ਇੱਕ NIC ਜਾਂ ਦੋ? VPN ਸਰਵਰ ਦਾ ਇੰਟਰਫ਼ੇਸ ਲੇਆਉਟ ਤੈਅ ਕਰਨਾ

ਕਈ VPN ਸਰਵਰਾਂ ਲਈ ਇੱਕ ਭੌਤਿਕ ਐਡਾਪਟਰ ਕਾਫ਼ੀ ਹੈ, ਅਤੇ ਇਹ ਵੀ ਸਰਵ ਵਿਆਪਕ ਡਿਜ਼ਾਈਨ ਨਹੀਂ ਹੈ। ਐਨਕ੍ਰਿਪਟਿਡ ਕਨੈਕਸ਼ਨ ਉਸੇ ਐਡਾਪਟਰ 'ਤੇ ਆਉਂਦਾ ਹੈ, VPN ਪ੍ਰਕਿਰਿਆ ਉਸਨੂੰ ਡੀਕ੍ਰਿਪਟ ਕਰਦੀ ਹੈ, ਅਤੇ ਫਿਰ ਅੰਦਰੂਨੀ ਟ੍ਰੈਫ਼ਿਕ ਵਰਚੁਅਲ ਇੰਟਰਫ਼ੇਸ ਰਾਹੀਂ ਬਾਹਰ ਜਾਂਦਾ ਹੈ, ਸਥਾਨਕ ਸੇਵਾ ਜਾਂ ਰਾਊਟ ਕੀਤੇ LAN ਤੱਕ ਪਹੁੰਚਣ ਤੋਂ ਪਹਿਲਾਂ। ਇਹ ਕੰਮ ਕਰਦਾ ਹੈ ਜਾਂ ਨਹੀਂ, ਤਿੰਨ ਸ਼ਰਤਾਂ 'ਤੇ ਨਿਰਭਰ ਕਰਦਾ ਹੈ: ਮੰਜ਼ਿਲ ਕਿੱਥੇ ਹੈ, LAN ਕੋਲ ਕਲਾਇਟ ਪੂਲ ਤੱਕ ਵਾਪਸੀ ਦਾ ਰਾਹ ਹੈ ਜਾਂ ਨਹੀਂ, ਅਤੇ ਇੱਕ ਸਾਂਝਾ ਭੌਤਿਕ ਲਿੰਕ ਤੁਹਾਨੂੰ ਉਹ ਅਲੱਗਾਅ ਦਿੰਦਾ ਹੈ ਜਾਂ ਨਹੀਂ ਜਿਸ ਦਾ ਤੁਸੀਂ ਦਾਅਵਾ ਕਰਦੇ ਹੋ। ਇਹਨਾਂ ਤਿੰਨਾਂ ਦਾ ਜਵਾਬ ਦਿਓ, ਐਡਾਪਟਰਾਂ ਦੀ ਗਿਣਤੀ ਉਸੇ ਤੋਂ ਆਵੇਗੀ।

ਇਹ ਤੈਅ ਕਰਨ ਵਾਲੀਆਂ ਤਿੰਨ ਸ਼ਰਤਾਂ

ਪਹਿਲੀ ਸ਼ਰਤ ਮੰਜ਼ਿਲ ਹੈ। VPN ਹੋਸਟ 'ਤੇ ਹੀ ਚੱਲ ਰਹੀ ਸੇਵਾ ਤੱਕ ਸਿਰਫ਼ ਟਨਲ ਇੰਟਰਫ਼ੇਸ ਰਾਹੀਂ ਪਹੁੰਚਿਆ ਜਾਂਦਾ ਹੈ, ਜਦਕਿ LAN 'ਤੇ ਮੌਜੂਦ ਹੋਸਟ ਲਈ ਫ਼ਾਰਵਰਡਿੰਗ ਅਤੇ ਵਾਪਸੀ ਦਾ ਰਾਹ ਲੋੜੀਂਦਾ ਹੈ। ਦੂਜੀ ਸ਼ਰਤ ਉਹੋ ਵਾਪਸੀ ਦਾ ਰਾਹ ਹੈ, ਕਿਉਂਕਿ LAN ਡਿਵਾਈਸ ਨੂੰ ਪਤਾ ਹੋਣਾ ਚਾਹੀਦਾ ਹੈ ਕਿ ਕਲਾਇਟ ਪੂਲ ਤੱਕ ਕਿਵੇਂ ਪਹੁੰਚਣਾ ਹੈ, ਰਾਊਟ ਰਾਹੀਂ ਜਾਂ ਸਰਵਰ 'ਤੇ ਅਨੁਵਾਦ ਰਾਹੀਂ।

