pfSense OpenVPN: د بل روټر تر شا شبکې ته رسیدل

ستاسو لیپ ټاپ د VPN له لارې pfSense LAN ته رسیدلی شي او بیا هم دوه هپ نورې دنننۍ خدمت ته نه شي رسیدلی، او توپیر په هر مالک کې یو روټینګ پریکړه ده. درې وسیلې باید موافقه شي مخکې له دې چې کڅوړه خپله تللې-راتلل بشپړه کړي: کلاینټ، فایر وال او هغه روټر چې واقعاً د هدف شبکې مالک دی. له دوی څخه یو هم ورک شي، نو نښه ورته ښکاري.

د یوې قاعدې د بدلولو دمخه یوه کڅوړه دې درې پریکړو ته ورسوئ، ځکه هر مالک بیل کنټرول او بیل د ناکامۍ طریقه لري.

یوه کڅوړه، درې روټینګ پریکړې

کلاینټ پریکړه کوي چې هدف په تونل کې دی که نه، او یوازې د هغه څه له مخې پریکړه کولی شي چې پوهیږي: پش شوې لاره، محلي لاره یا داسې ډیفالټ چې لا دمخه هر څه پوښي. pfSense پریکړه کوي چې کڅوړه بل چیرته واستوي، او د بل روټر تر شا شبکې لپاره دا د سم انټرفیس په رسیدو وړ ګیټ وې له لارې سټاټیک لاره مانا لري. لاندې روټر پریکړه کوي چې آیا د VPN حوض ته بیرته تګ لاره پېژني که نه، او که نه پېژني، ځواب غورځول کیږي یا بېځایه ځای ته استول کیږي. هره پریکړه له نورو دوه خپلواکه ده.

د دوی له جملې څخه د یوې ناکامي ورته کارن راپور ورکوي. ځکه د ډیبګ کولو ترتیب له وسایلو ډیر مهم دی.

کلاینټ ته مخکښ ورکړئ، اټکل نه

په pfSense SSL/TLS سرور کې چې IPv4 تونل شبکه یې له /30 څخه لویه وي، IPv4 Local network(s) ساحه د نښلولو پر مهال کلاینټونو ته لارې ویشي. د دې پر ځای چې کلاینټ پخپله یوه جوړه کړي، لاندې مخکښ هلته ورزیات کړئ. بیا د نښلولو وروسته د کلاینټ ریښتینې جدول ولولئ، ځکه route-nopull لرونکی پروفایل یا د لارې فلټر کولی شي هغه څه له پامه وغورځوي چې سرور لیږلي. سرور کولی شي په بشپړه توګه سم وي پداسې حال کې چې کلاینټ هېڅ نه نصبوي.

نور سرور حالتونه او ټوپولوژي بیل محدودیتونه لري، او د هر کلاینټ یا اړیکې پالیسي کولی شي بدله کړي چې یو ځانګړی کلاینټ څه ترلاسه کوي. په هغه کلاینټ کې تایید کړئ چې مهم دی، نه په هغه چې تاسو لومړی ازمویلی.

pfSense دې داخلي روټر ته مخه کړي

په pfSense کې سټاټیک لارې ته تعریف شوی او رسیدو وړ ګیټ وې ته اړتیا ده، او د هغې ګیټ وې لپاره ټاکل شوی انټرفیس باید هغه وي چې واقعاً ورته رسیږي، لکه څنګه چې د Netgate د سټاټیک لارو لارښود تشریح کوي. په یوه بېلګې ترتیب کې ټرانزیټ لینک په فایر وال کې 192.168.77.1 او په داخلي روټر کې 192.168.77.2 دی، او د خدمت شبکه د هغې شاته 172.16.30.0/25 ده. بیا لاره مخکښ او بل هپ نوموي، نه د خدمت پته. د لرې شبکې پته د ګیټ وې په توګه کارول یوه عامه لاره ده چې سم ښکاري او چیرته هم فارورډ نه کوي.

انټرفیس ته نوم ورکول د هغې شاته شبکې نه تشریح کوي. سټاټیک لاره هغه تشریح ده.

لرې اړخ باید حوض وپېژني

لاندې روټر ته د حوض لپاره د بیرته تګ لاره ته اړتیا ده، په دې بېلګه کې 10.55.0.0/24 د 192.168.77.1 له لارې، پرته له دې چې ډیفالټ لاره یا متحرک پروتوکول لا دمخه یوه برابره کړي. د خدمت هوسټ خپله ګیټ وې باید هغه روټر ته ورسوي، کوم چې معمولاً سم دی کله چې روټر د هغې ډیفالټ ګیټ وې وي او غلط دی کله چې هوسټ په لاس تنظیم شوی وي. په فایر وال کې د پالیسۍ روټینګ هم کولی شي د ځانګړي ټرافیک لپاره جدول له پامه وغورځوي، نو د دې پایلې دمخه چې لاره غلطه ده، وګورئ چې آیا یوه قاعده بله ګیټ وې ټاکي.

دې ډیزاین ته هیڅ ژباړې ته اړتیا نشته، او د کلاینټ د سرچینې پتې لیدل کیدل د لاندې شبکې لپاره خپله پالیسي پلي کولو اجازه ورکوي.

د منلو لپاره، یوه نوې غوښتنه د تونل ننوتلو، د فایر وال داخلي وتلو او هدف څخه راغلي ځواب له لارې وڅارئ. که پرځای یې ژباړه په قصد کارول کیږي، ثبت کړئ چې لاندې شبکه کومه سرچینه ویني او ځواب څنګه بیرته راتلل تمه کیږي.

د درې مالکانو پلان د اجازه شوې اپلیکیشن تر څنګ وساتئ، ترڅو بل مدیر وکولی شي لاره بیا جوړه کړي، نه دا چې له سره یې کشف کړي.