یو عادي Linux اپلیکیشن پرته له دې چې TUN ته لاس ووهي VPN کاروي

هغه براوزر چې د لا تاسیس شوي Linux VPN کاروي /dev/net/tun نه پرانیزي۔ دا یو ساکټ پرانیزي، او کرنل فیصله کوي چې د هغه ساکټ پاکټونه له کوم انټرفیس څخه وځي۔ هغه پروسه چې تونل یې جوړ کړی، د هغې پروسې څخه بېله دنده ترسره کوي چې هغه یې ترافیک وړي۔ دغو دوو رولونو جلا ساتل د اجازې ډېرو پوښتنو ته له پوښتنې وړاندې ځواب ورکوي۔

له ساکټ څخه تر تونل پورې یو پاکټ تعقیب کړئ

عادي اپلیکیشن connect یا send غواړي، او کرنل د منزل لپاره لار لټوي۔ که ټاکل شوې لار د تونل انټرفیس ته اشاره وکړي، پاکټ د هغې وسیلې پر قطار کیښودل شي چې VPN ډیمون یې لولي۔ ډیمون هغه کوډ کوي او د فزیکي انټرفیس له لارې یې بهر لېږي۔ په دغې تفصیل کې هره تیرې یوه داسې ځای دی چې د اجازې پوښتنې ځواب کېدای شي۔

په دغې لار کې هېڅ شی اپلیکیشن ته د وسیلې د پېژندو غوښتنه نه کوي۔ ډیمون د فایل ډیسکریپټر ساتنه کوي او د انټرفیس عملیات ترسره کوي، پداسې حال کې چې اپلیکیشن یوازې یو عادي د شبکې API ویني۔

دوه نیمې برخې یو ځل وکاږئ، او د اجازې پوښتنې به آسانه ځای پرځای شي۔ پورتنۍ نیمه د اپلیکیشنونو نړۍ ده، او لاندنۍ نیمه د ډیمون ده۔

فیصله وکړئ چې چا ته وسیله ورته ده او چا ته نه

د TUN انټرفیس جوړول یا ورسره یوځای کېدل د وسیلې لاسرسي او همدارنګه د هغه د تنظیم کولو وړتیا ته اړتیا لري، نو ځکه یو ملاتړ شوی VPN خدمت د شبکې د اداره کولو واک سره پیل کیږي یا یو ځانګړی مرستندوی کاروي۔ دغه اړتیا د ډیمون ده۔ دا د براوزر، د ډیټابیس کلاینټ یا د فایل لېږد وسیلې په اړه هېڅ نه وایي۔ هغه خدمت چې دې وړتیا ته اړتیا لري، د خپل ترتیبي پړاو لپاره یې غواړي، نه د خپلو کلاینټونو لپاره۔

کله چې لار او پالیسي خپل ځای ته ورسېدې، عادي پروسه د خپلو معمولي ساکټ غږونو له لارې رامنځته شوې لار کاروي۔ دا د وسیلې نوډ ته اړتیا نه لري، او root ته هم اړتیا نه لري۔

د وسیلې اجازې بدلول اپلیکیشن ته د منزل لاسرسي ورکولو لاره نه ده۔ دا یوازې د وسیلې پوله بل ځای ته ښیښوي۔

هغه نومځی وګورئ چې اپلیکیشن واقعاً په کې چلیږي

یو کانټینر، یا دویم د شبکې نومځی، خپلو پروسو ته جلا انټرفیسونه او د لارې جدول ورکوي۔ پر کوربه تونل هلته په خپله نه ښکاري، او د وسیلې اجازو هېڅ بدلون هغه نه بدلوي۔ اپلیکیشن یوازې د هغه څه له لارې لار اخلي چې دغه نومځی یې برابروي۔ نو ځکه د کانټینر انځور نشي کولی د کوربه تونل په ناڅاپي ډول میراث واخلي۔

دا د ip netns list او ip -n NAME route سره، یا د پروسې د نومځي تړاو په کتلو سره وګورئ۔ ځواب معمولاً په یوه حکم کې ښکاري۔

پر یوه کوربه دوه کاروونکو ته هم د پالیسي له مخې جلا لارې ورکول کېدای شي۔ دا شبکه یي پرېکړه ده، نه د وسیلې د مالکیت ثبوت۔

وړتیاوې د شبکې له پالیسي څخه جلا کړئ

ځینې وسیلې له ساکټ څخه زیات ته اړتیا لري۔ د پاکټونو نیول خام ساکټ غواړي، او د لارو بدلول اداري واک غواړي۔ دا جلا عملیات دي له جلا اجازو سره، او د یوې ورکول د VPN کارولو عمومي شرط نه باید ولوستل شي۔

هغه برنامه چې خپل تونل پلي کوي دریم حالت دی۔ دا واقعاً TUN پرانیزي ځکه چې د ډیمون رول اخلي، نو ځکه د ډیمون امتیازونه غواړي۔

مخکې له دې چې امتیاز ونومئ، عملیات ونومئ۔ دواړه معمولاً له ښکارېدو آسانه جلا کېدای شي۔

جلاوالی له دوو حسابونو سره تایید کړئ

تونل د خدمت په توګه وتړئ، بیا اپلیکیشن د عادي کاروونکي په توګه وچلوئ او تایید کړئ چې دا شخصي سرچینې ته رسي۔ د هغه کاروونکي له شیل څخه د منزل لپاره ip route get وګورئ چې کوم انټرفیس ټاکل شوی۔ که لار سمه وي او اړیکه بیا هم ناکامه شي، ستونزه پالیسي ده، نه امتیاز۔

پایله یی ډیزاین د روښانه پولې سره لږترلږه امتیاز دی: یو برخه د ترتیب او د تونل د سرچینو مالک ده، کار بارونه خپل معمولي حسابونه ساتي، او شبکه یي پالیسي فیصله کوي چې څه تېرېدای شي۔ هر څه د root په توګه چلول هغه رولونه پرته له کوم توضیح نسکوروي۔