ਤੀਜੀ ਸ਼ਰਤ ਵੱਖਰਾਅ ਹੈ। ਇੱਕ ਐਡਾਪਟਰ ਦਾ ਮਤਲਬ ਹੈ ਕਿ ਹਰ ਪੈਕਟ, ਐਨਕ੍ਰਿਪਟਿਡ ਹੋਵੇ ਜਾਂ ਨਾ, ਇੱਕੋ ਲਿੰਕ ਅਤੇ ਆਮ ਤੌਰ 'ਤੇ ਇੱਕੋ ਨੀਤੀ ਚੇਨ ਸਾਂਝੀ ਕਰਦਾ ਹੈ, ਇਸ ਲਈ ਵੱਖਰੇ ਹਾਰਡਵੇਅਰ 'ਤੇ ਨਿਰਭਰ ਅਲੱਗਾਅ ਦਾ ਦਾਅਵਾ ਇੱਕ ਇੰਟਰਫ਼ੇਸ ਨਾਲ ਪੂਰਾ ਨਹੀਂ ਹੁੰਦਾ। ਇਹ ਰਾਹ ਬਾਰੇ ਤੱਥ ਹੈ, ਆਪਰੇਟਿੰਗ ਸਿਸਟਮ ਦੀ ਸੰਰਚਨਾ ਬਾਰੇ ਨਹੀਂ। ਤੁਸੀਂ ਟਨਲ ਦਾ ਟ੍ਰੈਫ਼ਿਕ ਫ਼ਿਲਟਰ ਕਰ ਸਕਦੇ ਹੋ, ਪਰ ਉਹ ਹੱਦ ਦਾਅਵਾ ਨਹੀਂ ਕਰ ਸਕਦੇ ਜੋ ਤੁਹਾਡੇ ਕੋਲ ਨਹੀਂ ਹੈ।

ਇਹਨਾਂ ਤਿੰਨਾਂ ਵਿੱਚੋਂ ਕੋਈ ਵੀ ਚੈਸਿਸ ਦੇ ਪੋਰਟਾਂ ਦੀ ਗਿਣਤੀ ਬਾਰੇ ਨਹੀਂ ਹੈ। ਇਹ ਰਾਊਟਿੰਗ, ਪਤਿਆਂ ਦੀ ਮਾਲਕੀ ਅਤੇ ਇਸ ਬਾਰੇ ਹਨ ਕਿ ਡਿਜ਼ਾਈਨ ਕਿੰਨਾ ਭੌਤਿਕ ਵੱਖਰਾਅ 'ਤੇ ਨਿਰਭਰ ਹੈ।

ਭੌਤਿਕ ਜ਼ੋਨ, ਵੱਖਰੇ ਅਪਲਿੰਕ, ਥ੍ਰੂਪੁਟ ਜਾਂ ਬੈਂਡ ਤੋਂ ਬਾਹਰ ਦਾ ਰਿਕਵਰੀ ਰਾਹ ਇਹਨਾਂ ਨੂੰ ਜਾਇਜ਼ ਠਹਿਰਾਉਂਦੇ ਹਨ ਤਾਂ ਦੋ ਐਡਾਪਟਰ ਵੀ ਜਾਇਜ਼ ਚੋਣ ਰਹਿੰਦੇ ਹਨ। ਇਹ ਠੋਸ ਲੋੜਾਂ ਹਨ, ਅਤੇ ਕਿਸੇ ਦੇ ਹਾਰਡਵੇਅਰ ਆਰਡਰ ਕਰਨ ਤੋਂ ਪਹਿਲਾਂ ਇਹਨਾਂ ਨੂੰ ਲਿਖਣਾ ਚਾਹੀਦਾ ਹੈ।

