ایا د دوه OpenVPN سرورونو کلینټان کولی شي یو بل ته ورسیږي?

د دویم OpenVPN سرور جوړول تاسو ته د کلینټانو د نښلولو لپاره دویم ځای درکوي، او نور هیڅ نه. دا هغه کلینټان د لومړي سرور شبکې ته نه شي کېښودلای، او client-to-client په نوم انتخاب یوازې د یو سرور پروسې دننه فوروارډینګ بدلوي. دوه حوضونه یو شبکه هغه وخت کیږي چې تاسو په قصد سره د دوی ترمنځ لارښود وکړئ، د هر لوري لپاره یو مالک وټاکئ. لاندې هر څه د کارونکي فضا TUN حالت فرض کوي چې په هغه کې داخلي فوروارډینګ بند وي، نو پریکړه کرنل کوي.

افسانه: یوه حساب لیست، یو شبکه

تصدیق او رسیدنه یو له بل سره ګډیږي ځکه دواړه د سرور په ترتیب کې اوسي. هغه کارونکې چې کولی شي په دواړو ګیټوېونو کې یو ته ننوځي، له بهر څخه د دوه دروازو لرونکي یو سیستم کارونکې ښکاري. دننه، هر سرور خپل حوض ته ادرسونه ورکوي او یوازې د هغو کلینټانو لپاره لارې نصبوي چې هغه یې پای ته رسوي. نو د ګیټوې A یو کلینټ چې د ګیټوې B کلینټ ته پیکټ لیږي، د داسې منزل غوښتنه کوي چې خپل سرور یې کله هم نه دی اوریدلی. پیکټ د A ډیفالټ لار ته ځي، تونل پریږدي، او هغه فایر وال ته رسیږي چې کله هم د اجازې غوښتنه نه وه ورڅخه شوې.

نو دویم سرور زیاتول ریدونډنسي، کشف یا ګډ براډکاسټ ډومین نه زیاتوي. دا د پلان غوښتونکی لارښود شوی شبکه زیاتوي، او پلان د ادرس له تنظیم څخه پیل کیږي.

هر ګیټوې ته خپل حوض او ټرانسټ ادرس ورکړئ

دوه رینجونه چې له بل هر څه سره نښتي نه شي، او د هوسټونو ترمنځ یو کوچنی ټرانسټ لینک، ټول د ادرس پلان دی. ټرانسټ په خپل کنټرول شوي خصوصي برخه کې وساتئ، او هغه شمیرې ولیکئ مخکې لدې چې کوم سرور لیز ورکړي.

د دې هڅې مخه ونیسئ چې دواړو سرورونو ته یو شان حوض ورکړئ ترڅو پروفایلونه یو شان پاتې شي. کرنل لار نشي ویلای چې د دوه هوسټونو له منځه کوم یو اوس د ګډ رینج دننه خپلواک ادرس لري، نو د لارښود جدول به یو ګیټوې ته اشاره وکړي او کلینټ ممکن بل ته نښلول شوی وي. د انټرفیس نومونه ځایي دودونه دي، نه ګډ حالت. دلته دواړه هوسټونه تونل وسیله tun0 او ټرانسټ لینک transit0 بولي، چې سمه ده ځکه هیڅ پیکټ هغه نومونه نه لري.

په دواړو خواو لاره نصب کړئ

هر ګیټوې ته د ټرانسټ ادرس له لارې د بل حوض لپاره لاره ورته اړتیا ده، او فوروارډینګ باید فعال وي ترڅو یو یې د هوپ په توګه کار وکړي. لومړی اوسنی جدول تایید کړئ، بیا ننوتنه اضافه کړئ او د بیا نښلولو هک پرځای د هوسټ د شبکې مدیر له لارې یې دوامداره کړئ.

sysctl net.ipv4.ip_forward
ip route add 10.64.20.0/24 via 172.28.44.2 dev transit0
ip route get 10.64.20.37

حوضونه بدل کړئ او په بل هوسټ کې ورته عکس وکړئ. هماغه لاره له بې اړیکې سکریپټ څخه تکراري اضافه کول هغه څه دي چې هوسټ څو کاپي او بل ځل چې څوک جدول لولي یو مرموز بدلون پیدا کوي. که ټرانسټ لینک پخپله تونل وي، لاره د هغه تونل ټوپولوژي ته اشاره کوي او هوپ باید د هغې بیا نښلولو څخه ژوندی پاتې شي. هغه ټرانسټ ادرس چې دېرش ثانیو لپاره ورک شي، د حوضونو ترمنځ لاره هم له ځانه وړي، چې د کشف کولو پرځای د ویلو وړ ډیزاین ځانګړتیا ده.

