ولې د OpenVPN پیرودونکي د دروازې IPsec غوراوي له لاسه ورکوي

له دروازې د لرې IPsec تونل شاته یوه کوربه ته ping ولېږئ او هغه پاک ځواب ورکوي، نو تونل روغ ښکاري او ټکټ مخ ته ځي۔ بیا نښلول شوی پیرودونکی هماغه کوربه ازموي او هېڅ نه ترلاسه کوي۔ هغه ping هېڅکله د پیرودونکي د جریان لپاره ثبوت نه و، ځکه چې دا د دروازې په خپل سرچینې پتې سره ووت او له بل IPsec غوروي سره سمون خورا۔ د دې دواړو حالتونو د توپیر پوهېدل د سمون ډېره برخه ده۔

د دروازې ping هغه جریان ازموي چې ستاسو پیرودونکی یې هېڅکله نه کاروي

کومه پالیسي پلي کېږي هغه د سرچینې پتې له مخې ټاکل کېږي۔ په دروازه کې جوړ شوی کڅوړه د خپلې سیمه ییزې LAN یا د تونل پای نقطې پتې سره وځي، او هغه پالیسي چې ورسره سمون خوري په همدغه حالت پورې اړه لري۔ د پیرودونکي کڅوړه د OpenVPN مخې ته د پیرودونکو حوض له پتې سره رسیږي، چې بشپړ بل غوراوی دی۔

نو ځکه ناکامي د لارښوونې د ستونزې په څېر ښکاري، خو په رښتیا د پالیسۍ د پراخوالي ستونزه ده۔ له دروازې رسېدل ثابتوي چې سیال فعال دی او وړاندیزونه پرې مشوره شوې، او د حوض د ساتنې په اړه هېڅ نه ثابتوي۔

هغه لرې پریفکس پټ کړئ چې اپلیکیشن واقعاً ورته اړتیا لري

د نښلول شوو پیرودونکو لپاره 10.8.0.0/24 او د ساتل شوي لرې شبکې لپاره 172.30.239.0/25 بېلګه جوړه واخلئ۔ پیرودونکي ته دوهم پریفکس ته لار ښکاري، نه د دروازې LAN ته او نه بل تونل پتې ته۔ حوض ته پټه شوې لاره هماغه ده چې پیرودونکی دې ته اړ باسي چې دا ټرافیک دروازې ته وسپاري۔ پرته له دې کڅوړه هېڅکله هغه پالیسۍ پرېکړې ته نه رسیږي چې تاسو یې سمول کوئ۔

په هغه Community سرور کې چې پټې لارې مني، لارښوونه ریښتینی ماسک اخلي: push "route 172.30.239.0 255.255.255.128"۔ Access Server هماغه هدف د نصب شوي نسخې د خصوصي شبکې یا د لاسرسي قواعدو د تنظیماتو له لارې ترتیبوي، او لارښوونکی یا ژباړل شوی حالت په پوهه سره ټاکل کېږي۔ د مالک ترتیباتو پر ځای د جوړ شوو اورپټو زنځیرونو سمول هغه لار ده چې یو کارکوونکی ترتیب بیا جوړېدونکی نه وي۔

له نښلېدو وروسته د سرور د نیت پر ځای د پیرودونکي د لارښوونې جدول ولولئ۔ یوه لاره چې یوازې حوض پوښي مانا دا ده چې پټل نه دی رسېدلی، او د تونل له لارې اصلي لاره له دې غوښتنې پراخه ده او وروسته به تاسو حیران کړي۔ ماسک او پریفکس دواړه وګورئ، ځکه /25 چې د /24 په توګه پټ شي د ګاونډیو پتو ټرافیک هغې لارې ته لېږي چې هغه یې نه شي وړلی۔ بیا ډاډ ترلاسه کړئ چې پیرودونکي د هغه هدف لپاره د تونل مخ ټاکلی دی۔

غوراوي دې پیرودونکو حوض هم رانغاړي

د لارښوونکي لاسرسي لپاره چې د پیرودونکو پتې ساتي، IPsec پالیسي باید د حوض او لرې پریفکس ترمنځ ټرافیک وساتي۔ هغه غوراوي چې د دروازې د خپلې LAN لپاره لیکل شوي ping تېروي او د پیرودونکي غوښتنه غورځوي، او همدا هغه نابرابري ده چې دا څېړنه یې پیل کړه۔

