Linux VPN کلاینټ د زوړ وسیلې پروتوکول سره سم کړئ

څلور د پروتوکول کورنۍ په ریک کې پاتې نږدې هر وسیله پوښي، او هر یو یې په Linux کې په بله بڼه ناکامېږي. د لرې اړخ خپرې شوې پورټونه او تنظیم شوې وړاندیزونه ستاسو پیکټ ټاکي، نه هغه وېش چې تاسو ناڅاپي چلوئ. په فورم کې لیکل شوي څیز نصبول او بیا تر هغه سمونول چې څه ونښلي — همدا د یوې ماسپښین ورکېدو لار ده. وسیله ولولئ، دویم نصب کړئ، درېیم تایید کړئ.

ثبت کړئ چې لرې اړخ څه خپروي

د پیکټ مدیر د خلاصولو دمخه هغه پروتوکول، پورټونه او تصدیق ولیکئ چې وسیله یې تمه لري. څلور کورنۍ د زوړ تجهیزاتو ډېره برخه پوښي، او لاندې جدول په یوه سکرین کې ټوله پرېکړه ده.

لارښود او د وسیلې خپل فایر وال قواعد د هغې د ننوتلو په پاڼه لیکل شوي پروتوکول له نامه ډېر باوري دي. هغه وسیله چې IPsec اعلانوي کېدای شي یوازې IKEv1 وایي، او هغه فرم وییر خپرونه چې چا نه ده تطبیق کړې کېدای شي هماغه وي چې په پای کې IKEv2 ورزیاتوي. هم د معلوماتو لار او هم د تنظیم پورټ تایید کړئ، ځکه چې دلته زوړ تجهیزات او عصري شبکې سره توپیر لري. په دې ګام کې تېروتنه یعنې خپل کلاینټ د هغې ځانګړنې پر ضد اصلاح کول چې بل اړخ هېڅکله نه درلوده.

PPTP: د pppd له سمون دمخه GRE ثابته کړئ

په Linux کې PPTP هغه ډیمون نه دی چې تاسو پیلوئ، بلکې د pppd غوښتنه ده، او د اړیکې پیرامیټرونه په نومول شوې peer فایل کې اوسي چې pppd یې د غوښتلو پر مهال لولي. وېشونه تر اوسه یې بسته بندي کوي، که څه هم د پروتوکول پېژندل شوې کمزورۍ دا د هر حساس څیز لپاره ناشایسته کوي، نو یوازې هغه وسیلې ته یې کلک وساتئ چې بل څه نه وړاندې کوي. پداسې حال کې چې کلاینټ خبرې اترې کوي GRE ته پام وکړئ، د اټکل پرځای لنډ ثبت سره. تر ټولو ډېر وخت ضایع کوونکې ناکامي تصدیق نه دی، بلکې ورکه معلوماتي لار ده.

pppd call branch-office
tcpdump -ni any proto gre -c 5

که تنظیم بشپړ شو او اړیکه هېڅکله ترافیک نه وړي، د اعتبار معلوماتو له لمس دمخه پر GRE لار شک وکړئ. کلاوډ امنیتي ډلو ته د 47 پروتوکول لپاره روښانه قاعده ورته ده، او ځینې شبکې دا پرته له ښکاره تېروتنې بشپړ بندوي. له هغې شبکې ازموینه وکړئ چې واقعاً به یې کاروئ، نه له هغې لابراتوار چې هر څه اجازه کوي.

L2TP/IPsec: یو سم وړاندیز لس هڅې ماتوي

د ډیسک ټاپ خبرو اترو پرځای د ډیمون لاګ ولولئ، ځکه چې خبرې اترې څو بېلابېلې ناکامۍ په یوه پیغام کې یوځای کوي. NO_PROPOSAL_CHOSEN تېروتنه لومړي پړاو ته اړه لري: کلاینټ هغه کوډونه، هش یا Diffie-Hellman ګروپ وړاندیز کړ چې سرور به یې نه مني. ولیکئ چې وسیله څه ملاتړ کوي او یو سم وړاندیز ولیکئ، ځکه تصادفي ترکیبونه اکثراً هماغه تېروتنه ورو ورو ورکوي. په ډیسک ټاپ کې عملي کلاینټ هغه NetworkManager L2TP پلگ ان دی چې لاندې یې strongSwan یا Libreswan وي.

