یو OpenVPN هب، درې LAN: د پتې پلان او iroute فایلونه

درې خصوصي LANونه کولای شي په یو هب کې سره وویني پرته له دې چې کوم سایټ د نورو داخلي جوړښت وپېژني، او ټول ډیزاین پر څلورو لنډو کنفیګریشن پرېکړو ولاړ دی۔ هغه څه چې دا کار کوي یوه عجیبه پروتوکول ځانګړتیا نه ده، بلکې د پتې هغه پلان دی چې هیڅوک اړ نه دی یې اټکل وکړي، او د هر کليانټ لپاره لارې چې هب ته وایي کومه څانګه کوم مخکښه لري۔ که له دواړو یو هم غلط وي، تونل بیا هم پورته کېږي، او همدا خبره ناکامي ګډه وړې کوي۔

ګامونه په ترتیب سره بشپړ کړئ۔ هر ګام د مخکیني ګام پر پلان ولاړ دی، او هیڅ یو یې نوی سندسازي اداره نه غواړي۔

له هغه پلان سره پیل وکړئ چې هیڅوک اړ نه دی یې اټکل وکړي

د کنفیګریشن فایل له لمس کولو مخکې څلور جلا مخکښې ولیکئ: د هب خپله LAN، د هرې څانګې LAN، او هغه حوض چې ګرځېدونکو کليانټونو ته ورکول کېږي۔ جلاوالی هغه څه دی چې نور هر څه ساده ساتي، ځکه چې یو بل ته ننووتونکي حدونه روټینګ په تر ټولو اوږدې برابرۍ معما بدلوي چې هیڅ د کليانټ لپاره کنفیګریشن یې نه جوړوي۔ بیا تایید کړئ چې کومه ماشین د هر LAN ډیفالټ ګېټوې ده، ځکه چې هغه څانګه روټر چې د خپل LAN ګېټوې نه وي، باید لرې لارې په بشپړ ډول بل ځای کې نصب کړي۔ په پای کې، هغه تصدیق شوي نومونه وټاکئ چې هره څانګه پېژني، ځکه چې هماغه نومونه هغه کیليګانې دي چې د کليانټ لپاره فایلونه پرې لټول کېږي۔

یو بېلګیز پلان حوض له درې LANونو څخه ښه لرې ساتي۔ ستاسو به توپیر ولري، او یوازینی سخت قانون دا دی چې هیڅ دوه حدونه سره ننوځي۔

Hub LAN        172.20.0.0/24
Branch A LAN   172.21.0.0/24
Branch B LAN   172.22.0.0/24
VPN pool       10.77.0.0/24

identity branch-a owns 172.21.0.0/24
identity branch-b owns 172.22.0.0/24

هب کرنل ته ووایاست چې څانګې چېرې دي

هب ته د هرې څانګې لپاره دوه معلومات اړین دي: کرنل لار چې مخکښه تونل وسیلې ته لېږي، او iroute ننوتنه چې OpenVPN پروسې ته وایي کوم کليانټ یې مالک دی۔ یوازې کرنل لار پاکټونه تونل ته رسوي او هلته درېږي، ځکه ډیمون لا باید پرېکړه وکړي کوم پير یې باید ترلاسه کړي۔ یوازې iroute ننوتنه هغه پاکټونه په کرنل کې پرته له کومې تعقیبوونکې لارې پریږدي۔ دواړه کرښې هغه کنفیګریشن ته اړه لري چې ډیمون یې واقعاً بار کوي، او دا د بل هر څه ډیبګ کولو دمخه د تایید وړ ده۔

dev tun
topology subnet
server 10.77.0.0 255.255.255.0
disable-dco

route 172.21.0.0 255.255.255.0
push "route 172.20.0.0 255.255.255.0"
client-config-dir /etc/openvpn/ccd
route 172.22.0.0 255.255.255.0

client-to-client بند وساتئ کله چې کرنل باید د قاعدو د پلي کولو نقطه وي۔ هغه انتخاب د پيرونو ترمنځ ترافیک د ډیمون دننه لېږدوي، چې اسانه دی او دا هم مانا لري چې ستاسو د لېږد قاعدې هغه بهیر هیچېرنه نه ویني۔ لاندې هر څه دې ته تکیه دي چې کرنل هر د څانګو ترمنځ پاکټ ویني۔

هرې څانګې ته اړینې لارې ورکړئ

هرې څانګې ته د نورو څانګو او د هب LAN لپاره لارې اړینې دي، او د خپلې نښلول شوې LAN لپاره لار نه غواړي۔ لرې مخکښې له هب څخه وهڅوئ نه دا چې په هر روټر کې یې ولګوئ، ترڅو څلورمه سایټ وروسته د څلورو سمونونو پرځای یو نوی د کليانټ لپاره فایل وي۔ د کليانټ لپاره فایل iroute کرښه هم لري، چې مالکیت او اعلان په یو ځای ساتي۔ دایرکټري او د هغې فایلونه د سرور د واک ماډل له مخې لوستل کېدونکي کړئ، که نه لټون پرته له پیغام ناکامېږي۔

# /etc/openvpn/ccd/branch-a
iroute 172.21.0.0 255.255.255.0
push "route 172.22.0.0 255.255.255.0"

څلورمه سایټ هماغه بڼه تعقیبوي: جلا تصدیق شوی نوم، خپله مخکښه، د هب کرنل لار، iroute ننوتنه، او یوازې هغو سایټونو ته اعلانونه چې د رسېدو اجازه لري۔

له بشپړېدو دمخه په دواړو لورو ازموینه وکړئ

په درېیو روټرونو کې IPv4 لېږد فعال کړئ، بیا تایید کړئ چې فایر وال په دواړو لورو کې پلان شوې بهیرونه اجازه کوي، ځکه چې یو لوري ازموینه له ماتې شوې بېرته راستنېدونکې لارې سره د هر چا له تمې ډېره بریالۍ کېږي۔ د سایټونو ترمنځ د سرچینې پتې ژباړه نه اړینه ده، او اصلي سرچینه ساتل هماغه څه دي چې هره څانګه خپل سیاست پر غوښتنه پلي کولای شي۔

له یوې څانګې LAN کوربه څخه بلې څانګې خدمت ته ازموینه وکړئ، بیا لوری واړوئ، بیا له څانګې هب LAN ته ازموینه وکړئ۔ هغه درې پایلې بېل شواهد دي، او هیڅ یوه نورې ته اشاره نه کوي۔ که څانګه روټر د خپل LAN ډیفالټ ګېټوې نه وي، لرې مخکښې پر ریښتیني ګېټوې نصب کړئ او حوض هم شامل کړئ کله چې تونل کليانټونه اړ وي په هغه LAN کې اړیکې پیل کړي۔

پلان، د کليانټ لپاره فایلونه او فایر وال قاعدې د یو سند په توګه ثبت کړئ، ځکه چې راتلونکی سایټ زیاتول به پر هماغو ارزول کېږي۔

ډیزاین یوځای ولاړ دی ځکه هر پوړ یو کار لري: پلان مخکښې بېلې ساتي، کرنل لار پاکټونه ځای په ځای کوي، iroute مالک نوموي، او فایر وال پرېکړه کوي چې څه اجازه لري۔ کله چې یو څه مات شي، هغه لیست د کتنې ترتیب هم دی۔