਾਇੰਟ ਦੀ SSH ਸੇਵਾ ਤੱਕ ਪਹੁੰਚਣਾ ਹੈ, ਅਤੇ ਪੂਲ ਦਾ ਬਾਕੀ ਹਿੱਸਾ ਅੱਜ ਜਿੰਨਾ ਵੱਖਰਾ ਹੈ ਓਨਾ ਹੀ ਰਹਿਣਾ ਚਾਹੀਦਾ ਹੈ। ਲੁਭਾਉਣ ਵਾਲਾ ਸਵਿੱਚ client-to-client ਹੈ, ਜੋ ਸਾਰਿਆਂ ਲਈ ਇੱਕੋ ਵੇਲੇ ਸਹਿਕਰਮੀ ਪਹੁੰਚ ਚਾਲੂ ਕਰ ਦਿੰਦਾ ਹੈ ਅਤੇ ਫੈਸਲਾ ਕਰਨਲ ਦੀ ਥਾਂ OpenVPN ਨੂੰ ਦੇ ਦਿੰਦਾ ਹੈ। ਵਧੇਰੇ ਸੀਮਤ ਜਵਾਬ ਉਹ ਸਵਿੱਚ ਬੰਦ ਰੱਖਦਾ ਹੈ ਅਤੇ ਸਰਵਰ ਦੀ ਆਪਣੀ ਰਾਊਟਿੰਗ ਤੇ ਫਾਇਰਵਾਲ ਨੂੰ ਠੀਕ ਇੱਕ ਪ੍ਰਵਾਹ ਚੁੱਕਣ ਦਿੰਦਾ ਹੈ।

ਤੰਤਰ ਨਿਯਮ ਦੇ ਪਾਠ ਨਾਲੋਂ ਵੱਧ ਮਾਅਨੇ ਰੱਖਦਾ ਹੈ, ਕਿਉਂਕਿ ਦੋਵੇਂ ਦ੍ਰਿਸ਼ਟੀਕੋਣ ਪੈਕਟ ਨੂੰ ਵੱਖਰੀਆਂ ਥਾਵਾਂ ਉੱਤੇ ਰੱਖਦੇ ਹਨ। ਇਹ ਜਾਣਨਾ ਕਿ ਤੁਸੀਂ ਕਿਹੜਾ ਚੁਣਿਆ, ਉਸ ਨਿਯਮ ਦੀ ਵੀ ਵਿਆਖਿਆ ਕਰਦਾ ਹੈ ਜੋ ਕੁਝ ਨਾ ਕਰਦਾ ਜਾਪਦਾ ਹੈ ਅਤੇ ਉਸ ਸਹਿਕਰਮੀ ਦੀ ਵੀ ਜੋ ਉਸ ਤੋਂ ਬਿਨਾਂ ਜੁੜਦਾ ਹੈ।

