د روټر VPN لپاره د ناکامۍ بدیل پالیسي څنګه پرته له خپریدو جوړه کړو
پریکړه وکړه چې کله غوره تونل ولوېږي ترافیک څه وکړي: بیک اپ تونل، ساده WAN یا بندول. بیا یې په روټر کې جوړ او وآزمویه.
د ناکامۍ بدیل بالکل هغسې کار وکړ لکه څنګه چې تنظیم شوی و، او همدا ستونزه وه۔ کله چې اصلي تونل ولوېد، روټر د کابلي مودیم لپاره ډیفالټ لاره بدله کړه، لپ ټاپونه لا هم براوز کول، او هیچا زنګ ونه وه۔ دوه ورځې وروسته چا ولیدل چې د مالیې شریکه شپږ ساعته د انټرنېټ پرانیستې لارې له لارې د لاسرسي وړ وه۔ د روټر VPN د ناکامۍ بدیل پالیسي د روټینګ چل نه دی؛ دا پریکړه ده چې کله غوره لاره ورکه شي، ترافیک څه وکړي، او دا پریکړه باید د لارې له ورکیدو مخکې موجوده وي۔
د کشف کوونکي غوره کولو دمخه پایله وټاکه
معمولاً درې پایلې په میز دي: اغیزمن شوي کاروونکي د بیک اپ تونل له لارې ولېږه، دوی ته اجازه ورکړه چې عادي WAN وکاروي، یا دوی په بشپړ ډول بند کړه۔ ولیکه چې کومه یوه کوم VLAN، SSID یا د وسیلې ټولګي ته تطبیق کیږي۔ یوازې یو ساده «WAN ته واوړه» قاعده د دې لامل شوه چې پورتنی د مالیې شریکه عمومي لارې ته ورسیده۔
درې واړه د تبادلې وړ نه دي۔ WAN ته راستنیدل د ملاتړ ډیسک تلیفونونو ته د ځواب ورکولو په حال کې ساتي خو داخلي نومونه محلي حل کوونکي ته ښکاره کوي۔ بیک اپ تونل پالیسي ساتي خو ممکن هغه وتلو پتې ته ورسیږي چې هغه پلو یې نه مني۔ بندول د معاشاتو VLAN لپاره سم دي او د مېلمنو شبکې لپاره ناسم دي چې هیڅکله تونل نه دی کارولی۔
| Outcome | Right for | What breaks |
|---|---|---|
| Backup tunnel | Policy must hold, remote access required | New exit address, return route, slower rekey |
| Plain WAN | Guest or public-only traffic | Internal names, DNS and IPv6 exposure |
| Block | Payroll, admin, anything VPN-only | Users lose all access and call you |
کشف کوونکی له هغې ناکامۍ سره سم کړه چې واقعاً ترې ویره لرې
د لاس ورکولو حالت، د انټرفیس حالت او د کار وړ لیږد درې مختلف سیګنالونه دي، او یوازې وروستی یې کاروونکي ته مهم دی۔ د WireGuard یو همکار کولی شي وروستی لاس ورکول وښیي پداسې حال کې چې د چمتو کوونکي پورتنۍ شبکه پاکټونه غورځوي۔ د OpenVPN یو کلاینټ کولی شي «نښلول شوی» پاتې شي وروسته له دې چې هغه لاره چې هغه ټینګه کړې وه حل کیدل بند کړل۔
په pfSense کې عملي ترتیب د دروازو یوه ډله ده چې dpinger یې تغذیه کوي، کوم چې یوه څارنه پته ازموي او دروازه د خرابېدو په توګه نښه کوي کله چې ضایع یا ځنډ د هغې حدونه تیر کړي۔ هغه څارنه تونل څخه بهر یو شي ته ونیسه، لکه په لیرې LAN کې یو کوربه یا یوه عمومي پته چې د هغه له لارې رسېږې۔ د تونل خپلې همکارې پتې ته نښه کول هغه برخه اندازه کوي چې ته پوهېږې ژوندې ده۔
ډله داسې جوړه کړه چې بیک اپ وروستی بدیل پاتې شي
د یوې ساده غړو لیست پرځای طبقې وکاروه۔ اصلي په 1 طبقه کې، بیک اپ تونل په 2 طبقه کې، WAN په 3 طبقه کې یوازې هغو VLAN لپاره چې پالیسي یې اجازه ورکوي۔ په pfSense کې دا د System > Routing > Gateway Groups لاندې دی: دواړه دروازې اضافه کړه، مختلفې طبقې ورکړه، Trigger Level د غړي خرابېدو او پاکټ ضایع ته وټاکه، خوندي کړه، بیا ډله د انټرفیس ډیفالټ یا د فایر وال قواعدو د Gateway ساحې په توګه پلي کړه چې ورته اړتیا لري۔
