د څو روټرونو Pi VPN: هر روټ په هغه وسیله کېږدئ چې پریکړه کوي
لاندې روټر دوهم کلینټ فرعي شبکه ورزیاته کړي، او له څلورو وسیلو هر یوه یوه پریکړه لري. روټونه ځای پرځای کړئ، سرچینه وګورئ، بیا له ریښتیني کلینټ څخه ازموینه وکړئ.
د Pi تر شا د Wi-Fi بکس ایښودل یوه روټینګ پریکړه څلورو ته اړوي، او کله چې څلور واړه په یوه وسیله وکړل شي پلان ماتېږي۔ لومړۍ پوښتنه دا نه ده چې کوم روټ ورزیات شي۔ دا ده چې نوی بکس پل جوړوي که روټ کوي، ځکه هغه ځواب ټاکي چې څو فرعي شبکې شته او کوم وسایل باید د هغو په اړه زده کړي۔ لومړی د نښلېدو ماډل وټاکئ؛ هر روټ له هغه څخه راځي۔
پل که روټ: هغه انتخاب چې شمېره ټاکي
پل نوي کلینټان په هغه فرعي شبکه کې ږدي چې Pi پخوا ورته خدمت کوي۔ یوه فرعي شبکه، یو DHCP واکمني، او د روټ کولو لپاره هېڅ لېږد نشته۔ دا ساده ترتیبول دی او کله چې جلا کلینټ شبکه هېڅکله اړتیا نه وي دا سم دی۔ روټ شوې اړیکه بېل ډیزاین دی: بکس خپله فرعي شبکه ساتي، او هغه مخکښ باید هرې هغې ځای ته وړل شي چې ټرافیک ځي۔
د پلان پاتې برخه لاندې روټر ساتي او د کلینټانو د سرچینې پتې خوندي کوي۔ موخه یوه شخصي VPN شبکه ده، بشپړ انټرنیټ وتل نه۔ ماډل له پتو دمخه ولیکئ، ځکه لاندې لیست یوازې د روټ شوې نښلېدنې بېلګه ده۔
client subnet 10.41.0.0/24
client gateway 10.41.0.1
router-to-Pi link 192.168.71.2
Pi on that link 192.168.71.1
private target 10.72.9.0/24څوک څه پریکړه کوي
| Decision owner | Entry that encodes the decision | Failure when the entry is missing |
|---|---|---|
| Pi VPN host | Return route for 10.41.0.0/24 via 192.168.71.2, and a tunnel route for 10.72.9.0/24 | Replies to downstream clients die at the Pi |
| Owner of the remote network | A path for 10.41.0.0/24 over the permitted tunnel | Replies stop at the first unaware hop |
| LAN router behind the Pi | Specific route for 10.72.9.0/24 via 192.168.71.1, or a suitable default | Clients never send private traffic to the Pi |
| Client machine | Default via 10.41.0.1, or a specific entry for 10.72.9.0/24 | The private network is unreachable from the client |
هره وسیله یوه پریکړه کوي، او هېڅ یوه نشي کولی د بل پریکړه د هغه په استازیتوب وکړي۔ Pi دوې ننوتنې غواړي، نه یوه، او د بېرته راستنېدو لار هغه ده چې خلک هېروه۔ لېږدول شوی ټرافیک په سمه توګه شخصي شبکې ته رسېږي او بیا د بېرته راستنېدو په لار کې مري، ځکه Pi نه پوهېږي چې 10.41.0.0/24 چېرې اوسېږي۔ دا د فایر وال ستونزه ښکاري او په رښتیا ورکه روټ دی۔
لرې اړخ ته هم خپل روټ ته اړتیا ده۔ که په لرې پای کې خدمت نه پوهېږي چې 10.41.0.0/24 ستاسو د تونل له لارې رسېدلای شي، ځوابونه په لومړي هپ کې درېږي چې ځواب نلري۔ د پاکټ فلټرونو لوستلو دمخه دواړه لوري ورزیات کړئ۔
