په OpenWrt کې د ټول LAN لپاره OpenVPN کلاینت: د کار ترتیب

د روټر ټول LAN د یو تونل تر شا راوستل څلور خپلواک کارونه غواړي۔ د تونل وسیلې ته مالک، د فایر وال زون، د پورتنۍ اړیکې په لور د ژباړې هدف، او که ځینې کلاینټان باید له VPN بهر پاتې شي، د سرچینې پتې له مخې روتینګ ته اړتیا ده۔ تونل چې نښلوي خو هیڅ نه تېریږي، معمولا د دغو څلورو څخه یو نیمګړی وي۔ د تړاو په ترتیب کار کول یعنې په پای کې راغلی ناکامي هغه ګام ته اړه لري چې همدا اوس مو بدل کړ۔ لاندې هر ګام په یوه داسې شي پای ته رسیږي چې لیدلای شئ، او دا بل ګام له اټکل کېدو ساتي۔

پریکړه وکړئ چې تونل څه شریکوي

هغه روټر چې Wi-Fi او DHCP ویشي، کولای شي کلاینټ پخپله وچلوي۔ دا هر نښلول شوی وسیله پرته له د وسیلې جلا تنظیم تونل ته راوړي، او ډیرې کوچنۍ سیمې همدا ترتیب غواړي۔ کله چې تونل ولوېږي، تر ټولو لوی اغیز هم همدا ترتیب لري، ځکه هر وسیله په یو وخت خپله لار له لاسه ورکوي۔ په LAN کې هیڅ د باندې وتلو فعاله لار نه پاتې کیږي۔

د لومړي شاته دویم روټر، چې کلاینټ د خپل فرعي شبکې سره چلوي، تونل یوازې خپلو وسیلو ته محدودوي۔ لرې کول یې اسانه دي او هغه چاته چې په میراث یې رسېږي، تشریح یې هم اسانه ده۔ بیه یې دا ده چې پرته له لارې یا د پورټ لېږد دوه اړخونو ترمنځ لاسرسی نشته۔

په هر حال، د LAN فرعي شبکې جلا وساتئ۔ ورته حدونه یو اړخ مستقیم نښلول شوی ښکاره کوي، او ترې جوړ شوی تور سوری د VPN د خرابۍ په څېر ښکاري ساعتونه۔

تونل ته مالک ورکړئ

تونل د شبکې انټرفیس په توګه اعلان کړئ چې نوم، وسیله او خپل پروتوکول نلري۔ بیا شبکه وسیله جوړوي او اداره کوي، او هر څه چې وروسته دي انټرفیس ته د وسیلې پرځای په نوم اشاره کوي۔ همدا زون ته اجازه ورکوي چې هغه ومومي۔

یوه وسیله په دوو ځایونو کې مه جوړوئ۔ د اعلان شوي انټرفیس ترڅنګ لاسي تونل داسې وسیله جوړوي چې شته خو په زون کې نه ده، یا هغه چې په بیا بارولو کې ورک شي۔ دواړه د کلاینټ د ناکامۍ په څېر ښکاري، او هیڅ یې هم د ریښتیني لامل نوم اخیستونکی تېروتنه نه ورکوي۔ اعلاني لاره غوره کړئ او لاسي یې پاکه کړئ۔

په شبکه، فایر وال او VPN ترتیباتو کې نوم یو شان وساتئ۔ زون شبکې په نوم لیستوي، نو یوه تېروتنه تونل له هر زون بهر پریږدي په داسې حال کې چې انټرفیس پخپله روغ ښکاري۔ پرته له پالیسۍ روغ انټرفیس تر ټولو سخت د پېژندلو حالت دی۔

زون یې کړئ، بیا هغې ته فوروارد کړئ

د فایر وال زون هغه ځای دی چې پالیسي پکې اوسیږي: انپټ، آوټ پټ، فوروارد او ماسکریډ۔ تونل چې په هیڅ زون کې نه وي، هغو پیشفرضونو ته ماتې دی چې تاسو نه دي غوره کړي، او روټر کلاینټ ته دا کم خوښېږي۔ لاندې برخې انټرفیس اعلانوي، هغه په زون کې ځای پرځای کوي او LAN ترافیک ته اجازه ورکوي چې هغه زون ته ننوځي۔

config interface 'vpn'
    option device 'tun0'
    option proto 'none'

config zone
    option name 'vpn'
    list network 'vpn'
    option input 'REJECT'
    option output 'ACCEPT'
    option forward 'REJECT'
    option masq '1'

config forwarding
    option src 'lan'
    option dest 'vpn'

له 21.02 دمخه خپرونو کې همدا د انټرفیس کرښه option ifname په توګه لیکل کیږي، نو مخکې له چې پیسټ کړئ وګورئ چې نصب شوی فرم وېر کوم شکل پېژني۔ د فورواردنګ برخه هغه اجازه ده چې LAN ترافیک ته د تونل کارول په بشپړ ډول ممکنوي۔ پرته له هغې وسیله روښانه ده، کلاینټ نښلول شوی دی، او هیڅ یو LAN هوسټ تونل ته نه رسیږي۔ د روټر کلاینټونو تر ټولو عام شکایت دا دی چې نښلول شوی خو انټرنېټ نشته۔