ਜਦੋਂ ਸੇਵਾ VPN ਹੋਸਟ 'ਤੇ ਚੱਲਦੀ ਹੈ

ਸਭ ਤੋਂ ਸਧਾਰਨ ਕੇਸ ਵਿੱਚ ਫ਼ਾਰਵਰਡਿੰਗ ਦੀ ਲੋੜ ਹੀ ਨਹੀਂ ਹੁੰਦੀ। ਡੈਮਨ ਟਨਲ ਇੰਟਰਫ਼ੇਸ 'ਤੇ ਕਲਾਇਟ ਦੇ ਪੈਕਟ ਲੈਂਦਾ ਹੈ ਅਤੇ ਉਹਨਾਂ ਨੂੰ ਸਥਾਨਕ ਸਾਕਟ ਤੱਕ ਪਹੁੰਚਾਉਂਦਾ ਹੈ, ਅਤੇ ਜਵਾਬ ਉਸੇ ਇੰਟਰਫ਼ੇਸ ਰਾਹੀਂ ਵਾਪਸ ਆਉਂਦਾ ਹੈ। ਹੋਸਟ ਦੇ ਨਜ਼ਰੀਏ ਤੋਂ ਕਲਾਇਟ ਪੂਲ ਦਾ ਪਤਾ ਅਸਲ ਸਥਾਨਕ ਪਤਾ ਹੈ।

ਦੋ ਗੱਲਾਂ ਫਿਰ ਵੀ ਸਹੀ ਹੋਣੀਆਂ ਚਾਹੀਦੀਆਂ ਹਨ: ਸੇਵਾ ਉਸ ਪਤੇ 'ਤੇ ਸੁਣਨੀ ਚਾਹੀਦੀ ਹੈ ਜਿੱਥੇ ਟਨਲ ਪਹੁੰਚ ਸਕੇ, ਅਤੇ ਹੋਸਟ ਦੇ ਫ਼ਾਇਰਵਾਲ ਨੂੰ ਟਨਲ ਇੰਟਰਫ਼ੇਸ 'ਤੇ ਆਉਂਦਾ ਟ੍ਰੈਫ਼ਿਕ ਸਵੀਕਾਰ ਕਰਨਾ ਚਾਹੀਦਾ ਹੈ। ਦੋਵੇਂ ਹੇਠਾਂ ਦਿੱਤੇ ਕਮਾਂਡਾਂ ਵਿੱਚ ਦਿਖਦੇ ਹਨ।

ss -lntup | grep -E "5432|8080"
ip -brief addr show
ip route get 10.8.0.6 from 10.8.0.1

ਸੇਵਾ ਨੂੰ ਸਿਰਫ਼ ਜਨਤਕ ਪਤੇ 'ਤੇ ਬੰਨ੍ਹਣਾ, ਜਾਂ ਗਲਤੀ ਨਾਲ ਟਨਲ ਇੰਟਰਫ਼ੇਸ ਫ਼ਿਲਟਰ ਕਰਨਾ, ਅਜਿਹਾ ਕਨੈਕਸ਼ਨ ਬਣਾਉਂਦਾ ਹੈ ਜੋ ਹੋਸਟ ਤੱਕ ਪਹੁੰਚ ਕੇ ਫਿਰ ਮਰ ਜਾਂਦਾ ਹੈ। ਇਹ VPN ਖ਼ਰਾਬੀ ਵਾਂਗ ਦਿਸਦਾ ਹੈ ਅਤੇ ਆਮ ਤੌਰ 'ਤੇ ਸਾਕਟ ਜਾਂ ਫ਼ਾਇਰਵਾਲ ਦਾ ਫ਼ੈਸਲਾ ਹੁੰਦਾ ਹੈ।