د کلینټ لاره پوش کړئ پرته لدې چې د مالکیت تظاهر وکړئ

کلینټانو ته د لیرې حوض لپاره لاره ورته اړتیا ده، که نه د دوی خپل عملیاتي سیستم پیکټ خپل ډیفالټ ګیټوې ته لیږي او تونل یې کله هم نه ویني. سرور ترتیب هغه طبیعي ځای دی چې دا ورته ورسوي.

push "route 10.64.20.0 255.255.255.0"

په بل سرور ترتیب کې عکس لاین کېښودئ، بیا ازموینې کلینټ بیا ونښلوئ او جدول یې ولولئ. هغه کلینټ چې پوش شوې لارې نه مني خپل تصویب شوی ترتیب ته اړتیا لري، او هغه لاره چې کله هم نه رسیږي د لاسرسي کنټرول نه دی. کلینټ ته د بل ګیټوې ټول حوض لپاره iroute مه ورکوئ. هغه لارښوونه د یو نښلول شوي کلینټ شاته سبنیټ لپاره ده، او د ګیټوېونو ترمنځ د ورکې لارې پټولو لپاره د هغې کارول هغه سرور جوړوي چې ځان د داسې ادرسونو مالک ګڼي چې هغه ورته نه شي رسیدلی.

یوه غوښتنه ثابته کړئ او بله رد کړئ

یو ریښتینی عملیات وټاکئ، لکه له 10.64.10.21 کلینټ څخه 10.64.20.37 خدمت ته HTTPS، او په دواړو هوسټونو کې دقیقاً هغه اجازه ورکړئ. هر فایر وال خپلې داخلي خوا ته غوښتنه او د بیرته راستنیدو خوا ته تعقیب شوی ځواب مني؛ د منزل خپله خدمت پالیسي باید لا هم دا ومني.

iptables -A FORWARD -i tun0 -o transit0 -s 10.64.10.21 -d 10.64.20.37 -p tcp --dport 443 -j ACCEPT
iptables -A FORWARD -i transit0 -o tun0 -d 10.64.10.21 -s 10.64.20.37 -p tcp --sport 443 -m conntrack --ctstate ESTABLISHED -j ACCEPT

د دوه اړخیزو لارو سره سرچینه NAT غیر ضروري او دلته فعال زیانمنونکې ده: د سرچینې ژباړل پټوي چې کوم کلینټ غوښتنه کړې او د منزل خوا ته د سرچینې پر بنسټ پالیسي ماتوي. وګورئ چې د انټرنیټ وتلو لپاره شته ماسکورېډ قاعده دا لاره هم نه نیسي. بیا ردول ازموئ. هغه خدمت چې باید په حوض B کې ځایي پاتې شي باید له حوض A څخه نه رسیدونکې پاتې شي، او د یو ګیټوې کلینټ جوړې هم باید ازمویل شي، ځکه هغه فوروارډینګ پالیسي چې تاسو همدا اوس بدله کړه د دوی باندې هم تطبیقیږي.

د ذهني ماډل یو بل سمون: ټرانسټ لینک ډیکرپټ شوي داخلي پیکټونه وړي، نو دا خصوصي تضمین نه، بلکې باور پوله ده. که دا داسې شبکه تیروي چې تاسو یې نه کنټرولئ، هغه هوپ د تصویب شوي انکرپټ شوي تونل سره وساتئ او د هغې ریښتیني ټوپولوژي له لارې لارښود وکړئ. د پای څخه تر پای TLS لا هم پخپله اپلیکیشن تصدیقوي، ځکه داخلي خدمت باید دا کارول دوام ورکړي.