ماسکریډ یا د پالیسۍ پر بنسټ لارښوونه: د VPN ګېټوې له لارې LAN ترافیک

ټول LAN د VPN ټونل تر شا ایښودل اسانه برخه ده؛ دا پرېکړه چې لرې خوا هغو کړندودونو ته څنګه ګوري، اسانه نه ده۔ ماسکریډ هر LAN سرچینه د ګېټوې د ټونل پتې ته بیا لیکي، نو لرې خوا یوازې یو همکار ته ځواب ورکوي۔ د پالیسۍ پر بنسټ لارښوونه اصلي پتې ساتي او غواړي چې لرې خوا پوه شي چې څنګه ورته ورسېږي۔ دواړه تلوالې نه دي؛ ټاکنه په دې پورې اړه لري چې لرې خوا چا پورې اړه لري او د هر وسیلې پېژندنه مهمه ده که نه۔

دواړه ډیزاینونه بېلابېل څیزونه ژمنه کوي

ماسکریډ LAN یوازې یو ښکاره کوربه ته راکموي: ګېټوې۔ لرې شبکه هماغه یوه پتې ته ځواب ورکوي، او ګېټوې ځوابونه بیرته هغه کړندود ته ژباړي چې بهیر یې پیل کړی و۔ په لرې خوا کې ستاسو شخصي مخکښو ته کومه لار نه ده اړینه، له همدې کبله دا ډیزاین له هغه چمتو کوونکي سره هم پاتې کېږي چې د هغوی د لېږلو غوښتنه نه مني۔ ګېټوې د هر اړیکې سرچینه هم کېږي، نو لرې خوا نشي کولی دوه کړندودونه سره توپیر کړي۔

د پالیسۍ پر بنسټ لارښوونه د هر کړندود پته بشپړه ساتي۔ لرې شبکه ریښتینې سرچینه ویني او کولی شي ثبت یې کړي، د هر کوربه لپاره قاعده پلي کړي یا ځواب مستقیم هماغه پتې ته ولېږي۔ همدا لیدل پوره خبره ده، او د یو مکلفیت سره راځي: لرې خوا باید د LAN مخکښ لپاره داسې لار ولري چې د ټونل له لارې بېرته ځي۔ دا لار د قاعدې له چالانولو مخکې پلان کړئ، ځکه ټونل په هر حال پورته کېږي او یوازې ځوابونه به کم وي۔

د ناکامۍ طریقې هومره بېلابېلې دي څومره چې ژمنې۔ نه شته ماسکریډ قاعده هغه پاکټونه جوړوي چې له شخصي سرچینو سره وځي او هېڅکله نه راستنېږي۔ نه شته بېرته راستنېدو لار د پالیسۍ پر بنسټ لارښوونه کې هماغه نښه ورکوي، خو سمون د ګېټوې نه، بلکې لرې لارښوونکي پورې اړه لري۔

ماسکریډ: یو همکار په لرې خوا کې

د ماسکریډ لار یو ترتیب لري چې مهم دی۔ کومه NAT قاعده چې ګټه وکړي، ترمخه یې لېږد باید چالان وي، د فلټر جدول باید دواړو لورو ته د تېرېدو اجازه ورکړي، او یوازې بیا د ټونل انټرفېس پر ژباړه پلي کېږي۔

sysctl -w net.ipv4.ip_forward=1
iptables -A FORWARD -i eth1 -o tun0 -j ACCEPT
iptables -A FORWARD -i tun0 -o eth1 -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -t nat -A POSTROUTING -o tun0 -j MASQUERADE

کړندودونو ته لا هم ګېټوې ته د رسېدو لار غواړي۔ یا ګېټوې د هغوی تلواله لارښوونکې ده، یا دوی لرې مخکښ لپاره ځانګړې لار لري؛ که جلا لارښوونکی تلواله پاتې شي، هغه لارښوونکي ته د ټونل منزلونو لپاره ثابته لار غواړي، که نه پاکټ د ګېټوې لیدو مخکې غلطې ټوپې ته ځي۔

DNS یوه جلا پرېکړه ده۔ په لرې خوا کې حل کوونکی یوازې هغه وخت ځواب ورکوي چې ځواب یې کړندود ته بېرته رسېدلی شي۔ د ماسکریډ لاندې پوښتنه د ګېټوې نه راځي ښکاري، نو د حل کوونکي بېرته راستنېدو لار لا بشپړه ده؛ د پالیسۍ پر بنسټ لارښوونه کې حل کوونکي ته هماغه بېرته راستنېدو لار غواړي چې هر بل لرې خدمت ته وي۔