ਜਦੋਂ ਮੰਜ਼ਿਲ LAN 'ਤੇ ਹੋਵੇ

ਇੱਥੇ ਹੀ ਇੱਕ ਐਡਾਪਟਰ ਵਾਲਾ ਡਿਜ਼ਾਈਨ ਔਖਾ ਹੋਣ ਦੀ ਪਛਾਣ ਪਾਉਂਦਾ ਹੈ। ਸਰਵਰ ਨੂੰ ਕਲਾਇਟ ਦੇ ਪੈਕਟ LAN ਵੱਲ ਫ਼ਾਰਵਰਡ ਕਰਨੇ ਪੈਂਦੇ ਹਨ, ਅਤੇ LAN ਡਿਵਾਈਸ ਨੂੰ ਜਵਾਬ ਕਲਾਇਟ ਪੂਲ ਵੱਲ ਵਾਪਸ ਭੇਜਣੇ ਪੈਂਦੇ ਹਨ। ਜਾਂ ਤੁਸੀਂ ਉਹ ਪੂਲ LAN 'ਤੇ ਰਾਊਟ ਵਜੋਂ ਲੈ ਕੇ ਚੱਲੋ, ਜਾਂ ਸਰਵਰ 'ਤੇ ਸਰੋਤ ਪਤਾ ਅਨੁਵਾਦ ਕਰੋ ਤਾਂ ਜੋ ਜਵਾਬ ਸਰਵਰ ਕੋਲ ਹੀ ਵਾਪਸ ਆਉਣ।

ਦੋਵੇਂ ਜਵਾਬ ਜਾਇਜ਼ ਹਨ ਅਤੇ ਦੋਵੇਂ ਵੱਖਰੇ ਤਰੀਕੇ ਨਾਲ ਫੇਲ੍ਹ ਹੁੰਦੇ ਹਨ। ਵਾਪਸੀ ਰਾਊਟ ਅਸਲ ਕਲਾਇਟ ਪਤਾ ਮੰਜ਼ਿਲ ਨੂੰ ਦਿਸਦਾ ਰੱਖਦਾ ਹੈ, ਜੋ ਲਾਗ ਲਈ ਚੰਗਾ ਅਤੇ LAN ਪਤੇ ਮੰਨਣ ਵਾਲੇ ਫ਼ਾਇਰਵਾਲ ਨਿਯਮਾਂ ਲਈ ਮਾੜਾ ਹੈ। ਅਨੁਵਾਦ LAN ਨੂੰ ਸਧਾਰਨ ਰੱਖਦਾ ਹੈ ਅਤੇ ਮੰਜ਼ਿਲ ਤੋਂ ਕਲਾਇਟ ਦੀ ਪਛਾਣ ਲੁਕਾਉਂਦਾ ਹੈ।

sysctl net.ipv4.ip_forward
nft list ruleset | grep -A4 'chain forward'
ip route show table main | grep 10.8.0

ਅਸਮਮਿਤ ਰਾਹ ਇਸ ਦਾ ਆਮ ਲੱਛਣ ਹੈ: ਕਲਾਇਟ ਦੀ ਬੇਨਤੀ ਪਹੁੰਚਦੀ ਹੈ, ਜਵਾਬ ਕਿਸੇ ਹੋਰ ਰਾਊਟਰ ਰਾਹੀਂ ਬਾਹਰ ਜਾਂਦਾ ਹੈ, ਅਤੇ ਕਨੈਕਸ਼ਨ ਦੋਵੇਂ ਸਿਰਿਆਂ 'ਤੇ ਬਿਨਾਂ ਕਿਸੇ ਗਲਤੀ ਦੇ ਸਮਾਂ ਸਮਾਪਤ ਹੋ ਕੇ ਰੁਕ ਜਾਂਦਾ ਹੈ। ਟਨਲ ਬਾਰੇ ਕੋਈ ਸਿੱਟਾ ਕੱਢਣ ਤੋਂ ਪਹਿਲਾਂ ਦੋਵੇਂ ਪਾਸਿਆਂ ਤੋਂ ਕੈਪਚਰ ਕਰੋ।

