دوهم څانګيز شبکه VPN ته د سایټونو ترمنځ ورزیاتول: دوه لارې
په تګلاره ولاړ تونلونه د دواړو خواوو په سمون خوښوونکي غواړي؛ په لار ولاړ یې لاره غواړي. سمه لاره وټاکئ او لومړی د بېرته راتلو لاره سمه کړئ.
په فعال سایټ تر سایټ تونل کې دوهم څانګيز شبکه ورزیاتول په یوه ډیزاین کې پنځه دقیقې او په بل کې نږدې ټوله ماسپښین وخت نیسي. کله چې تونل ستاسو نومول شوو مخکښو لپاره لارې نصبوي، تاسو یوه لاره ورزیاتوئ او ترافیک ورسره ځي. کله چې یو ثابت خوښوونکي جوړه باندي خبرې کوي، نوی مخکښ تر هغه وخته بې ساتنې پاتې کېږي چې دواړه خواوې پر یوه سمون جوړه سره یوځای شي. درې شیان فیصله کوي: هرې خوا ته ترتیب په رښتیا څه بیانوي، آیا خبرې شوې ترافیک تر ټولو وړو سمون جوړې پورې راټولېږي، او د نوي سیمې د بېرته راتلو لاره چا لخوا ده.
کرنل ولولئ، نه د حالت نښه
د اړیکې خبر ورکونکی تونل لږ تر لږه یو ماشوم ټولګه نصب کړې، خو کېدای شي هغه نه وي چې تاسو یې فکر کوئ. په Linux کې کرنل ښيي څه پلي کېږي: ip xfrm policy د خوښوونکي جوړې لړلیک کوي او swanctl --list-sas (یا زوړ ipsec statusall) ښيي چې خواوو څه باندي سره یوځای کړی، په هر لوري کې د ترافیک خوښوونکي سره. که نوی مخکښ په یوه کې هم نه وي، نو د ترتیبي فایل هر څه ووایي، بې ساتنې دی.
دا د لارو جدول سره پرتله کړئ. په لار ولاړ ترتیب کې د تونل وسیله د ساتل شوو مخکښو لپاره بله پښه ده. په تګلاره ولاړ ترتیب کې ډېری وخت د لیرې څانګيزې شبکې لپاره ځانګړې لاره نه وي، یوازې اصلي لاره، ځکه ترافیک جدول نه بلکې تګلاره ټاکي.
په تګلاره ولاړ: دواړه خواوې باید نوی مخکښ ولړلیک کړي
په strongSwan اصطلاح کې خوښوونکی د ماشوم ترتیب local_ts او remote_ts کې اوسېږي، چې د leftsubnet او rightsubnet ځای ناستي دي. نوی مخکښ باید دواړو خواوو ته د هندارې په څېر راڅرګند شي: څه چې سایټ A ځایي بولي، سایټ B یې لیرې بولي. ناسمون پاکه تېروتنه کمزوری ورکوي. خواوې تر پرېوتنې پورې راټولېږي، زوړ مخکښ کار کوي او یوازې نوی په غلې ډول ناکامېږي.
swanctl --load-conns
swanctl --initiate --child <child-name>
swanctl --list-sas
ip xfrm policyپه pfSense یا OPNsense کې دا مانا ده چې دوهمه Phase 2 ننوتنه چې نوی ځایي څانګيز شبکه د نوي لیرې سره جوړه کوي، بیا پلي کول. زوړ ننوتنی وساتئ؛ بدلول یې اصلي شبکه د ورزیاتولو پر ځای لېږدوي. که موجوده Phase 2 مخکې له مخکې د 0.0.0.0/0 په څېر لوی شبکه یا لنډیز شوی سیمه پوښي، د هغې ترڅنګه تنګه ننوتنه مه ورزیاتوئ: یو پر بل لګېدونکي خوښوونکي سیالې تګلارې نصبوي او د ارزونې ترتیب گټونکی ټاکي.
IKEv1 هره جوړه څانګيز شبکه خپله Phase 2 جوړوي، او هغه خوا چې په هر تبادله کې یوه جوړه اخلي پاتې پرېږدي. IKEv2 کولای شي په یوه ماشوم کې څو جوړې خوښوونکي ولېږدوي، خو یوازې هغه وخت چې دواړه پلي کوونکي یې ومني. د swanctl --list-sas لړلیک رښتیا ده؛ څه چې تاسو ولیکل غوښتنه ده.
په لار ولاړ: لاره پخپله تګلاره ده
XFRM مخکښ یا VTI وسیله ترافیک د لارو جدول له مخې ږدي. نوی مخکښ دواړو سایټونو کې وسیلې ته ګرځوئ، او د مخکښ د بدلون سره تړلی حالت پلي کېږي. د همغږۍ لپاره خوښوونکې جوړه نشته، ځکه دا ډیزاین د څانګيزو شبکو په زیاتېدو ښه پراخېږي. د strongSwan د لېږدېدو لارښود کرنل خوا په تفصیل سره بیانوي.
