څنګه وګورو چې د Linux VPN تونل واقعاً روان دی

Cron هره لس دقیقې یو بشپړ روغ VPN بیا پیلوي، او هماغه کار یو مړ VPN یوه اونۍ روان پریږدي. دواړه ناکامۍ له دې څخه راځي چې «روان» یوازې یوه واقعیت وګڼل شي، حال دا چې لږ تر لږه څلور دي. یو وسیله کېدای شي په اداري توګه فعاله، سمه لارښودل شوې، بشپړ کوډ شوې وي او بیا هم هېڅ ګټور ونه لېږدوي. لومړی کتنې جلا کړئ، ازموینه به نږدې پخپله ولیکل شي.

د لینک بیرغونه وسیله بیانوي، نه لاره

هغه ازموینه چې ټول کاپي کوي د ټولو صفرونو د سخت اوسپنې پته لټوي. هغه چال په ځینو ډرایورونو کې ریښتینی انټرفیس له ځای نیونکي څخه بېلوي او په نورو کې هېڅ نه ثابتوي، ځکه چې tun وسیله اصلاً د راپور ورکولو MAC نه لري. ip -brief link show tun0 پرځای یې بیرغونه ورکوي: UP مانا دا ده چې یو مدیر وسیله فعاله کړې، او LOWER_UP مانا دا ده چې ډرایور لینک د کارولو وړ ګڼي. یوځای لوستل شوي، دوی وایي چې وسیله شته او په اداري توګه بنده نه ده. هېڅ یو یې نه وایي چې کڅوړه د تلو ځای لري.

OpenVPN خپله tun وسیله د لارو له نصبېدو مخکې جوړوي، نو بیرغونه کېدای شي بشپړ ښکاره شي حال دا چې هېڅ لار نه ده ټاکل شوې. دوی د مخکیني شرط په توګه وګڼئ، هېڅکله د ځواب په توګه نه.

وپوښتئ چې کڅوړه به چېرته لاړه شي

د لارې پلټنه هغې پوښتنې ته ځواب وایي چې بیرغونه یې نه شي کولی. ip route get 10.8.0.1 from 10.8.0.2 انټرفیس، د سرچینې پته او هغه جدول چې کرنل به یې کاروي نوموي، او تقسیم شوی تونل باید دقیقاً هماغه ته په مقابل کې وازمویل شي. پرته له سرچینې پتې تاسو بل څه پوښتو، او په پالیسي بنسټیز لارښوونه کې ځواب کېدای شي د سرچینې له مخې توپیر ولري. دا ترټولو ارزانه رښتینې ازموینه ده، ځکه چې دا هماغه قواعد څخه پوښتنه کوي چې ستاسو ټرافیک به یې کاروي.

د WireGuard لپاره، لاس ورکول اضافه کړئ. wg show د هر ملګري لپاره د وروستي لاس ورکولو وخت نښه چاپوي، او هغه نښه چې مخته تګ یې بند کړی وي مانا دا ده چې ملګری لاړ، که د انټرفیس بیرغونه څه ووایي. هغه انټرفیس چې نوي لاس ورکول نه لري، په کورني څارنه کې یو له ترټولو عامو جعلي مثبتو څخه دی.

220 جدول د IPsec کیسه کوي

strongSwan د خبرو اترو شویو ټاکونکو لپاره لارې په 220 جدول کې نصبوي کله چې د لارو نصبول فعال وي. ip route list table 220 نو ځکه خبرې اترې شوې له لارښودل شوې څخه بېلوي: د بار شوي اړیکې څنګ ته خالي جدول مانا دا ده چې IKE او CHILD SA پورته شوې خو هېڅ ټرافیک ورته نه روان دی. وګورئ ip xfrm state د هغې څنګ ته، ځکه چې دا نصب شوې امنیتي ټولنې او د هغو پای نقطې لیستوي.

د تله تګلاره هغه حالت دی چې باید پام ورته وي. دا د لارښوونې پرځای په زړه پورې ټرافیک انتظار کوي، نو جدول خالي پاتې کېږي تر څو چې یو څه تونل پیل کړي.

د مدیر حالت او د ډیمون حالت بېل لیستونه دي

NetworkManager یوازې هغه اړیکې لیستوي چې خپلې دي. nmcli -t -f NAME,TYPE connection show --active په مستقیم ډول wg-quick یا د OpenVPN ډیمون لخوا پیل شوي تونل لپاره هېڅ نه بېرته راګرځوي.

دا توپیر هغه وخت مهم دی چې سکریپټ باید پرېکړه وکړي له دوو مدیرانو کوم وپوښتي. هغه غوره کړئ چې په دې کوربه تونل واقعاً لري او د بل چوپتیا ته پام مه کوئ. که دواړه وي، پرېکړه وکړئ چې کوم واکمن دی او دوهم بند کړئ، ځکه چې دوه مدیران چې په یو انټرفیس لارې بیا لیکي هغه ناکامۍ جوړوي چې هېڅوک یې بیا نشي جوړولی. ورکه شوې ننوتنه د مدیر په اړه معلومات دي، نه د تونل.

بل ګام له هغې ازموینې سره وتړئ چې ورته اړتیا لري

د UDP پورټ پلټنه د چمتووالي په اړه هېڅ نه ثابتوي، ځکه چې UDP لاس ورکول نه لري او nc -u سمدلاسه بریالی کېږي چې کڅوړه ووځي. وازموئ چې بل ګام واقعاً څه کاروي: د لیږدول شوي پورټ ته TCP اړیکه، تونل دننه کوربه ته غوښتنه، هغه نوم چې یوازې هماغه ځای حل کېږي. انتظار د وخت حد او د هڅو شمیر سره محدود کړئ، او کله چې پای ته ورسېد په لوړ غږ ناکام شئ.

کله چې کلایټ هنګونه وړاندې کړي، هنګونه له پلټنې غوره دي. --up او --down د OpenVPN سکریپټونه د انټرفیس د حالت له بدلېدو وروسته ځي، چې سیالي بشپړه له منځه وړي، خو د ډیمون هغه امتیازاتو سره ځي چې ساتلي یې دي. که OpenVPN user او group له لارې بې امتیازه حساب ته راکښته شوی وي، هنګ د هماغه حساب په توګه ځي. بیا د سیستم خدمت بیا پیلول sudo ته اړتیا لري چې دقیقاً هماغه حکم ته اجازه ورکړي. بیا هڅه د cron لوپ پرځای د خدمتونو مدیر ته وسپارئ: د پیل حد سره محدوده بیا پیل تګلاره مات شوی تونل ښکاره کوي، حال دا چې بې حد لوپ هغه بې پایه پټوي.