alias ਦੂਜਾ ਜ਼ੋਨ ਕਿਉਂ ਨਹੀਂ ਬਣਾਉਂਦਾ

ਉਸੇ ਐਡਾਪਟਰ 'ਤੇ ਦੂਜਾ ਪਤਾ ਜੋੜਨਾ, ਜਾਂ ਦੂਜੇ ਪੋਰਟ ਦੀ ਨਕਲ ਕਰਨ ਲਈ dummy ਇੰਟਰਫ਼ੇਸ ਬਣਾਉਣਾ, ਬਹੁਤ ਘੱਟ ਬਦਲਦਾ ਹੈ। ਪੈਕਟ ਅਜੇ ਵੀ ਉਸੇ ਭੌਤਿਕ ਲਿੰਕ, ਉਸੇ ਸਵਿੱਚ ਪੋਰਟ ਅਤੇ ਆਮ ਤੌਰ 'ਤੇ ਉਸੇ ਫ਼ਾਇਰਵਾਲ ਚੇਨ ਰਾਹੀਂ ਬਾਹਰ ਜਾਂਦੇ ਹਨ, ਇਸ ਲਈ ਉਹਨਾਂ ਵਿਚਕਾਰ ਕੋਈ ਨਵੀਂ ਹੱਦ ਨਹੀਂ ਬਣਦੀ। ਇਹ ਸੰਰਚਨਾ ਦੀ ਸੁਵਿਧਾ ਹੈ, ਸੈਗਮੈਂਟੇਸ਼ਨ ਨਹੀਂ। ਇਸਨੂੰ ਜ਼ੋਨ ਦੀ ਹੱਦ ਮੰਨਣਾ ਹੀ ਉਹ ਤਰੀਕਾ ਹੈ ਜਿਸ ਨਾਲ ਅਲੱਗਾਅ ਦਾ ਦਾਅਵਾ ਸਿਰਫ਼ ਕਾਗ਼ਜ਼ 'ਤੇ ਬਚਦਾ ਹੈ।

ਵੱਖਰੇ ਜ਼ੋਨ ਲਈ ਰਾਹ ਵਿੱਚ ਅਸਲ ਵੱਖਰਾਅ ਚਾਹੀਦਾ ਹੈ, ਅਤੇ ਇਹ ਸ਼ਰਤ ਦੂਜਾ ਐਡਾਪਟਰ ਪੂਰੀ ਕਰਦਾ ਹੈ। ਜੇ ਕੋਈ ਨਿਯਮ ਇਸ ਗੱਲ 'ਤੇ ਨਿਰਭਰ ਹੈ ਕਿ VPN ਵੱਲ ਜਾਣ ਵਾਲਾ ਟ੍ਰੈਫ਼ਿਕ LAN ਵੱਲ ਜਾਣ ਵਾਲੇ ਟ੍ਰੈਫ਼ਿਕ ਨਾਲ ਕਦੇ ਵੀ ਬਰਾਡਕਾਸਟ ਡੋਮੇਨ ਸਾਂਝਾ ਨਾ ਕਰੇ, ਤਾਂ ਹੋਸਟ ਨੂੰ ਕਿਵੇਂ ਵੀ ਪਤਾ ਦਿੱਤਾ ਜਾਵੇ, ਇੱਕ ਕੇਬਲ ਉਹ ਗੁਣ ਨਹੀਂ ਦੇ ਸਕਦੀ।

ਜਿੱਥੇ ਕੋਈ ਉਤਪਾਦ ਕਿਸੇ ਖ਼ਾਸ ਮੋਡ ਲਈ ਮਲਟੀ-ਇੰਟਰਫ਼ੇਸ ਟੋਪੋਲੋਜੀ ਦਸਤਾਵੇਜ਼ਬੱਧ ਕਰਦਾ ਹੈ, ਉੱਥੇ ਕੋਈ ਬਚਾਅ ਉਪਾਅ ਈਜਾਦ ਕਰਨ ਦੀ ਬਜਾਏ ਉਸੇ ਉਤਪਾਦ ਦੇ ਦਸਤਾਵੇਜ਼ ਦੀ ਪਾਲਣਾ ਕਰੋ। ਵਿਕਰੇਤਾ ਰਿਲੀਜ਼ਾਂ ਵਿਚਕਾਰ ਸਮਰਥਿਤ ਟੋਪੋਲੋਜੀਆਂ ਵੀ ਬਦਲਦੇ ਹਨ, ਜੋ ਪੁਰਾਣੇ ਵਿਜ਼ਾਰਡ ਸਕ੍ਰੀਨਸ਼ਾਟ ਦੀ ਬਜਾਏ ਮੌਜੂਦਾ ਗਾਈਡ ਪੜ੍ਹਨ ਦਾ ਇੱਕ ਹੋਰ ਕਾਰਨ ਹੈ।