د VPN زون ماسکریډ مخکې له دې چې پاکټ ووځي، هر LAN پته د روټر د تونل پتې ته غونډوي۔ دا د هغې اړتیا له منځه وړي چې بل اړخ ته ستاسو فرعي شبکې ته د بېرته راتلو لار وي۔

که بل اړخ لا دمخه ستاسو LAN ته لار لري، نو ماسکریډ بندول د سرچینې پتې ښکاره ساتي او د هر کلاینټ لاګونه بامعنا کوي۔ یوه غوره کړئ او ولیکئ چې کومه، ځکه دواړه انتخابونه وروسته بېلابېل مرستې پوښتنې پیدا کوي۔ د پیشفرض LAN-له-WAN فورواردنګ لرې کول خپله جلا پایله لرونکې پرېکړه ده۔ که یې لرې کړئ، د روټر خپله انټرنېټ لاسرسی هم ورسره ځي۔

په NAT کې ریښتینې پورتنۍ اړیکه ونوموئ

په هغه فرم وېر کې چې د ژباړې قاعده لاسي لیکل کیږي، د وتلو انټرفیس هغه ساحه ده چې خرابیږي۔ هغه قاعده چې vlan2 نوموي هیڅ نه کوي کله چې غونډه ppp0 کې پای ته ورسیږي۔ هغه قاعده چې هیڅ انټرفیس نلري کولای شي هغه ترافیک هم وژباړي چې باید پټ پاتې وای۔ دواړه تېروتنې خپل ځان اعلان نه کوي، ځکه تونل کار ته دوام ورکوي۔

iptables -t nat -A POSTROUTING -o ppp0 -j MASQUERADE

په هغه قاعده کې ppp0 په ip route یا د روانو انټرفیسونو لیست څخه راغلي انټرفیس سره بدل کړئ، بیا د LAN هوسټ پاڼې بارولو پر مهال کاونټر وګورئ۔ په یو وړونکي لرونکي روټر کې د پورتنیې اړیکې لپاره یوه ماسکریډ قاعده معمولا کافي ده۔ د تونل انټرفیس لپاره دویمه قاعده د لومړي بدیل نه دی۔

بیا هغه کلاینټ اختیارونه ورزیات کړئ چې معلوموي تونل ته څه ننوځي۔ redirect-gateway لارښود د کلاینټ انټرنېټ ترافیک VPN له لارې لیږي، او پرته له هغې تونل یوازې هغه لارې وړي چې سرور یې ټېل وهل کیږي۔ مخکې له دې چې DNS ته لاس ووهئ، جوړ شوی د لارو جدول وګورئ۔

Wi-Fi د دویم جدول سره ووېشئ

یو روتینګ جدول دوه پیشفرضونه نشي ساتلی۔ نو هغه دویم SSID چې باید تونل پریږدي خپله فرعي شبکه او خپل جدول غواړي۔ تونلي SSID ته خپل حد ورکړئ، بیا د جدول غوره کوونکې قاعدې سره یوازې هماغه حد تونل ته ولېږئ۔

په OpenWrt کې د پالیسي روتینګ بنډلونه همدا ترکیب څرګندوي۔ په لاس هم کېدای شي — د سرچینې قاعده او هغه جدول چې پیشفرض یې تونل وسیلې ته اشاره کوي۔

له دواړو شبکو ویش وګورئ۔ په تونلي SSID کې کلاینټ باید د VPN د وتلو پته وښیي، او په عادي SSID کې کلاینټ باید د وړونکي پته۔ کله چې دواړه ورته ښکاره شي، قاعده غلط سرچینې ته ورته کیږي یا جدول ته هیڅ نه کتل کیږي۔ بیا له نښلولو وروسته هم ازموینه وکړئ، ځکه د انټرفیس نوم پورې تړلې قاعده د وسیلې شمېره بدلېدو سره ماتېږي۔

په ساعت او د وسیلې بیرغ شک وکړئ

دا persist-tun بیرغ د بیا پیلونو په اوږدو کې تونل وسیله په خپل ځای پرېږدي۔ دا سرور ته ښه دی او هغه کلاینټ ګډوډوي چې حالت یې باید له سره بیا جوړ شي۔ د روټر کلاینټ د ستونزې حل پر مهال یې لرې کړئ، ځکه د ناکامې خبرو څخه ژوندۍ پاتې وسیله پټوي چې کوم ګام واقعا مات شو۔ یوازې هغه وخت یې بېرته کېږدئ چې کلاینټ په باوري ډول ونښلي، نه مخکې۔

ساعت بل ګڼ غږ ناکامي ده۔ هغه روټر چې بیټرۍ لرونکی ساعت نلري له پېل څخه پیل کیږي، یعنې تر هغو چې NTP ورسېږي د سند ازموینې ناکاميږي۔ مخکې له دې چې سند ته لاس ووهئ، د لاګ وختونه له ریښتیني وخت سره پرتله کړئ، ځکه هغه کلاینټ چې له پیل وروسته یوه دقیقه وروسته نښلي، معمولا د وخت همغږۍ ته انتظار وي۔