د ترتیب شوو وړاندیزونو ترڅنګ مشوره شوې پالیسي هم وګورئ، د بېلګې په توګه په strongSwan کې ipsec statusall یا ستاسو د تطبیق لپاره مساوي حالت امر۔ په پالیسي ولاړ IPsec کې عادي لاره کېدای شي فزیکي مخ ته اشاره وکړي، خو سمون خوړونکی ټرافیک لا هم کوډ شوی وي، نو د تونل وسیلې نه شتون هېڅ نه ثابتوي۔ غوراوي جوړې له هغه حوض او پریفکس سره پرتله کړئ چې لیکلي مو دي۔

په دروازه کې عمومي سرچینه-NAT هم کېدای شي سمون مات کړي۔ که masquerade قاعده د پالیسۍ له ازموینې مخکې د پیرودونکي سرچینه بیا ولیکي، کڅوړه نوره د هغه غوراوي په څېر نه ښکاري چې لیکلې مو ده۔ دا یو لامل دی چې پراخه masquerade قاعده د دوهم VPN لپاره بده حل ده: هغه بدلوي چې کومه پالیسي پلي کېږي او لرې اړخ کومه پته ثبتوي۔ هغه ټرافیک چې غواړئ یې لارښوونه وکړئ معاف کړئ، یا یې په پوهه سره وژباړئ او غوراوي نوي کړئ۔

په پوهه سره لارښوونه یا ژباړه وټاکئ

لارښوونه د پیرودونکي پته د لرې اړخ لپاره ښکاره ساتي، نو لرې ثبتونه او د هرې سرچینې قواعد بامعنا پاتې کېږي، او غواړي چې لرې دروازه حوض ته د بېرته تلو لار وپېژني۔ ژباړه حوض د یوې پتې شاته پټوي، چې د بېرته تلو د لار ستونزه لره کوي او د هر پیرودونکي هویت له منځه وړي۔

یو ډیزاین وټاکئ او ولیکئ یې، ځکه دواړو ته بېل غوراوي او بېل د اورپټ ترتیب ښکاري۔ نیمګړې پلي شوې masquerade د دواړو ترمنځ پاتې کېږي او هېڅ یو نه قناعت کوي۔ لیکل شوی انتخاب هماغه شی دی چې بل انجینر ته اجازه ورکوي تېروتنه له پوهه سره شوې پرېکړې څخه بېله کړي۔

پر لېږد او ځواب باندې حلقه وتړئ

دروازه باید هغه پروتوکول او هدف ولېږدوي چې ستاسو په نظر دي، یعنې IP لېږد فعال وي او د لېږد زنځیر جوړه اجازه ورکړي۔ بیا لرې اړخ باید ځوابونه د IPsec لارې له لارې بېرته ولېږي، او دا د هغوی په دروازه کې د لارښوونې پرېکړه ده، ستاسو په دروازه کې نه۔ دواړه نیمې برخې عادي ترتیبات دي، او دواړه په اسانه نیمګړې پاتې کېږي۔ دوی جلا ازموئ ترڅو ورکه د لېږد قاعده مات تونل ونه ګڼل شي۔

په یوه ریښتینې له پیرودونکي څخه اپلیکیشن ته غوښتنه تصدیق کړئ، او وګورئ چې هغه د OpenVPN مخ، IPsec پرېکړه او لرې کوربه تېریږي۔ ځواب د جلا کتنې په توګه وګورئ، ځکه رارسېدونکې غوښتنه او هغه ځواب چې هېڅکله نه راګرځي د پیرودونکي له ځایه ورته ښکاري۔ یوه تعقیب شوې غوښتنه له هر شمېر دروازې ping څخه ارزښتمنه ده۔

د ازموینې پر مهال د هدف اجازه تنګه وساتئ، او ډاډ ترلاسه کړئ چې بې قاعدې پیرودونکی خدمت ته نه شي رسېدلی۔ نصب شوې لاره او جوړه شوې ټولګه د ورکړل شوې لاسرسي سره یو شان نه دي۔