ਆਪਣੇ ਮਨਜ਼ੂਰ ਟ੍ਰੈਫ਼ਿਕ ਦੇ ਸਾਹਮਣੇ ਲੇਆਉਟ ਦੀ ਜਾਂਚ ਕਰੋ

ਉਹਨਾਂ ਟ੍ਰੈਫ਼ਿਕ ਸ਼੍ਰੇਣੀਆਂ ਦੀ ਸੂਚੀ ਬਣਾਓ ਜੋ ਸਰਵਰ ਨੂੰ ਲੈ ਕੇ ਜਾਣੀਆਂ ਹਨ: ਕਲਾਇਟ ਤੋਂ ਹੋਸਟ, ਕਲਾਇਟ ਤੋਂ LAN, ਹੋਸਟ ਤੋਂ LAN, ਅਤੇ ਐਨਕ੍ਰਿਪਟਿਡ ਬਾਹਰੀ ਕਨੈਕਸ਼ਨ। ਹਰ ਸ਼੍ਰੇਣੀ ਦਾ ਸਰੋਤ, ਮੰਜ਼ਿਲ ਅਤੇ ਇੰਟਰਫ਼ੇਸ ਹੁੰਦਾ ਹੈ, ਅਤੇ ਲੇਆਉਟ ਨੂੰ ਚਾਰੇ ਇੱਕੋ ਸਮੇਂ ਪੂਰੇ ਕਰਨੇ ਪੈਂਦੇ ਹਨ। ਜੋ ਡਿਜ਼ਾਈਨ ਇਹਨਾਂ ਵਿੱਚੋਂ ਤਿੰਨ ਸੰਭਾਲਦਾ ਹੈ, ਉਹੀ ਆਮ ਤੌਰ 'ਤੇ ਟਿਕਟ ਪੈਦਾ ਕਰਦਾ ਹੈ।

ਫਿਰ ਡਿਜ਼ਾਈਨ ਦਸਤਾਵੇਜ਼ ਦੇ ਚਿੱਤਰ ਦੀ ਬਜਾਏ ਅਸਲ ਇੰਟਰਫ਼ੇਸ ਅਤੇ ਅਸਲ ਕੈਪਚਰ ਦੀ ਪੁਸ਼ਟੀ ਕਰੋ। ਹੇਠਾਂ ਦਿੱਤੀਆਂ ਕਮਾਂਡਾਂ ਦੋਵੇਂ ਨਜ਼ਾਰੇ ਦਿਖਾਉਂਦੀਆਂ ਹਨ।

ip -brief addr
ip route
tcpdump -ni any udp port 51820 -c 5
tcpdump -ni tun0 -c 5

ਜੇ ਬਾਹਰੀ ਕੈਪਚਰ ਐਨਕ੍ਰਿਪਟਿਡ ਟ੍ਰੈਫ਼ਿਕ ਦਿਖਾਉਂਦਾ ਹੈ ਅਤੇ ਅੰਦਰੂਨੀ ਕੈਪਚਰ ਟਨਲ ਇੰਟਰਫ਼ੇਸ 'ਤੇ ਡੀਕ੍ਰਿਪਟ ਹੋਇਆ ਟ੍ਰੈਫ਼ਿਕ ਦਿਖਾਉਂਦਾ ਹੈ, ਜਦਕਿ ਭੌਤਿਕ ਐਡਾਪਟਰ ਦੋਵੇਂ ਲੈ ਕੇ ਜਾਂਦਾ ਹੈ, ਤਾਂ ਇੱਕ ਹੀ NIC ਕੰਮ ਕਰ ਰਿਹਾ ਹੈ। ਜੇ ਅੰਦਰੂਨੀ ਕੈਪਚਰ ਖਾਲੀ ਹੈ, ਤਾਂ ਸਮੱਸਿਆ ਟਨਲ ਜਾਂ ਫ਼ਾਰਵਰਡਿੰਗ ਨਿਯਮਾਂ ਵਿੱਚ ਹੈ, ਐਡਾਪਟਰਾਂ ਦੀ ਗਿਣਤੀ ਵਿੱਚ ਨਹੀਂ। ਉਹਨਾਂ ਦੋ ਕੈਪਚਰਾਂ ਅਤੇ ਰਾਊਟਿੰਗ ਟੇਬਲ ਤੋਂ ਟੋਪੋਲੋਜੀ ਤੈਅ ਕਰੋ, ਅਤੇ ਅਗਲੇ ਬਦਲਾਅ ਕੋਲ ਤੁਲਨਾ ਲਈ ਕੁਝ ਹੋਵੇਗਾ।