ਇੱਕ OpenVPN ਹੱਬ, ਤਿੰਨ LAN: ਪਤਾ ਯੋਜਨਾ ਅਤੇ iroute ਫਾਈਲਾਂ

ਤਿੰਨ ਨਿੱਜੀ LAN ਇੱਕ ਹੱਬ 'ਤੇ ਮਿਲ ਸਕਦੇ ਹਨ, ਕਿਸੇ ਵੀ ਸਾਈਟ ਨੂੰ ਦੂਜਿਆਂ ਦੀ ਅੰਦਰੂਨੀ ਬਣਤਰ ਜਾਣਨ ਦੀ ਲੋੜ ਨਹੀਂ, ਅਤੇ ਪੂਰਾ ਡਿਜ਼ਾਈਨ ਚਾਰ ਛੋਟੇ ਕਨਫਿਗਰੇਸ਼ਨ ਫੈਸਲਿਆਂ 'ਤੇ ਟਿਕਿਆ ਹੈ। ਇਹ ਕੰਮ ਕਰਦਾ ਹੈ ਕਿਉਂਕਿ ਇਹ ਕੋਈ ਅਨੋਖੀ ਪ੍ਰੋਟੋਕੋਲ ਵਿਸ਼ੇਸ਼ਤਾ ਨਹੀਂ, ਸਗੋਂ ਇੱਕ ਪਤਾ ਯੋਜਨਾ ਹੈ ਜਿਸਦਾ ਕਿਸੇ ਨੂੰ ਅੰਦਾਜ਼ਾ ਨਹੀਂ ਲਾਉਣਾ ਪੈਂਦਾ, ਅਤੇ ਕਲਾਇੰਟ-ਅਨੁਸਾਰ ਰੂਟ ਜੋ ਹੱਬ ਨੂੰ ਦੱਸਦੇ ਹਨ ਕਿ ਕਿਹੜੀ ਸ਼ਾਖਾ ਕਿਹੜੇ ਪ੍ਰੀਫਿਕਸ ਦੀ ਮਾਲਕ ਹੈ। ਇਹਨਾਂ ਵਿੱਚੋਂ ਇੱਕ ਵੀ ਗਲਤ ਹੋਵੇ ਤਾਂ ਵੀ ਸੁਰੰਗ ਉੱਠਦੀ ਹੈ, ਅਤੇ ਇਹੀ ਚੀਜ਼ ਅਸਫਲਤਾ ਨੂੰ ਉਲਝਣ ਭਰਿਆ ਬਣਾਉਂਦੀ ਹੈ।

ਕਦਮ ਕ੍ਰਮ ਨਾਲ ਪੂਰੇ ਕਰੋ। ਹਰ ਕਦਮ ਪਿਛਲੇ ਕਦਮ ਦੀ ਯੋਜਨਾ 'ਤੇ ਨਿਰਭਰ ਕਰਦਾ ਹੈ, ਅਤੇ ਇਹਨਾਂ ਵਿੱਚੋਂ ਕਿਸੇ ਨੂੰ ਵੀ ਨਵੀਂ ਸਰਟੀਫਿਕੇਟ ਅਥਾਰਟੀ ਦੀ ਲੋੜ ਨਹੀਂ ਹੈ।