بل هپونه له نښلېدنې راځي
بل هپ باید په هغه شبکه کې پته وي چې وسیله واقعاً ورته رسېدلای شي۔ د VPN همکار عامه پته د شخصي فرعي شبکې لپاره بل هپ نه ده، او لرې خدمت شبکه هېڅکله بل هپ نه ده۔ نارسېدونکي ګیټوې ته روټ په لیست کې سم ښکاري او هر پاکټ غورځوي۔ د هدف ملامتولو دمخه وګورئ چې ګیټوې ځواب ورکوي۔
Pi د بهرني VPN همکار د هغه د خپل لاندې روټ له لارې د رسېدو وړ وساتئ۔ هغه ننوتنه د پیلوډ روټونو څخه جلا ده، او د هغو ګډول هغه تونل ورکوي چې د لارې بدلون وروسته بیا نه شي جوړېدلی۔
د سټاټیک روټونو اسناد د هدف او ګیټوې ترمنځ توپیر روښانه کوي، که څه هم هر پلیټ فارم خپل مینوګانې بېلې نوموي۔ د خپل مخې ته وسیلې اسناد ولولئ نه د بل پلورونکي سکرین کاپي کړئ۔ لاندې کمانډونه په Linux کې د ننوتنو بڼه ښيي۔
# on the Pi
ip route add 10.41.0.0/24 via 192.168.71.2
ip route add 10.72.9.0/24 dev tun0
# on the downstream router
ip route add 10.72.9.0/24 via 192.168.71.1ژباړه له سرچینې سره څه کوي
که لاندې روټر خپل کلینټان لا دمخه ترانزیتي پتې ته ژباړي، Pi د هر کلینټ د خپلې پتې پرځای یوه ژباړل شوې سرچینه ویني۔ دا له پورته سرچینه ساتونکي ډیزاین څخه بېل دی۔ دا د سرچینې پر بنسټ پالیسي، ثبت او دا چې کوم لوری اړیکې پیلولی شي بدلوي۔ دواړه ډیزاینونه کار کوي؛ دوی بېلو پوښتنو ته ځواب ورکوي۔
کله چې پورتنۍ VPN خدمت د کلینټ مخکښ بېرته روټ کولو څخه انکار وکړي، د Pi د تونل په وتلو کې تنګه ژباړه کېدای شي قانوني لنډمهاله حل وي۔ دا د دې ثبوت نه دی چې ورک روټ بې اړتیا و۔ ثبت کړئ چې لرې شبکه واقعاً کومه پته ویني او کومه بېرته راستنېدو لار ترې راځي۔
د روټ ټاکنه، د لېږلو اجازه او د سرچینې ژباړه درې جلا کارونه پاتې کېږي۔ د یوه تار لرونکي کلینټ د کار کولو له امله ګډه NAT زنځیر خالي کول یا هر انټرفیس ته اجازه ورکول هغه لار ده چې یوه کارکوونکې ازموینه پرانیستی لېږدوونکی کېږي۔
دا د کلینټ ماشین څخه ثابت کړئ
د لاندې LAN په یوه ماشین کې غوښتنه ولېږئ، بیا د هغې سرچینه بهر او بېرته تعقیب کړئ۔ Pi لخوا لېږل شوی ping هېڅکله لاندې بېرته راستنېدو روټ نه کاروي، له همدې امله بریالی ping له ښکارېدو کم ثبوت کوي۔ د Pi په خپله LAN کې د یوه تار لرونکي کلینټ څخه دوهمه ازموینه ورزیاته کړئ ترڅو دواړه لارې پرتله شي۔ له هرې وسیلې د بیا پیل وروسته دواړه تکرار کړئ۔
په لاس ورزیات شوي روټونه او هغه ژباړې چې هېڅکله نه دي خوندي شوي یوځای ورکېږي۔ بیا دا جوړه د نیمګړي کار پرځای نوی خرابي ښکاري۔
د نښلېدنې ماډل له روټونو، اجازه ورکړل شوې شخصي خدمت او هرې ژباړې سره په یوه یادښت کې خوندي کړئ۔ هماغه یادښت بل کس ته د بې تار ځای ایښودل د روټینګ پالیسۍ پوښتنه ګڼلو مخه نیسي۔