ولې بشپړ-ټنل VPN ستاسو رټ شوي ځایي VLANونه پټوي

په VPN کلاینټ کې «ځایي شبکې ته اجازه ورکړه» سوئیچ داسې ښکاري چې په ودانۍ کې هر څه پوښي۔ په عمل کې دا معمولاً د تونل ډیفالټ لارې ته څو شخصي پتو استثناوې اضافه کوي او همالته ودرېږي۔ ستاسو د زېرمې VLAN یوازې هغه وخت د لاسرسي وړ پاتې کېږي کله چې د هغه ځانګړي پریفکس لپاره لاره د تونل د راتلو پر مهال ژوندې پاتې شي, او په ډېرو کلاینټونو کې نه پاتې کېږي۔

دا د VPN تنظیم نه، بلکې د لارښوونې پوښتنه ده، او دا ښه خبر دی: دې ته یو روښانه ځواب شته۔

«ځایي شبکې ته اجازه ورکړه» په حقیقت کې څه پوښي

کلاینټونه دا انتخاب په بېلابېلو ډولونو پلي کوي۔ ځینې د هغې فرعي شبکې لپاره لارې اضافه کوي چې ماشین ورسره نښلول شوی، ځینې د RFC 1918 سیمې اضافه کوي، او لږ شمېر یې یوازې ډیفالټ ګېټوې استثنا کوي۔ له دوی څخه هیڅوک نه پوهېږي چې ستاسو د دفتر روټر د زېرمې VLAN، د لابلاټوري برخه یا د پرنټر فرعي شبکه هم خدمت کوي، ځکه چې هغه پریفکسونه په هغه شبکه کې نه دي چې کلاینټ یې لیدلی شي۔ د دې پر ځای چې فرض کړئ لیبل ستاسو ټوپولوژي بیانوي، د دقیق چلند لپاره د کلاینټ خپل اسناد ولولئ۔

دا توپیر په بشپړ-ټنل ډیزاین کې تر ټولو مهم دی، چېرې چې کلاینټ په قصداً ډیفالټ لاره بدلوي ترڅو ټول ترافیک د VPN له لارې ولاړ شي۔ دا د ډیزاین ټول هدف دی، او همدا هم د ځایي رټ شوو شبکو د ورکېدو لامل دی۔ دوی هېڅکله خپله لاره نه درلوده؛ دوی پر هغه ډیفالټ لاره سپاره وو چې همدا اوس بدله شوې۔ کلاینټ نشي کولی هغه څه ته لار وټاکي چې شتون یې نه پوهېږي، او یوازې هغه پریفکسونه زده کوي چې خپل انټرفیس ته نښلول شوي۔ نور هر څه باید هغه څوک بیان کړي چې ټوپولوژي پېژني۔

نښلول شوې لارې په لومړي روټر کې ودرېږي

د 192.168.10.1 ګېټوې سره 192.168.10.20/24 کاري سټیشن په اتوماتيک ډول د 192.168.10.0/24 لپاره نښلول شوې لاره ترلاسه کوي۔ د 192.168.20.0/24 په زېرمه VLAN بېل پریفکس دی، یوازې د هغه ګېټوې له لارې د لاسرسي وړ دی، او کاري سټیشن د ډیفالټ پرته بل څه لاره نه لري۔ د تونل له پورته کېدو مخکې، عادي ډیفالټ د زېرمې ترافیک 192.168.10.1 ته لېږي او هر څه سم کار کوي۔

کله چې VPN د بشپړ-ټنل ډیفالټ نصبوي، د 192.168.20.1 لپاره پاکټونه نوي ډیفالټ تعقیبوي او تونل ته ننوځي۔ لرې ګېټوې نه پوهېږي چې هغه پریفکس چېرې دی، نو هغه یې غورځوي یا بېګټې ځای ته لېږي۔ په زېرمه VLAN کې هېڅ شی غلط تنظیم شوی نه و؛ د هغې لار په پور اخیستل شوې وه، او پور بیرته وغوښتل شو۔