ਉਸ ਯੋਜਨਾ ਨਾਲ ਸ਼ੁਰੂ ਕਰੋ ਜਿਸਦਾ ਕਿਸੇ ਨੂੰ ਅੰਦਾਜ਼ਾ ਨਹੀਂ ਲਾਉਣਾ ਪੈਂਦਾ

ਕਨਫਿਗਰੇਸ਼ਨ ਫਾਈਲ ਨੂੰ ਛੂਹਣ ਤੋਂ ਪਹਿਲਾਂ ਚਾਰ ਵੱਖਰੇ ਪ੍ਰੀਫਿਕਸ ਲਿਖੋ: ਹੱਬ ਦਾ ਆਪਣਾ LAN, ਹਰ ਸ਼ਾਖਾ ਦਾ LAN, ਅਤੇ ਘੁੰਮਦੇ ਕਲਾਇੰਟਾਂ ਨੂੰ ਦਿੱਤਾ ਜਾਣ ਵਾਲਾ ਪੂਲ। ਵੱਖਰਾਪਣ ਹੀ ਬਾਕੀ ਸਭ ਨੂੰ ਸਰਲ ਰੱਖਦਾ ਹੈ, ਕਿਉਂਕਿ ਓਵਰਲੈਪ ਹੁੰਦੀਆਂ ਰੇਂਜਾਂ ਰੂਟਿੰਗ ਨੂੰ ਸਭ ਤੋਂ ਲੰਬੀ ਮੇਲ ਦਾ ਬੁਝਾਰਤ ਬਣਾ ਦਿੰਦੀਆਂ ਹਨ, ਜਿਸਨੂੰ ਕਿੰਨੀ ਵੀ ਕਲਾਇੰਟ-ਅਨੁਸਾਰ ਕਨਫਿਗਰੇਸ਼ਨ ਠੀਕ ਨਹੀਂ ਕਰਦੀ। ਫਿਰ ਪੁਸ਼ਟੀ ਕਰੋ ਕਿ ਕਿਹੜੀ ਮਸ਼ੀਨ ਹਰ LAN ਲਈ ਡਿਫਾਲਟ ਗੇਟਵੇ ਹੈ, ਕਿਉਂਕਿ ਜੋ ਸ਼ਾਖਾ ਰਾਊਟਰ ਆਪਣੇ LAN ਦਾ ਗੇਟਵੇ ਨਹੀਂ ਹੈ, ਉਸਨੂੰ ਦੂਰ ਦੀਆਂ ਰੂਟਾਂ ਪੂਰੀ ਤਰ੍ਹਾਂ ਕਿਸੇ ਹੋਰ ਥਾਂ ਸਥਾਪਤ ਕਰਨੀਆਂ ਪੈਂਦੀਆਂ ਹਨ। ਅੰਤ ਵਿੱਚ, ਹਰ ਸ਼ਾਖਾ ਦੀ ਪਛਾਣ ਕਰਨ ਵਾਲੇ ਪ੍ਰਮਾਣਿਤ ਨਾਮ ਤੈਅ ਕਰੋ, ਕਿਉਂਕਿ ਉਹ ਨਾਮ ਹੀ ਕਲਾਇੰਟ-ਅਨੁਸਾਰ ਫਾਈਲਾਂ ਲੱਭਣ ਦੀਆਂ ਕੁੰਜੀਆਂ ਹਨ।

ਇੱਕ ਉਦਾਹਰਨ ਯੋਜਨਾ ਪੂਲ ਨੂੰ ਤਿੰਨਾਂ LAN ਤੋਂ ਕਾਫ਼ੀ ਦੂਰ ਰੱਖਦੀ ਹੈ। ਤੁਹਾਡੀ ਵੱਖਰੀ ਹੋਵੇਗੀ, ਅਤੇ ਇੱਕੋ ਇੱਕ ਸਖ਼ਤ ਨਿਯਮ ਇਹ ਹੈ ਕਿ ਕੋਈ ਵੀ ਦੋ ਰੇਂਜਾਂ ਓਵਰਲੈਪ ਨਾ ਹੋਣ।

Hub LAN        172.20.0.0/24
Branch A LAN   172.21.0.0/24
Branch B LAN   172.22.0.0/24
VPN pool       10.77.0.0/24