د pfSense 2.5 او وروسته په یوه OpenVPN کلاینټ انسټانس کې، د انسټانس Default Gateway ترتیب پریکړه کوي چې ایا تونل د سیستم ډیفالټ لاره بدلوي که نه۔ د قاعدې له مخې روټینګ یوازې هغه وخت هغسې چلند کوي لکه ته چې تمه لرې کله چې هغه لاره چې ته یې فرض کوې واقعاً نصب وي۔ بدلون وروسته Status > Gateways وګوره، د تونل د حالت آیکون باور پرځای۔
دوه تنظیمات د ډیری څپې لامل کیږي۔ یو د ازموینې وقفه ده چې د چمتو کوونکي خپلې بیا یوځای کیدو څخه لنډه ده۔ بل هغه ډله ده چې اصلي او بیک اپ پکې یوه طبقه شریکوي، نو دواړه هر وخت وړ پاتې کیږي۔ د ضایع او ځنډ حدونو له لارې هیسټریس اضافه کړه مخکې له دې چې کاروونکي بدلونونه ستا لپاره احساس کړي۔
هغه لارې وتړه چې تونل هیڅکله نه درلودې
لومړی د DNS خپریدل۔ حل کوونکی په WAN کې ځواب ورکول دوام لري او له هغې بهر لیږدوي، نو نومونه د ISP له لارې حل کیږي پداسې حال کې چې ترافیک تونل ته ټینګ دی۔ د حل کوونکي وتلې انټرفیسونه محدود کړه، داخلي حل کوونکی کلاینټونو ته ولېږه، او پورټ 53 د VPN یوازې VLAN کې نورو هر شي لپاره بند کړه۔
IPv6 خپله پریکړه غواړي۔ دوه ګونی سټیک LAN کولی شي تونل له لاسه ورکړي او یوه کاري نړیواله IPv6 ډیفالټ لاره وساتي، نو براوزرونه IPv6 غوره کوي او د WAN له لارې وځي پداسې حال کې چې IPv4 بشپړ مهار شوی ښکاري۔ یا IPv6 تونل ته لاره ورکړه یا د تونل د خرابېدو پر مهال نړیوال مخفف اعلانول بند کړه۔ نیمه پالیسي له هیڅ څخه بدتره ده، ځکه چې د کار کولو په څیر ښکاري۔
بیا د بېرته راتګ لار۔ که بیک اپ وتل بېله سرچینې پته کاروي، هغه پلو باید پوه شي چې ترافیک څنګه بېرته هغې ته ولېږي، او هر هغه حالت چې زاړه پتې ته تړل شوی وي لا دمخه مړ دی۔ هغه سیشنونه چې کله اصلي ولوېد پرانیستل شوي وو نه کوي؛ دوی تر هغه پورې ودریږي چې وخت یې پای ته ورسیږي او اپلیکیشن پریکړه وکړي چې څه وکړي۔
لوېدل، څپه او د بېرته دننه کیدو لاره وآزمویه
اصلي د بې زیانه ترافیک په چلیدو سره وباسه، بیا څلور شیان ولوله: Status > Gateways د ډلې د غړو حالتونو لپاره، pfctl -ss د هغو حالتونو لپاره چې لا هم زاړه دروازې ته ټینګ دي، له یوه کلاینټ څخه traceroute د وتلو لارې لپاره، او د حل کوونکي یوه پوښتنه چې وګورې کوم سرور ځواب ورکړ۔
اوس څپه جوړه کړه۔ اصلي دېرش ثانیې پورته کړه، دېرش ثانیې ښکته، دوه ځله۔ که ترافیک هر بدلون تعقیب کړي، حدونه ډیر تنګ دي یا طبقې ناسمې دي۔ خپل مهال ویش کې یې سم کړه، ځکه که نه چمتو کوونکی به یې خپل مهال ویش کې وکړي۔
په پای کې تایید کړه چې لا هم کولی شي روټر اداره کړې۔ د کنسول کیبل، د مدیریت VLAN یا ګرځنده مودیم په څیر د باندې لاره وساته۔ د ناکامۍ بدیل هغه ازموینه چې تا بندوي هغه ازموینه ده چې نه شي بشپړولی، او نه رارسیدونکی روټر پخپله نه شي کولی بېرته راشي۔
مخکې له دې چې پالیسي بشپړه وبلې، باید پرته له ترمینال پرانیستلو څلور پوښتنو ته ځواب ووایې: کوم VLAN کولی شي WAN وکاروي پداسې حال کې چې تونل خراب دی، کشف کوونکی څه څاري او څومره انتظار کوي، کوم نوم سرورونه او IPv6 لارې له لارې سره ځي، او که بیک اپ هم ناکام شي څنګه بېرته دننه شې۔ که هر ځواب «هر څه چې ډیفالټ و» وي، پالیسي لا هم روټر ته اړه لري نه تا ته۔