د LAN راؤټر او VPN کلاینټ: دوه وسیلې، دوه د لارې جدولونه

دوه وسیلې پاکټ لیږدوي او هر یو خپل جدول ساتي. د LAN راؤټر پوهیږي چې لرې پریفکس د VPN کلاینټ دی، او VPN کلاینټ پوهیږي چې څنګه د خپل تونل له لارې هغه پریفکس ته ورسیږي. یوازې لومړی جدول تنظیم کړئ او پاکټ هغه ماشین ته رسیږي چې سمه لاره نلري، نو بیا د ډیفالټ له لارې وځي. دا ټول خرابي ده، او د LAN له اړخه د لارې د حلقې په څیر ښکاري، ځکه چې نږدې همداسې ده.

د لارې له لمس کولو دمخه دوه ګامونه وکښئ

یو مثال ترتیب واخلئ: د LAN کوربه په 192.168.50.0/24، عادي راؤټر په 192.168.50.1، ځانګړی کلاینټ په 192.168.50.15، او لرې LAN په 10.60.0.0/24 چې یوازې د هغه تونل له لارې د لاسرسي وړ دی چې دا کلاینټ یې لري. د دوو خصوصي حدودو څخه هیڅ یو بل سره نه یوځای کیږي، او تونل خپله پته پلان لري.

دواړه خصوصي حدود مهم دي ځکه چې دوی ټاکي کومه وسیله ځواب ورکولی شي. لرې اړخ به وګوري چې پاکټ د کلاینټ د تونل له پتې راځي، او د هغې ځواب باید 192.168.50.0/24 ته د بېرته تګ لاره ومومي. که یوازې د وتلو لوری تنظیم شوی وي، غوښتنه کیدای شي کار وکړي پداسې حال کې چې ځواب ورکیږي.

ګام 1: راؤټر تونل ته نه، کلاینټ ته وګرځوئ

د LAN راؤټر په سر، یو د منزل لاره اضافه کړئ چې بل ګام یې د کلاینټ LAN پته ده:

ip route add 10.60.0.0/24 via 192.168.50.15
ip route get 10.60.0.55

هغه ریکارډ وایي «هغه ماشین ته یې ورسوه چې تونل جوړولی شي». د دې په اړه هیڅ نه وایي چې تونل څنګه جوړیږي، او د کلاینټ خپله لاره نه بدلوي. په مدیریت شوي راؤټر کې مساوي شی د وسیلې د سټاټیک لارو په پاڼه کې ژوند کوي؛ په Linux راؤټر کې دا د هغه انټرفیس تنظیماتو پورې اړه لري چې LAN لري، نه هغه شیل ته چې تاسو یې تړئ.

د دوهم کمانډ ځواب وګورئ. که دا کلاینټ gateway او د LAN انټرفیس device په توګه راپور کړي، لومړی ګام سم دی او پاتې کار په بل ماشین کې دی.

ګام 2: کلاینټ ته د تونل په اړخ کې خپله لاره ورکړئ

کلاینټ اوس د 10.60.0.0/24 لپاره پاکټ ترلاسه کوي او خپل جدول ګوري. که د هغه د تونل تنظیمات د دې پریفکس لپاره لاره نصب کړې وي، پاکټ په کوډ شوي ډول دوام کوي. که نه، پاکټ له عادي ډیفالټ سره سمون خوري او 192.168.50.1 ته بیرته ځي، چې هغه بیا کلاینټ ته لیږي.

د یو څه اضافه کولو دمخه وګورئ:

ip route show table all | grep -E "10\.60\.0\.0/24|default"
sysctl net.ipv4.ip_forward

په ټولو جدولونو کې د پریفکس لارې نشتوالی هغه موندنه ده چې تاسو یې لټوئ. دا د تونل د خپل تنظیم له لارې اضافه کړئ، ترڅو بل بیاځلي اتصال یې بیرته نصب کړي؛ لاسي ip route add د غونډې سره ورکیږي او خرابي په ترټولو ناوړه وخت کې بیرته راوړي. بل ګام د تونل انټرفیس یا هغه پته ده چې VPN د خپل سیال په توګه ورکوي، د کلاینټ پورې اړه لري، او د سیال پته باید له زاړه یادښت نه، بلکې له اوسني پروفایل څخه راشي.