identity branch-a owns 172.21.0.0/24
identity branch-b owns 172.22.0.0/24

ਹੱਬ ਦੇ ਕਰਨਲ ਨੂੰ ਦੱਸੋ ਕਿ ਸ਼ਾਖਾਵਾਂ ਕਿੱਥੇ ਹਨ

ਹੱਬ ਨੂੰ ਹਰ ਸ਼ਾਖਾ ਲਈ ਦੋ ਜਾਣਕਾਰੀਆਂ ਚਾਹੀਦੀਆਂ ਹਨ: ਪ੍ਰੀਫਿਕਸ ਨੂੰ ਸੁਰੰਗ ਯੰਤਰ ਵਿੱਚ ਭੇਜਣ ਵਾਲਾ ਕਰਨਲ ਰੂਟ, ਅਤੇ iroute ਐਂਟਰੀ, ਜੋ ਕਿ ਕਿਹੜਾ ਕਲਾਇੰਟ ਇਸਦਾ ਮਾਲਕ ਹੈ ਇਹ OpenVPN ਪ੍ਰਕਿਰਿਆ ਨੂੰ ਦੱਸਦੀ ਹੈ। ਸਿਰਫ਼ ਕਰਨਲ ਰੂਟ ਪੈਕਟਾਂ ਨੂੰ ਸੁਰੰਗ ਤੱਕ ਪਹੁੰਚਾ ਕੇ ਉੱਥੇ ਹੀ ਰੁਕ ਜਾਂਦਾ ਹੈ, ਕਿਉਂਕਿ ਡੈਮਨ ਨੂੰ ਅਜੇ ਫੈਸਲਾ ਕਰਨਾ ਹੈ ਕਿ ਕਿਹੜਾ ਪੀਅਰ ਉਹਨਾਂ ਨੂੰ ਲੈਣਾ ਹੈ। ਸਿਰਫ਼ iroute ਐਂਟਰੀ ਉਹ ਪੈਕਟ ਕਰਨਲ ਵਿੱਚ ਹੀ ਬਿਨਾਂ ਪੈਰੋਕਾਰੀ ਰੂਟ ਦੇ ਛੱਡ ਦਿੰਦੀ ਹੈ। ਦੋਵੇਂ ਲਾਈਨਾਂ ਉਸ ਕਨਫਿਗਰੇਸ਼ਨ ਵਿੱਚ ਹੁੰਦੀਆਂ ਹਨ ਜੋ ਡੈਮਨ ਅਸਲ ਵਿੱਚ ਲੋਡ ਕਰਦਾ ਹੈ, ਅਤੇ ਕਿਸੇ ਵੀ ਹੋਰ ਚੀਜ਼ ਨੂੰ ਡੀਬੱਗ ਕਰਨ ਤੋਂ ਪਹਿਲਾਂ ਇਸਨੂੰ ਜਾਂਚਣਾ ਯੋਗ ਹੈ।

dev tun
topology subnet
server 10.77.0.0 255.255.255.0
disable-dco

route 172.21.0.0 255.255.255.0
push "route 172.20.0.0 255.255.255.0"
client-config-dir /etc/openvpn/ccd
route 172.22.0.0 255.255.255.0

ਜਦੋਂ ਕਰਨਲ ਨਿਯਮਾਂ ਦੀ ਪਾਲਣਾ ਦਾ ਬਿੰਦੂ ਹੋਣਾ ਚਾਹੀਦਾ ਹੈ ਤਾਂ client-to-client ਬੰਦ ਰੱਖੋ। ਉਹ ਵਿਕਲਪ ਪੀਅਰਾਂ ਵਿਚਕਾਰ ਟ੍ਰੈਫਿਕ ਡੈਮਨ ਦੇ ਅੰਦਰ ਭੇਜਦਾ ਹੈ, ਜੋ ਸੁਵਿਧਾਜਨਕ ਹੈ ਅਤੇ ਇਸਦਾ ਮਤਲਬ ਇਹ ਵੀ ਹੈ ਕਿ ਤੁਹਾਡੇ ਫਾਰਵਰਡਿੰਗ ਨਿਯਮ ਉਸ ਪ੍ਰਵਾਹ ਨੂੰ ਕਦੇ ਨਹੀਂ ਦੇਖਦੇ। ਹੇਠਾਂ ਸਭ ਕੁਝ ਮੰਨਦਾ ਹੈ ਕਿ ਕਰਨਲ ਹਰ ਸ਼ਾਖਾ-ਅੰਤਰ ਪੈਕਟ ਦੇਖਦਾ ਹੈ।

