د بشپړ تونل OpenVPN: د سرور په اړخ کې د انټرنیټ وتنه ورزیاته کړئ

یو کلاینټ تصدیق کوي، له حوضې څخه پته ترلاسه کوي او د VPN کوربه په خدمتونو رسېږي، خو هر عامه منزل د وخت له پای ته رسېدو سره ودرېږي. له وتنې پرته تونل همداسې ښکاري، او تر هغه پورې همداسې پاتې کېږي چې څلور جلا شیان سم نه شي. کلاینټ باید تلوالې لاره ومني، سرور باید ولېږدوي، اوروژونکی باید تېرېدل اجازه کړي، او ځوابونو ته حوضې ته د ستنېدو لاره ته اړتیا ده. څلور واړه نیمګړتیاوې یوه نښه لري، نو په هر هڅه کې یو شی بدل کړئ او پایله ولیکئ.

تلوالې لاره ټېله کړئ او وګورئ چې کلاینټ څه نصب کړل

د سرور اړخ کرښه لنډه ده، او یوازې هغو کلاینټونو ته اغېزه کوي چې ټېل شوي انتخابونه مني. د def1 بڼه د موجودې تلوالې د ړنګولو پر ځای دوه نیمې تلوالې لارې نصبوي، چې اوسنی اړیکه ژوندی ساتي او بیا هم هر منزل نیسي.

push "redirect-gateway def1"

له بیا وصلېدو وروسته د پروفایل باور کولو پر ځای د کلاینټ د لارښوونې جدول ولولئ. په Linux کې دوه /1 ننوتنې د اصلي تلوالې ترڅنګ ښکاري، او Windows هماغه جوړه د 0.0.0.0/1 او 128.0.0.0/1 په بڼه ښیي. هغه کلاینټ چې ټېل شوي انتخابونه له پامه غورځوي، یا هغه چې د هغو د ردولو لپاره تنظیم شوی، خپله زړه تلواله ساتي او هېڅکله انټرنیټ ترافیک تونل ته نه لېږي. دا پوښتنه د سرور په بدلولو دمخه حل کړئ، ځکه چې د سرور اړخ هېڅ قاعده یې جبرانولی نه شي.

لېږدول د سرور تنظیم دی، نه د VPN تنظیم

د لارښوونې له لاس وهلو دمخه د لېږدولو بیرغ ولولئ. هلته صفر یعنې کرنل د کلاینټ بسته اخلي او د هغې د مخته لېږلو انکار کوي، چې له لرې پای څخه د اوروژونکي بندېدو په څېر ښکاري. ارزښت د سیستم د تنظیماتو له لارښودې لارې وټاکئ تر څو له بیا پیل وروسته هم پاتې شي.

sysctl net.ipv4.ip_forward
echo 'net.ipv4.ip_forward=1' | sudo tee /etc/sysctl.d/99-vpn-forward.conf
sudo sysctl --system

بیا، ډاډ ترلاسه کړئ چې کوربه پخپله انټرنیټ وتنې ته کارېدونکې لاره لري. د سرور شیل څخه غوښتنه ثابتوي چې پورتنۍ لاره کارېدونکې ده او د کلاینټ بستې لېږدولو په اړه هېڅ نه وایي، نو هغوی دوه جلا ازموینې وګڼئ. که سرور منزل ته ونه رسېږي، د لېږدولو تنظیمات څومره هم وي مرسته نه کوي.

یوازې هغه تېرېدل اجازه کړئ چې غواړئ، بل هېڅ نه

لېږدول شوې بستې forward لاره تېروي؛ هغه ترافیک چې پخپله VPN کوربه ته استول شوی input لاره تېروي. دا جلا پرېکړې دي، او د input لارې پرانیستل ماشین ته د تېرېدو اجازه نه ورکوي. د دوی ګډول هغه ترټولو عامه لامل دی چې اوروژونکی هر څه اجازه کوي ښکاري خو کلاینټونه بیا هم د وخت پای ته رسېدو سره مخ کېږي.

لږترلږه پالیسي له حوضې څخه د وتنې انټرفیس په لور نوي اړیکې مني او هغه ځوابونه مني چې تړلو بهیرونو پورې اړه لري. هغه په هغه قاعدې ټولګې مالک کې کېږدئ چې ستاسو وېش یې کاروي، د هر پیل په وخت کې دوه ځله قاعده ورزیاتولو پر ځای؛ دوه ځله قاعدې غونډېږي او شمېرونکي بې مانا کېږي.

sudo iptables -A FORWARD -i tun0 -o eth0 -s 10.90.0.0/24 -j ACCEPT
sudo iptables -A FORWARD -i eth0 -o tun0 -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT

هر ځنځیر منلو ته بدلول ازموینه بریالۍ کوي او د اوروژونکي د شتون لامل لرې کوي. ساحه پر حوضه او وتنې انټرفیس محدوده کړئ، او نااړوند لېږدول پرېږدئ.

ځوابونو ته د تګ ځای ورکړئ

د حوضې پتې خصوصي دي، نو عامه سرور نشي کولی ځواب مستقیم هغوی ته ورسوي. یا VPN کوربه د وتلو پر مهال د سرچینې پته ژباړي، یا پورته وسیله حوضې ته د ستنېدو لاره لري.

sudo iptables -t nat -A POSTROUTING -s 10.90.0.0/24 -o eth0 -j MASQUERADE

دقیقاً یوه ژباړې طبقه ورزیاته کړئ. په لوړو کې دویم NAT لومړی پټوي او کله چې وروسته یو شی خراب شي دواړه لاګونه نږدې بې ګټې کوي. که پورته روټر حوضه لا دمخه بېرته لارښوونه کوي، په کوربه کې ژباړه ورزیاتول اضافي دي، او د ستنېدو لاره بیا ستاسو پر ځای د هغه روټر د تنظیماتو پورې تړلې ده.

د ورېځو نمونې یوه بله دروازه ورزیاتوي، ځکه ځینې پلیټ فارمونه هغه بستې غورځوي چې د سرچینې پته یې د نمونې خپله نه وي، پرته له دې چې هغه کتنه اسانه شي. هغه تنظیم له مېلمه بهر دی او کله چې سیمه ییز ازموینې ماشین کار کوي هېرول اسانه دي.

دا له کلاینټ څخه ثابت کړئ، نه د سرور له شیل څخه

د عددي IPv4 غوښتنې سره پیل وکړئ، بیا د نوم لټون، بیا اپلیکیشن. ping لېږدول او ژباړه ثابتوي;د نوم حلولو په اړه هېڅ نه ثابتوي، ځکه د DNS انتخابونه یوازې هغه وخت نافذ کېږي چې د کلاینټ یوځای والی هغوی نصب کړي.

curl -4 -m 5 http://198.51.100.10/
dig +short example.com

بدلونونه او د بېرته اړولو ګام په تګ کې ولیکئ، تر څو د ازموینې په ناکامېدو کې د وتنې پالیسي په یوه کړنه بېرته راوړل شي. دا لارښود یوازې IPv4 پوښي; د دې ادعا دمخه چې ځای پر ځای کول ټول ترافیک وړي، IPv6 جلا لیست کړئ.