د وړاندیز تار چې د ډیسک ټاپ پلگ ان لپاره یو معنی لري، کېدای شي هغه ډیمون ته چې کار ورته سپارل کیږي بله معنی ولري، نو د هغې طبقې سره سمه جمله بندي وساتئ چې تاسو یې سمونوئ. که وسیله د تونل راز هم وغواړي، هغه له IPsec کیلي جلا پړاو دی. د لیکلو دمخه تایید کړئ چې انټرفیس د دواړو کوم یو غواړي.

له XAuth سره یرغلګر IKEv1، او د پورټل حالت

د FortiGate سټایل پای نقطه معمولاً غواړي له XAuth سره یرغلګر حالت او د تنظیم شوي حالت پته، کوم چې ګرافیکي پلگ ان ممکن هېڅ ونه ښیي. اصلي ډیمون یې سمبالوي، او لاندې بلاک بشپړ فایل نه دی، بلکې د هغه تنظیم بڼه ده. د وړاندیز ارزښتونو لپاره د تولیدوونکي تازه اسناد وګورئ.

conn branch
    keyexchange=ikev1
    aggressive=yes
    leftauth=psk
    leftauth2=xauth
    leftsourceip=%config
    right=203.0.113.10

د strongSwan زاړه خپرونې xauth=client کارولې چېرې چې نسخه 5 leftauth2=xauth کاروي، نو کاپي شوی ټوټه کېدای شي یوازې د جملې بندي له امله ناکامه شي. د TLS پورټل لپاره، openconnect چې د AnyConnect پروتوکول وایي Cisco او ډېری بیا نومول شوي محصولات سمبالوي، او ورته TUN وسیله او د هغې د تنظیم اجازه غواړي. د پورټل پته سماغسې ورکړئ لکه څنګه چې براوزر ښیي، له هغې لارې سره چې وسیله یې تمه لري، بیا د هغې شاته هر څه ازمویلو دمخه ټاکل شوې پته وګورئ. د انټرفیس مخکې جوړول د تنظیم پر مهال یوه ډله حیرانتیاوې لېرې کوي.

sudo ip tuntap add dev tun0 mode tun
sudo openconnect --protocol=anyconnect vpn.example.com

ونښلوئ، بیا په ټاکلې ترتیب تایید کړئ

په یو وخت کې یوازې یو VPN مدیر چلوئ، ځکه د NetworkManager پروفایل او په لاس پیل شوی ډیمون به پر لارو او DNS جګړه وکړي. د لاسي اړیکې ازمویلو دمخه پروفایل ښکته کړئ، او تایید کړئ چې زوړ تونل انټرفیس نه دی پاتې. بیا په دې ترتیب تایید کړئ: تونل پته، هغه یوازینۍ داخلي هسټ ته لار چې ورته اړتیا لرئ، نوم حل، او په پای کې ریښتینې غوښتنه. شنه نښه تصدیق ثابتوي او بل څه نه.

ip -4 addr show tun0
ip route get 10.20.30.10
getent hosts app.internal

که یو ګام ناکام شو، د بل ازمویلو پرځای هلته ودرېږئ، ځکه د ماتی لارې لاندې DNS ناکامي تاسو ته څه نه ښیي. له ازمویلو دمخه د کار کوونکي پروفایل یوه کاپي خوندي کړئ، ځکه ړنګ شوی اړیکې فایل اسانه ورکېږي او بیا جوړول یې ستړي کوونکي دي. د وړاندیز ارزښتونه د وسیلې ماډل او فرم وییر نسخې سره په یوه نوټ کې وساتئ، ځکه چې بکس بدلېدو پر مهال هماغه نوټ د کډې او لرغونپوهنې پروژې ترمنځ توپیر ښیي.