زړه غواړي چې د /1 لارې جوړه یا دویم ډیفالټ په څېر پراخه استثنا وکاروي۔ مقاومت وکړئ۔ هر څومره چې استثنا تنګ وي، هغومره یې تشریح کول، پلټنه او د شبکې بدلون پر مهال لرې کول اسانه دي۔

استثنا په هغه جدول کې کېږده چې ګټي

د یوې لارښوونې جدول په داخل کې /24 د تر ټولو اوږد پریفکس مطابقت له مخې /0 یا /1 ته ماتې ورکوي، نو د ځایي ګېټوې له لارې زېرمه VLAN ته ځانګړې لاره کافي ده، په دې شرط چې جدول په هر ډول سره وکتل شي۔ په لینکس کې عادي بڼه لنډه ده:

ip route add 192.168.20.0/24 via 192.168.10.1 dev eth0

د پالیسۍ لارښوونه دا تضمین پیچلي کوي۔ یوه پخوانۍ قاعده کولای شي ترافیک هغه جدول ته ولېږي چې خپله ډیفالټ لاره یې تونل ته ځي، او بیا ستاسو /24 لرونکی اصلي جدول هېڅکله ونه رسېږي۔ مخکې له دې چې لاره واکمنه وګڼئ، قواعد وګورئ، ځکه چې په غلط جدول کې سم ښکاره ننوتل هغه ناکامي تشریح کوي چې ماتې شوې لارې ته ورته ښکاري۔

بیا ننوتل د کلاینټ د ملاتړ شوي میکانیزم یا د انټرفیس مالک شبکه مدیر له لارې دوامداره کړئ۔ په پرامپټ کې ټایپ شوې لاره په راتلونکي بیا نښلولو کې ورکېږي، او یوې Wi-Fi ګېټوې ته تړل شوې لاره لپټاپ ته په راتلونکې شبکه کې نه ځي۔

نومونه او پالیسي د لارو پسې نه ځي

د لارې سمول پاکټونه بیرته راولي، نومونه نه۔ که ځایي وسیلې د هغه ریزالور له لارې حل شي چې د دوی په اړه هېڅ نه پوهېږي، نو د پتې د لاسرسي وړتیا سره سره ماونټ بیا هم ناکامېږي۔ ځایي نومونو ته ځایي یا ووېشل شوي DNS ترتیب ته اړتیا ده، او دا د لارې استثنا څخه جلا پریکړه ده۔

پالیسي بیا جلا ده۔ د VPN کلاینټ ځایي لاسرسي فلټر کولای شي په قصداً شخصي سیمو ته ترافیک منع کړي، او لاره هغه قاعده نه ماتوي۔ په نا باوري شبکه کې شخصي پته هم دا ثبوت نه ده چې منزل ستاسو د زېرمې سرور دی، نو استثنا باید د لارې په څېر ځانګړې وي۔

هغه تړون چې تاسو یې سپارلی شئ

بشپړ ډیزاین باید د لنډ لیست په څېر ولولل شي: عمومي انټرنیټ ترافیک تونل تعقیبوي، او دا نومول شوي ځایي پریفکسونه د ځایي روټر له لارې خپله لاره ساتي۔ پریفکسونه، راتلونکی ټوپ او ورسره تړلی DNS سافکس ولیکئ، او لیست دومره لنډ وساتئ چې څوک یې پرته له لارښوونې جدول لوستلو تصدیق کړای شي۔

د ځایي او لرې سیمو تر منځ د تداخل په اړه ځیرک اوسئ۔ هغه زېرمه VLAN چې د VPN تر شا د یو څه سره پریفکس شریکوي به هغې لارې ته حل شي چې ډېره ځانګړې ده، او پایله یې داسې ګډوډونکی چلند دی چې وقفه یي ښکاري۔ یو اړخ بیا شمېرل معمولاً د هغې ابهام تل لپاره ډیبګ کولو څخه ارزانه تمامېږي۔

تړون دوه ځله وازموئ: یو ځل د تونل پورته والي سره او یو ځل د هغه د ښکته والي سره۔ که ځایي لاره یوازې په یوه حالت کې کار کوي، نو استثنا لا تړون نه دی۔