ਹਰ ਸ਼ਾਖਾ ਨੂੰ ਲੋੜੀਂਦੀਆਂ ਰੂਟਾਂ ਦਿਓ

ਹਰ ਸ਼ਾਖਾ ਨੂੰ ਦੂਜੀਆਂ ਸ਼ਾਖਾਵਾਂ ਅਤੇ ਹੱਬ ਦੇ LAN ਲਈ ਰੂਟਾਂ ਚਾਹੀਦੀਆਂ ਹਨ, ਅਤੇ ਆਪਣੇ ਜੁੜੇ LAN ਲਈ ਰੂਟ ਨਹੀਂ ਚਾਹੀਦੀ। ਦੂਰ ਦੇ ਪ੍ਰੀਫਿਕਸ ਹਰ ਰਾਊਟਰ ਵਿੱਚ ਚਿਪਕਾਉਣ ਦੀ ਥਾਂ ਹੱਬ ਤੋਂ ਧੱਕੋ, ਤਾਂ ਜੋ ਚੌਥੀ ਸਾਈਟ ਬਾਅਦ ਵਿੱਚ ਚਾਰ ਸੋਧਾਂ ਦੀ ਥਾਂ ਇੱਕ ਨਵੀਂ ਕਲਾਇੰਟ-ਅਨੁਸਾਰ ਫਾਈਲ ਬਣੇ। ਕਲਾਇੰਟ-ਅਨੁਸਾਰ ਫਾਈਲ ਵਿੱਚ iroute ਲਾਈਨ ਵੀ ਹੁੰਦੀ ਹੈ, ਜੋ ਮਾਲਕੀ ਅਤੇ ਘੋਸ਼ਣਾ ਇੱਕੋ ਥਾਂ ਰੱਖਦੀ ਹੈ। ਸਰਵਰ ਦੇ ਵਿਸ਼ੇਸ਼ ਅਧਿਕਾਰ ਮਾਡਲ ਅਨੁਸਾਰ ਡਾਇਰੈਕਟਰੀ ਅਤੇ ਉਸਦੀਆਂ ਫਾਈਲਾਂ ਨੂੰ ਪੜ੍ਹਨਯੋਗ ਬਣਾਓ, ਨਹੀਂ ਤਾਂ ਖੋਜ ਸੰਦੇਸ਼ ਤੋਂ ਬਿਨਾਂ ਫੇਲ੍ਹ ਹੁੰਦੀ ਹੈ।

# /etc/openvpn/ccd/branch-a
iroute 172.21.0.0 255.255.255.0
push "route 172.22.0.0 255.255.255.0"

ਚੌਥੀ ਸਾਈਟ ਵੀ ਉਹੀ ਢਾਂਚਾ ਅਪਣਾਉਂਦੀ ਹੈ: ਵੱਖਰਾ ਪ੍ਰਮਾਣਿਤ ਨਾਮ, ਮਾਲਕੀ ਵਾਲਾ ਪ੍ਰੀਫਿਕਸ, ਹੱਬ ਦਾ ਕਰਨਲ ਰੂਟ, iroute ਐਂਟਰੀ, ਅਤੇ ਸਿਰਫ਼ ਉਹਨਾਂ ਸਾਈਟਾਂ ਲਈ ਘੋਸ਼ਣਾਵਾਂ ਜਿਨ੍ਹਾਂ ਨੂੰ ਇਸ ਤੱਕ ਪਹੁੰਚਣ ਦੀ ਆਗਿਆ ਹੈ।

ਮੁਕੰਮਲ ਕਹਿਣ ਤੋਂ ਪਹਿਲਾਂ ਦੋਵੇਂ ਦਿਸ਼ਾਵਾਂ ਵਿੱਚ ਜਾਂਚੋ

ਤਿੰਨਾਂ ਰਾਊਟਰਾਂ 'ਤੇ IPv4 ਫਾਰਵਰਡਿੰਗ ਚਾਲੂ ਕਰੋ, ਫਿਰ ਪੁਸ਼ਟੀ ਕਰੋ ਕਿ ਫਾਇਰਵਾਲ ਦੋਵੇਂ ਦਿਸ਼ਾਵਾਂ ਵਿੱਚ ਲੋੜੀਂਦੇ ਪ੍ਰਵਾਹਾਂ ਦੀ ਆਗਿਆ ਦਿੰਦਾ ਹੈ, ਕਿਉਂਕਿ ਇੱਕ-ਦਿਸ਼ਾ ਜਾਂਚ ਟੁੱਟੇ ਹੋਏ ਵਾਪਸੀ ਮਾਰਗ ਨਾਲ ਕਿਸੇ ਦੀ ਉਮੀਦ ਨਾਲੋਂ ਵੱਧ ਵਾਰ ਪਾਸ ਹੁੰਦੀ ਹੈ। ਸਾਈਟਾਂ ਵਿਚਕਾਰ ਸਰੋਤ ਪਤੇ ਦਾ ਅਨੁਵਾਦ ਲੋੜੀਂਦਾ ਨਹੀਂ, ਅਤੇ ਮੂਲ ਸਰੋਤ ਨੂੰ ਸੁਰੱਖਿਅਤ ਰੱਖਣਾ ਹੀ ਹਰ ਸ਼ਾਖਾ ਨੂੰ ਬੇਨਤੀ 'ਤੇ ਆਪਣੀ ਨੀਤੀ ਲਾਗੂ ਕਰਨ ਦਿੰਦਾ ਹੈ।