د پالیسۍ پر بنسټ لارښوونه: سرچینه وساته، بېرته راستنېدو لار ورزیاته کړه

د پالیسۍ پر بنسټ لارښوونه له جدول او هغه قاعدې سره پیل کېږي چې هغه ټاکي۔ د LAN انټرفېس نه ننوځي ترافیک ځانګړي جدول ته لېږل کېږي، او هغه جدول د ټونل له لارې تلواله لار لري۔ اصلي جدول نه لمس شوی پاتې کېږي، نو هغه ترافیک چې ګېټوې پخپله جوړوي بله لار نیولی شي۔

ip rule add iif eth1 table vpn
ip route add default dev tun0 table vpn

بیا لرې خوا باید LAN مخکښ د ټونل له لارې بېرته ولارښوونه کړي۔ دا په دې ګېټوې نه، بلکې په لرې لارښوونکي کې ترتیبول دي۔ ګېټوې باید هغه ځوابونه هم ومني چې په بل انټرفېس راځي د هغه چې اصلي جدول به یې تمه درلوده؛ کله چې کلک حالت هغه پاکټونه وغورځوي، نو سست ضد-لار فلټر (rp_filter پر 2 ټاکل شوی) عادي سمون دی۔

کله چې دوه ټونلونه فعال وي، هر بهیر د ننوتلو پر مهال نښه کړئ او پر نښې دې چې جدول وټاکي۔ هغه قاعده چې یوازې د ننوتلو انټرفېس ته ګوري د دواړو ټونلونو ترافیک یوه جدول ته لېږي، نو دویم ټونل د لومړي بهیرونه غلا کوي۔ هغه نښه له هغې اړیکې سره وآزمایئ چې بیا اړیکه نیول ځولي شي، ځکه هماغه وخت ګډه پالیسي ښکاره کېږي۔

د مالکیت او د هغې پر بنسټ چې لرې خوا څه ثبتوي پرېکړه وکړئ

که ټونل د چمتو کوونکي سره پای ته ورسېږي، ماسکریډ وکاروئ۔ هغه چلوونکی به ستاسو شخصي LAN سیمې ولارښوونه نه کړي، او هغه ته کوم دلیل نشته چې ستاسو د ګېټوې شا ته جلا کړندودونه سره توپیر کړي۔ یو ښکاره همکار یوازینی ماډل دی چې د هغه پالیسي یې ملاتړ کوي، نو هماغه ورکړئ او ژباړه ستاسو پر څنډه وساتئ۔ چمتو کوونکی یو همکار ویني، چې هماغه دی چې د هغه پالیسي یې تمه لري، او ستاسو کړندودونه هماغه یوه پېژندنه په میراث اخلي۔

که دواړه څنډې ستاسو وي او لرې خدمتونه پر سرچینه پتو کار کوي، د پالیسۍ پر بنسټ لارښوونه خپلې اضافي لارې وړ ده۔ بیا د اور دېوال قواعد، د هر کارن لاسرسی او پلټنې ثبتونه کولی شي کړندودونه سره توپیر کړي۔ که لرې خوا یوازې رسېدنه غواړي، ماسکریډ ساده دی او د بېرته راستنېدو لارې د تېروتنو یوه ټولګه لرې کوي۔

هایبرېډ ډیزاینونه نورمال دي: ستاسو په خپله شبکه کې د پالیسۍ پر بنسټ لارښوونه، د چمتو کوونکي پر څنډه ماسکریډ۔ مهمه دا ده چې ولیکئ کومه ټوپه ژباړي او کومه ټوپه لارښوونه کوي، ځکه یوه ناڅاپي NAT قاعده چې یو کړندود لپاره ورزیاته شوه په هماغه زنځیر کې هر کړندود نه سرچینه پټوي۔

له یو کړندود، بیا له دویم کړندود نه وګورئ

ازموینه هلته چل کړئ چېرې ترافیک پیلېږي۔ هغه لار وګورئ چې کوربه یې کاروي، وګورئ چې پاکټ د ټونل انټرفېس پر ښکاره کېږي، او د ژباړې لپاره conntrack وګورئ۔ همدا ترتیب ثابتوي چې پاکټ غوښتل شوې لار ونیوله، یوازې چېرته ورسېد نه۔

له بیا اړیکه نیولو وروسته ازموینه تکرار کړئ۔ هغه ماسکریډ قاعده چې انټرفېس نوموي د نوي ټونل پتې سره پاتې کېږي؛ هغه قاعده چې زړه پته نوموي نه پاتې کېږي۔ بیا دویم LAN کوربه وآزمایئ، ځکه په یوه ماشین کې روان ډیزاین ډېری وخت د هماغه ماشین پر خپله لار تکیه وي، نه د ګېټوې پر پالیسي۔

ټاکل شوی ماډل، ژباړل شوې یا ساتل شوې سرچینه او د بېرته راستنېدو لار خاوند د ګېټوې په یادښتونو کې ولیکئ۔ که نه، بل څوک چې کړندود یا ټونل ورزیات کړي اټکل به وکړي، او اټکل هماغه لار ده چې روانه LAN-نه-VPN ترتیبه نیمګړې کېږي۔