client-to-client ਪੈਕਟ ਨੂੰ ਕਿੱਥੇ ਲੈ ਜਾਂਦਾ ਹੈ

client-to-client ਚਾਲੂ ਹੋਣ ਉੱਤੇ ਸਰਵਰ ਸਹਿਕਰਮੀ ਦਾ ਪੈਕਟ ਟਨਲ ਡਿਵਾਈਸ ਤੋਂ ਬਾਹਰ ਭੇਜਣ ਦੀ ਥਾਂ ਅੰਦਰ ਹੀ ਅੱਗੇ ਭੇਜਦਾ ਹੈ, ਇਸ ਲਈ ਪੈਕਟ ਕਦੇ ਕਰਨਲ ਦੇ ਫਾਰਵਰਡਿੰਗ ਰਾਹ ਤੱਕ ਨਹੀਂ ਪਹੁੰਚਦਾ। ਇਹ ਸੁਵਿਧਾਜਨਕ ਹੈ ਅਤੇ ਇਸ ਦਾ ਮਤਲਬ ਇਹ ਵੀ ਹੈ ਕਿ ਤੁਹਾਡਾ ਫਾਇਰਵਾਲ ਉਹ ਪ੍ਰਵਾਹ ਕਦੇ ਨਹੀਂ ਦੇਖਦਾ ਜਿਸ ਦੀ ਉਸ ਨੇ ਨਿਗਰਾਨੀ ਕਰਨੀ ਚਾਹੀਦੀ ਹੈ। ਵਿਕਲਪ ਬੰਦ ਛੱਡੋ ਅਤੇ ਸਰਵਰ ਪੈਕਟ ਉਸੇ ਇੰਟਰਫੇਸ ਰਾਹੀਂ ਬਾਹਰ ਭੇਜਦਾ ਹੈ, ਜੋ ਇਸ ਨੂੰ netfilter ਦੇ ਸਾਹਮਣੇ ਰੱਖਦਾ ਹੈ। ਉਹੀ ਇੰਟਰਫੇਸ ਅੰਦਰ, ਉਹੀ ਬਾਹਰ, ਅਤੇ FORWARD ਜ਼ੰਜੀਰ ਦਾ ਬੋਲ ਹੈ।

ਅਦਲਾ-ਬਦਲੀ ਸਪੱਸ਼ਟ ਹੈ: ਤੁਸੀਂ ਇੱਕ ਨੀਤੀ ਬਿੰਦੂ ਪਾਉਂਦੇ ਹੋ ਅਤੇ ਉਹ ਰਾਊਟਿੰਗ ਤੇ ਫਾਰਵਰਡਿੰਗ ਆਪਣੇ ਜ਼ਿੰਮੇ ਲੈਂਦੇ ਹੋ ਜੋ ਸ਼ਾਰਟਕਟ ਤੁਹਾਡੇ ਲਈ ਕਰ ਰਿਹਾ ਸੀ। ਉਹ ਕੰਮ ਇੱਕ ਪ੍ਰਵਾਹ ਲਈ ਛੋਟਾ ਹੈ ਅਤੇ ਤੁਹਾਡੇ ਵੱਲੋਂ ਜੋੜੇ ਹਰ ਅਪਵਾਦ ਨਾਲ ਵਧਦਾ ਹੈ। ਅਪਵਾਦ ਹੁਣ ਗਿਣੋ, ਕਿਉਂਕਿ ਨਿਯਮ-ਸਮੂਹ ਹੀ ਉਹ ਥਾਂ ਹੈ ਜਿੱਥੇ ਸਹਿਕਰਮੀਆਂ ਵਿਚਕਾਰ ਨੀਤੀ ਸੱਚਮੁੱਚ ਰਹਿੰਦੀ ਹੈ।

ਉਹ ਰਾਹ ਜੋ ਸਹਿਕਰਮੀ ਦਾ ਪੈਕਟ ਸੱਚਮੁੱਚ ਲੈਂਦਾ ਹੈ

ਮੰਨ ਲਓ Linux Community OpenVPN 2.6 ਸੇਵਾ, DCO ਦੀ ਥਾਂ ਵਰਤੋਂਕਾਰ ਥਾਂ ਵਿੱਚ TUN ਪ੍ਰੋਸੈਸਿੰਗ, ਸਬਨੈਟ ਟੋਪੋਲੋਜੀ, tun0, ਅਤੇ 10.44.0.0/24 ਦਾ ਪੂਲ ਜਿਸ ਵਿੱਚ ਕਲਾਇੰਟ A 10.44.0.21 ਉੱਤੇ ਅਤੇ ਕਲਾਇੰਟ B 10.44.0.37 ਉੱਤੇ ਹੈ। ਸਬਨੈਟ ਟੋਪੋਲੋਜੀ ਵਿੱਚ A ਨੂੰ ਮਿਲਿਆ ਪਤਾ ਤੇ ਨੈਟਮਾਸਕ ਪਹਿਲਾਂ ਹੀ ਪੂਲ ਢਕਦੇ ਹਨ, ਇਸ ਲਈ A ਬਿਨਾਂ ਕਿਸੇ ਵਾਧੂ ਧੱਕੇ ਹੋਏ ਰਾਊਟ ਦੇ ਪੈਕਟ ਟਨਲ ਡਿਵਾਈਸ ਨੂੰ ਭੇਜਦਾ ਹੈ। A ਉੱਤੇ ਪ੍ਰਭਾਵੀ ਰਾਊਟ ਜਾਂਚੋ, ਮੰਨ ਨਾ ਲਓ।