ਇੱਕ ਸ਼ਾਖਾ LAN ਦੇ ਹੋਸਟ ਤੋਂ ਦੂਜੀ ਦੀ ਸੇਵਾ ਤੱਕ ਜਾਂਚੋ, ਫਿਰ ਦਿਸ਼ਾ ਉਲਟਾਓ, ਫਿਰ ਸ਼ਾਖਾ ਤੋਂ ਹੱਬ ਦੇ LAN ਤੱਕ ਜਾਂਚੋ। ਉਹ ਤਿੰਨ ਨਤੀਜੇ ਵੱਖ-ਵੱਖ ਸਬੂਤ ਹਨ, ਅਤੇ ਕੋਈ ਵੀ ਦੂਜਿਆਂ ਨੂੰ ਨਹੀਂ ਦਰਸਾਉਂਦਾ। ਜੇ ਸ਼ਾਖਾ ਰਾਊਟਰ ਆਪਣੇ LAN ਦਾ ਡਿਫਾਲਟ ਗੇਟਵੇ ਨਹੀਂ ਹੈ, ਤਾਂ ਅਸਲ ਗੇਟਵੇ 'ਤੇ ਦੂਰ ਦੇ ਪ੍ਰੀਫਿਕਸ ਸਥਾਪਤ ਕਰੋ ਅਤੇ ਪੂਲ ਵੀ ਸ਼ਾਮਲ ਕਰੋ ਜਦੋਂ ਸੁਰੰਗ ਕਲਾਇੰਟਾਂ ਨੂੰ ਉਸ LAN ਵਿੱਚ ਕਨੈਕਸ਼ਨ ਸ਼ੁਰੂ ਕਰਨੇ ਹੁੰਦੇ ਹਨ।

ਯੋਜਨਾ, ਕਲਾਇੰਟ-ਅਨੁਸਾਰ ਫਾਈਲਾਂ ਅਤੇ ਫਾਇਰਵਾਲ ਨਿਯਮਾਂ ਨੂੰ ਇੱਕ ਦਸਤਾਵੇਜ਼ ਵਜੋਂ ਦਰਜ ਕਰੋ, ਕਿਉਂਕਿ ਅਗਲੀ ਸਾਈਟ ਸ਼ਾਮਲ ਕਰਨ ਦਾ ਮੁਲਾਂਕਣ ਇਹਨਾਂ ਦੇ ਆਧਾਰ 'ਤੇ ਹੋਵੇਗਾ।

ਡਿਜ਼ਾਈਨ ਇਕੱਠਾ ਖੜ੍ਹਾ ਹੈ ਕਿਉਂਕਿ ਹਰ ਪਰਤ ਦਾ ਇੱਕੋ ਕੰਮ ਹੈ: ਯੋਜਨਾ ਪ੍ਰੀਫਿਕਸ ਨੂੰ ਵਿਲੱਖਣ ਰੱਖਦੀ ਹੈ, ਕਰਨਲ ਰੂਟ ਪੈਕਟ ਭੇਜਦਾ ਹੈ, iroute ਮਾਲਕ ਦਾ ਨਾਮ ਲੈਂਦਾ ਹੈ, ਅਤੇ ਫਾਇਰਵਾਲ ਤੈਅ ਕਰਦਾ ਹੈ ਕਿ ਕੀ ਆਗਿਆ ਹੈ। ਜਦੋਂ ਕੁਝ ਟੁੱਟਦਾ ਹੈ ਤਾਂ ਉਹੀ ਸੂਚੀ ਜਾਂਚ ਦਾ ਕ੍ਰਮ ਵੀ ਹੁੰਦੀ ਹੈ।