حلقه، کله چې پیښیږي، په عمل کې بې حده نه ده: TTL په هر تیریدو کې کمیږي او پاکټ د وخت د تیریدو پیغام سره مري. له همدې امله تکرار شوی traceroute کیدای شي د دورې اشاره وکړي، پداسې حال کې چې هغه کلاینټ چې یوازې لیږد نه کوي هغه پاکټ په خاموشۍ غورځوي.

ګام 3: لیږد ته اجازه ورکړئ او د بېرته تګ لاره وټاکئ

ترلاسه کول او لیږد مختلف اجازې دي. په کلاینټ کې net.ipv4.ip_forward=1 د کرنل په کچه تګ راتګ ته اجازه ورکوي، او د فایر وال قاعده باید لاهم د LAN انټرفیس او تونل ترمنځ اجازه ورکړي. هغه قاعده چې د کلاینټ خپل مدیریت پاڼې ته لاسرسی اجازه ورکوي، لرې LAN ته تګ راتګ ته اجازه نه ورکوي، او دا توپیر اسانه دی چې له پامه ونه غورځول شي کله چې هماغه کوربه په سیمه ایزه توګه ping ته ځواب وایي.

لرې اړخ د هینې په څیر ستونزه لري. هغه باید پوه شي چې 192.168.50.0/24 د دې تصدیق شوي کلاینټ له لارې د لاسرسي وړ دی. له OpenVPN سره دا معمولا د هر کلاینټ لپاره لاره معنی لري چې د سرور تنظیم یې فشاروي، یا په سرور کې د کلاینټ ځانګړی فایل چې د کلاینټ شاته LAN اعلانوي. پرته له دې، لرې LAN یا ځواب غورځوي یا هغه خپل ډیفالټ ګیټ وی ته، یعنې انټرنیټ ته لیږي.

کله چې د LAN پریفکس اعلان نشي کیدای، د سرچینې ژباړه بدیل دی. په کلاینټ کې محدود masquerade قاعده سرچینه تونل پتې ته بیا لیکي، او ځوابونه بیا په طبیعي ډول بیرته راځي. دا هم پټوي چې کوم LAN کوربه غوښتنه کړې، او پخپله لرې اړخ ته اجازه نه ورکوي چې دننه اړخ ته اړیکې پیل کړي. دا سودا په قصدي ډول غوره کړئ، د دې پرځای چې هر اړخیز masquerade اضافه کړئ او وروسته اړخیزه اغیزه ومومئ.

ګام 4: دواړه پریکړې دوامداره کړئ، بیا ریښتینې لاره ازموئ

هره لاره یو مالک لري، او مالک هغه تنظیم دی چې د بوټ یا بیاځلي اتصال په وخت کې بیا جوړیږي. په راؤټر کې دا د سټاټیک لارې ثبت کیدای شي؛ په کلاینټ کې دا د VPN پروفایل، NetworkManager یا systemd-networkd کیدای شي. د تونل په بیا نښلولو او کلاینټ په بیا پیلولو سره تایید کړئ، بیا د بدلون باور کولو پرځای جدول بیا ولولئ.

هغه ډیفالټ لاره چې د تونل بهرنۍ اړیکه وړي، نه لمس کړئ. د ترتیب د «ساده کولو» لپاره د هغې بدلول کوډ شوې لاره مخکې له دې چې هر داخلي ترافیک یې وکاروي ماتوي، او نښه یې هغه تونل دی چې د بدلون وروسته هیڅکله بیا نه ټینګیږي.

له عادي LAN کوربه څخه ازموینه وکړئ، نه له کلاینټ څخه، ځکه چې په کلاینټ کې پیدا شوې غوښتنه هیڅکله د راؤټر لومړی ګام نه کاروي. هغه خدمت راوړئ چې یوازې په لرې LAN کې شتون لري او د ځواب اصلي برخه تایید کړئ، بیا د تګ راتګ لیدلو لپاره د کلاینټ کاونټرونه یا لاګونه وګورئ. هغه داخلي traceroute چې خصوصي ګامونه ښیي لیږد ثابتوي، نه کوډ کول: بهرنۍ لاره جلا مشاهده ده، او یوازې د تونل خپل انټرفیس کاونټرونه ښیي چې له هغې څخه څه ووتل.