ਸਰਵਰ ਉੱਤੇ ਪੈਕਟ B ਨੂੰ ਸੰਬੋਧਿਤ ਹੋ ਕੇ ਆਉਂਦਾ ਹੈ, ਜੋ ਸਥਾਨਕ ਪਤਾ ਨਹੀਂ, ਇਸ ਲਈ ਇਹ ਅੱਗੇ ਭੇਜਿਆ ਜਾਂਦਾ ਹੈ। ਇਹ ਹੋਣ ਲਈ IPv4 ਫਾਰਵਰਡਿੰਗ ਚਾਲੂ ਹੋਣੀ ਚਾਹੀਦੀ ਹੈ, ਅਤੇ ਰਾਊਟ ਖੋਜ ਨੇ ਪੈਕਟ ਵਾਪਸ tun0 ਰਾਹੀਂ ਬਾਹਰ ਭੇਜਣਾ ਚਾਹੀਦਾ ਹੈ। ਇਸ ਲਈ ਫਾਇਰਵਾਲ ਦੋਵੇਂ ਪਾਸੇ ਇੱਕੋ ਇੰਟਰਫੇਸ ਵਾਲਾ ਫਾਰਵਰਡ ਕੀਤਾ ਪ੍ਰਵਾਹ ਵੇਖਦਾ ਹੈ, ਅਤੇ ਇਹੀ ਉਹ ਬਾਰੀਕੀ ਹੈ ਜੋ ਬਹੁਤੇ ਨਿਯਮ-ਸਮੂਹ ਖੁੰਝਾ ਦਿੰਦੇ ਹਨ। ਇੱਥੇ ਸਰੋਤ ਅਨੁਵਾਦ ਦੀ ਲੋੜ ਨਹੀਂ, ਅਤੇ A ਦਾ ਪਤਾ ਅਛੂਤਾ ਰੱਖਣਾ ਹੀ B ਨੂੰ ਉਸ ਦਾ ਆਪਣਾ ਸਰੋਤ-ਆਧਾਰਿਤ ਨਿਯਮ ਲਾਗੂ ਕਰਨ ਦਿੰਦਾ ਹੈ।

ਸਰਵਰ ਉੱਤੇ ਦੋ ਨਿਯਮ, ਇਸੇ ਕ੍ਰਮ ਵਿੱਚ

ਤਿੰਨ ਨਿਯਮ ਪੂਰੀ ਇਜਾਜ਼ਤ ਚੁੱਕਦੇ ਹਨ: ਫਾਰਵਰਡਿੰਗ, ਜੋੜੀ ਦਾ ਅਪਵਾਦ, ਅਤੇ ਟਨਲ ਜੋੜੀ ਲਈ ਡਿਫਾਲਟ ਡਰਾਪ। ਪ੍ਰਵਾਨਗੀ ਨਿਯਮ ਜੋੜੀ ਤੇ ਸੇਵਾ ਦਾ ਨਾਂ ਲੈਂਦਾ ਹੈ, ਇਸ ਲਈ ਇਜਾਜ਼ਤ ਵਧਦੇ ਪੂਲ ਵਿੱਚ ਟਿਕੀ ਰਹਿੰਦੀ ਹੈ। ਇਸ ਨੂੰ ਟਨਲ-ਤੋਂ-ਟਨਲ ਟ੍ਰੈਫਿਕ ਦੀ ਕਿਸੇ ਵੀ ਵਿਆਪਕ ਨਾਂਹ ਤੋਂ ਪਹਿਲਾਂ ਰੱਖੋ, ਕਿਉਂਕਿ ਪਹਿਲੀ ਮੇਲ ਹੀ ਜਿੱਤਦੀ ਹੈ:

sysctl -w net.ipv4.ip_forward=1
iptables -A FORWARD -i tun0 -o tun0 -s 10.44.0.21 -d 10.44.0.37 -p tcp --dport 22 -j ACCEPT
iptables -A FORWARD -i tun0 -o tun0 -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
iptables -A FORWARD -i tun0 -o tun0 -j DROP

ਇਹ ਹੁਕਮ ਉਦਾਹਰਨ ਹਨ ਅਤੇ ਉਸੇ ਤੰਤਰ ਦੇ ਹਨ ਜੋ ਤੁਹਾਡਾ ਹੋਸਟ ਨਿਯਮ ਸੰਭਾਲਣ ਲਈ ਵਰਤਦਾ ਹੈ; ਚੱਲਦੇ ਸਮੇਂ ਪਾਇਆ ਨਿਯਮ ਅਗਲੀ ਬੂਟ ਉੱਤੇ ਗਾਇਬ ਹੋ ਜਾਂਦਾ ਹੈ। ਸਥਿਤੀ ਵਾਲਾ ਨਿਯਮ ਹੀ B ਦੇ ਜਵਾਬਾਂ ਅਤੇ TCP ਹੱਥ ਮਿਲਾਉਣ ਨੂੰ ਦੂਜੀ, ਪ੍ਰਤੀਬਿੰਬਤ ਪ੍ਰਵਾਨਗੀ ਤੋਂ ਬਿਨਾਂ ਵਾਪਸ ਆਉਣ ਦਿੰਦਾ ਹੈ।

ਬਾਅਦ ਵਿੱਚ ਨਿਯਮਾਂ ਦੀ ਸੂਚੀ ਨਹੀਂ, ਕਾਊਂਟਰ ਵੇਖੋ, ਕਿਉਂਕਿ ਜੋ ਨਿਯਮ ਕਦੇ ਨਹੀਂ ਮਿਲਦਾ ਉਹ ਕੰਮ ਕਰਨ ਵਾਲੇ ਵਰਗਾ ਹੀ ਦਿਸਦਾ ਹੈ। ਜੇ ਕਾਊਂਟਰ ਸਿਫ਼ਰ ਉੱਤੇ ਰਹਿਣ, ਪੈਕਟ ਉਹ ਰਾਹ ਨਹੀਂ ਲੈ ਰਿਹਾ ਜੋ ਤੁਸੀਂ ਸੋਚਦੇ ਹੋ।

B ਨੂੰ ਅਜੇ ਵੀ ਕੀ ਇਜਾਜ਼ਤ ਦੇਣੀ ਹੈ

B ਹੀ SSH ਸੇਵਾ ਚਲਾਉਂਦਾ ਹੈ, ਇਸ ਲਈ B ਤੈਅ ਕਰਦਾ ਹੈ ਕਿ ਟਨਲ ਪਤੇ ਉੱਤੇ ਕੁਝ ਸੁਣ ਰਿਹਾ ਹੈ ਜਾਂ ਨਹੀਂ ਅਤੇ ਉਸ ਦਾ ਆਪਣਾ ਹੋਸਟ ਫਾਇਰਵਾਲ ਸਰੋਤ ਪ੍ਰਵਾਨ ਕਰਦਾ ਹੈ ਜਾਂ ਨਹੀਂ। ਸਰਵਰ ਉੱਤੇ ਨੈੱਟਵਰਕ ਇਜਾਜ਼ਤ B ਦੇ ਕਿਸੇ ਵੀ ਖਾਤੇ ਲਈ ਇਜਾਜ਼ਤ ਨਹੀਂ, ਅਤੇ ਹੋਸਟ ਕੁੰਜੀ ਦੀ ਜਾਂਚ ਤੇ ਵਰਤੋਂਕਾਰ ਪਛਾਣ ਕਿਸੇ ਹੋਰ ਥਾਂ ਤੋਂ ਆਉਣ ਵਾਂਗ ਹੀ ਲਾਗੂ ਰਹਿੰਦੇ ਹਨ।