ip route add 192.168.60.0/24 dev xfrm0
ip route get 192.168.60.10WireGuard نور هم مخکې ځي. AllowedIPs په یو وخت کې کریپټو اجازه لړلیک دی او د wg-quick له لارې د لارو جدول ننوتنه هم. مخکښ یوازې یوې خوا ته ورزیات کړئ، نو لاس ورکول، وتونکي پیکټونه او غلې به ترلاسه کړئ، ځکه لیرې خوا هغه پیکټونه غورځوي چې سرچینه یې د هغې په لړلیک کې نه وي. wg set بڼه ټول لړلیک بدلوي، نو هغه مخکښ چې مخکې کار کول بیا ولیکئ، که نه هغه به پرې کړئ:
wg set wg0 peer <PUBKEY> allowed-ips 192.168.10.0/24,192.168.60.0/24
ip route add 192.168.60.0/24 dev wg0هغه دوهم حکم اختیاري نه دی کله چې تاسو wg set د wg-quick پر ځای وکاروئ. کرنل نوی لړلیک سمدلاسه مني، خو هیڅوک ورته لاره نه ورزیاتوي، نو په ځایي ډول جوړ شوی ترافیک لا هم د اصلي دروازې له لارې وځي. دا هغه عام دلیل دی چې نوی WireGuard څانګيز شبکه د تونل کوربه نه، بلکې د لپټاپ نه نه چلېږي.
د بېرته راتلو لاره د تونل نه ډېره ناکامېږي
د نوي لیرې څانګيزې شبکې کوربېان باید ځوابونه د VPN دروازې له لارې بېرته ولېږي. کله چې هغه دروازه د هغوی اصلي لارښود نه وي ځواب LAN لارښود ته ځي، چې یا یې غورځوي یا د شخصي سرچینې پتې سره انټرنیټ ته لېږي. د دروازې نه نه، د لیرې خوا کوربه نه ازموینه وکړئ: په Linux کې ip route get 10.30.20.15 یا په PowerShell کې Find-NetRoute -RemoteIPAddress 10.30.20.15 هغه بله پښه ښيي چې کوربه یې په رښتیا کاروي. که ځواب د تونل پای ټکی نه وي، هلته د نوي مخکښ لپاره ثابته لاره ورزیات کړئ.
په هغه سایټ کې چې د بېرته راتلو لاره نه لري، د سرچینې NAT یو قانوني بدیل دی او ډېر hub-and-spoke ځای پرځای کول هر سرور ته د لاس نه رسېدو لاره همدا ده. د موخې خوا دروازه کې هم پر نوي مخکښ یې پلي کړئ:
iptables -t nat -A POSTROUTING -s 10.30.20.0/24 -d 192.168.60.0/24 -j MASQUERADEلګښت ریښتینی دی. لیرې ثبتونه د انفرادي سرچینې پتې ښودل بندوي او د اصلي څانګيزې شبکې پر بنسټ اوروژونکي قواعد د دروازې لپاره یو قاعده ته راټولېږي. دا په قصد وټاکئ، نه ځکه چې لاره نه وه.
اوروژونکي د بېرته راتلو لارې بله نیمه ده. پر زون ولاړ وسایل د موجوده تونل مخکښ زون په اتوماتيک ډول نوي څانګيزې شبکې ته نه پراخوي، او د زوړ مخکښ لپاره لیکل شوی قاعده به سمون ونه کړي. د IPsec تورنولو دمخه نوی څانګيز شبکه زون ته یا دواړو لورو قواعدو جوړې ته ورزیات کړئ.
په درې پوښتنو فیصله وکړئ، بیا د ترافیک په واسطه تایید کړئ
لنډه بڼه: آیا د خوا ترتیب مخکښونه نوموي (په تګلاره ولاړ)، که ترافیک مخکښ ته لارېږي (په لار ولاړ)؟ آیا دواړه سرونه نوی مخکښ لړلیک کوي؟ آیا د نوي څانګيزې شبکې نه د اصلي سرچینې سیمې ته بېرته لاره شته؟
| Tunnel style | Where the prefix goes | What breaks if you skip it |
|---|---|---|
| Policy-based IPsec | Selector pair on both peers | Old subnets work, the new one fails with no clear error |
| Route-based XFRM or VTI | Route into the device on both sites | Packets routed but not transformed, or the state never matches |
| WireGuard | AllowedIPs on both peers plus a route | Handshake succeeds, replies are dropped |
| Overlapping supernet | Adjust the existing entry instead | A shadowed policy wins or loses by evaluation order |
تایید هغه ځای دی چې ډېری بدلونونه ډېر ژر بندېږي. د دروازې نه ping لږ څه ثابتوي، ځکه دروازه له ځانه لېږي او ډېری وخت له کوربه نه بېلې تګلارې سره سمون خوري. د نوي څانګيزې شبکې کوربه نه ping وکړئ، بیا هغه اپلیکیشن وچلوئ چې بدلون یې رامنځته کړ، او د حالت نښې پر ځای شمارونکي وګورئ.
tcpdump -ni any host 192.168.60.10 and (esp or udp port 4500)
ip xfrm state
wg showپه تګلاره ولاړ تونل کې د ip xfrm state شمارونکي باید دواړو لورو ته پورته شي؛ هوار شمارونکي مانا دا ده چې پیکټ لاره شوې خو نه ټاکل شوی. په WireGuard کې wg show د هرې خوا لېږد راپور کوي، او د صفر ترلاسه شوو بایټونو سره لاس ورکول د لیرې خوا لړلیک یا د هغې بېرته راتلو لارې ته اشاره کوي.
په پای کې مخکښ، د خوا خوښوونکی یا لاره، د بېرته راتلو لارې پرېکړه او اوروژونکې ننوتنه د تونل پاتې لړلیک سره یوځای ثبت کړئ. بیا یوه دروازه بیا پیل کړئ او بیا ازموینه وکړئ: په لاس ورزیات شوې لاره ورکېږي، او بل کس ته اړتیا نشته چې هغه بیا ومومي.