ਪਹਿਲਾਂ ਸਕਾਰਾਤਮਕ ਸਥਿਤੀ ਜਾਂਚੋ: A ਤੋਂ B ਦੇ ਟਨਲ ਪਤੇ ਤੱਕ ਨਵਾਂ SSH ਸੰਪਰਕ, ਉਮੀਦ ਕੀਤੀ ਹੋਸਟ ਕੁੰਜੀ ਨਾਲ ਪ੍ਰਵਾਨਿਤ। ਫਿਰ ਕੋਈ ਹੋਰ ਸਹਿਕਰਮੀ ਜਾਂ ਹੋਰ ਪੋਰਟ ਜਾਂਚੋ ਅਤੇ ਪੁਸ਼ਟੀ ਕਰੋ ਕਿ ਇਹ ਅਸਵੀਕਾਰ ਹੁੰਦਾ ਹੈ, ਕਿਉਂਕਿ ਚੁੱਪਚਾਪ ਸਭ ਕੁਝ ਇਜਾਜ਼ਤ ਦੇਣ ਵਾਲੀ ਇਜਾਜ਼ਤ ਕੰਮ ਕਰਨ ਵਾਲੀ ਤੋਂ ਉਦੋਂ ਤੱਕ ਵੱਖਰੀ ਨਹੀਂ ਦਿਸਦੀ ਜਦੋਂ ਤੱਕ ਗੱਲ ਮਹੱਤਵਪੂਰਨ ਨਾ ਹੋਵੇ। ਉਸ ਜਾਂਚ ਦੇ ਦੋਵੇਂ ਅੱਧ ਜ਼ਰੂਰੀ ਹਨ, ਅਤੇ ਦੂਜਾ ਉਹੀ ਹੈ ਜੋ ਲੋਕ ਛੱਡ ਦਿੰਦੇ ਹਨ।

ਦਿੱਤੇ ਗਏ ਪਤੇ, ਦੋਵੇਂ ਕਲਾਇੰਟਾਂ ਉੱਤੇ ਪ੍ਰਭਾਵੀ ਰਾਊਟ, ਅਤੇ ਸਰਵਰ ਤੇ B ਉੱਤੇ ਸਹੀ ਨਿਯਮ ਲਿਖ ਲਓ। ਗੇਟਵੇ ਤੱਕ ਸਫਲ ping ਜਾਂ ਸਰਵਰ ਉੱਤੇ ਖੁੱਲ੍ਹੀ ਪੋਰਟ ਇਹਨਾਂ ਵਿੱਚੋਂ ਕੁਝ ਵੀ ਸਾਬਤ ਨਹੀਂ ਕਰਦੀ, ਕਿਉਂਕਿ ਦੋਵੇਂ ਸੱਚ ਹੋ ਸਕਦੇ ਹਨ ਜਦੋਂ ਕਿ ਸਹਿਕਰਮੀਆਂ ਵਿਚਕਾਰ ਫਾਰਵਰਡਿੰਗ ਅਜੇ ਵੀ ਰੁਕੀ ਹੋਈ ਹੈ। ਉਹ ਸੰਖਿਆਵਾਂ ਟਨਲ ਉੱਪਰ ਹੁੰਦਿਆਂ ਲਿਖੋ, ਕਿਉਂਕਿ ਦੁਬਾਰਾ ਜੁੜਨ ਤੋਂ ਬਾਅਦ ਕਲਾਇੰਟ ਨੂੰ ਮਿਲਣ ਵਾਲਾ ਪਤਾ ਹੋਰ ਹੋ ਸਕਦਾ ਹੈ।