pfSense د VPN سرور او کلاینټ په توګه: دوه لارې، یو روټر

یوه وسیله کولای شي یوځل دوه خواوو ته وګوري: ګرځنده کاروونکي دننه نښلوي، او همغه بکس د وتلو یو چمتو کوونکي سره بهر نښلوي تر څو ټاکل شوې ترافیک له بلې شبکې وباسي۔ دواړه خدمتونه فعالول څو دقیقې نیسي؛ د دوی یوځای ژوند کول یو ډیزاین غواړي، ځکه دوهم رول هغه روټینګ جدول بیا لیکي چې لومړی پرې تکیه کوي۔ درې شرطونه ټاکي چې دا ترتیب کار کوي که نه، یعنې ایا ننوتونکی خدمت خپله بیرته راستنیدونکې لاره ساتي، ایا وتونکی تونل لا هم خپل سیال ته رسیږي، او ایا هغه ترافیک چې تاسو یې د لیږلو اراده درلوده د وتلو لپاره ټاکل کیږي۔ یو کې غلطي وکړئ او دوه تونلونه لاسته راوړئ چې دواړه د نښلیدو راپور ورکوي پداسې حال کې چې د دوی ترمنځ هیڅ ګټور نه تیریږي۔ لاندې څیړنې هر شرط په هغه ترتیب تثبیتوي چې ناکامۍ معمولا ښکاري۔

له هر تنظیم لاس وهلو دمخه دواړه رولونه ونوموئ

د هر انسټالنس لپاره څلور حقایق ولیکئ: د هغې لرې سیال، د هغې تصدیق مواد، هغه پته-پول چې توزیع کوي، او د هغې شاته شبکې۔ دواړه انسټالنسونه پر وسیله بیلې شیان دي او په ستاسو یادښتونو کې هم باید بیلي پاتې شي۔ وروسته نږدې هره ګډه نښه د دوی د ارزښتونو له ګډیدو راځي، او دوه انسټالنسونه چې یو یادښت-سیټ شریکوي هغه لاره ده چې غلط پول غلط ځای ته رسیږي۔

ننوتونکي خدمت ته داسې تونلي شبکه پکار ده چې د وتونکي تونل له پتو او یا له هغه کوم خصوصي شبکې سره چې وسیله یې روټ کوي مه خورې۔ خوریدل یوازینی هغه غلطي ده چې په دواړو رولونو کې یوځل نښې پیدا کوي، او پر کاغذ یې نیول ډیر ارزان دي۔ له هر یو خدمت د تنظیم دمخه دواړه پولونه او هره روټ شوې خصوصي شبکه په یوه ځای کې پرتله کړئ۔

شریکه وسایل د شریکو اسنادو مانا نه لري، او د لرې لاسرسي پول څخه راغلی کلاینټ سند باید د وتلو چمتو کوونکي پر وړاندې د کارولو وړ نه وي۔ جلا مواد لغوه کول هم د ټولې بیړۍ پیښې پرځای سیمه ییزه پرېکړه ګرځوي۔

د سرور ځوابونه د WAN په لاره کې وساتئ

هغه ځوابونه چې وسیله یې پخپله جوړوي د بې احتیاطه اصلي لارې لومړنی قرباني دي۔ کله چې د ګرځنده کاروونکي پوښ شوې بسته ورسیږي، ځواب په سیمه ییز ډول پیدا شوې ترافیک ده او باید له هغه انټرفیس څخه ووځي چې هغه کاروونکی ترې راغلی و۔ که وتونکي کلاینټ داسې اصلي لار نصب کړې وي چې هغه نیسي، ځواب غلط تونل ته ننوځي او غونډه ودروي پداسې حال کې چې خدمت لا هم روغ ښکاري۔

دا حل کوي یوازې یوه چیک بکس نشته، ځکه پرېکړه د دې په اړه ده چې وتونکی کلاینټ کومه ترافیک نیولی شي۔ یا هیڅ لار مه کشوئ او یوازې هغه څه واستوئ چې تاسو یې ټاکئ، یا لارې کش کړئ او هغه استثناوې ورزیاتې کړئ چې د وسیلې خپل خدمتونه روان ساتي۔ ټاکنه د انسټالنس ترڅنګ ولیکئ، که نه نو بل کس به بل ډول انګیرنه وکړي۔

netstat -rn | head -20
pfctl -sr | grep -i vpn
ifconfig | grep -A3 ovpn

د روټینګ جدول د ترټولو اوږد سمون له مخې ولولئ، نه د هغه ترتیب له مخې چې تاسو څه تنظیم کړي۔ پوښتنه دا ده چې د وتلو سیال پتې لپاره کومه ننوتنه ګټي او د ننوتونکي خدمت ځواب لپاره کومه ننوتنه ګټي، او دا دواړه ځوابونه کیدای شي توپیر ولري۔

وتونکي تونل ته مه پرېږدئ چې خپله پای ټکی وخوري

وتونکی کلاینټ باید د تونل د جوړولو لپاره خپل سیال عامه پتې ته ورسیږي۔ که هغه پته پخپله تونل ته روټ شي، کلاینټ خپله لکۍ تعقیبوي: لېږد هیڅکله نه پورته کیږي، یا پورته کیږي او هغه شیبه لوېږي چې لار نصب کیږي۔ لاګ د روټینګ خرابۍ پرځای د تصدیق د مودې له بشپړیدو سره ورته ښکاري، ځکه لار باید لومړی وڅیړل شي۔

لاره له اسنادو دمخه وڅیړئ او بیا وروسته له دې چې تونل پورته شي، ځکه ننوتنه کیدای شي په پیل کې سمه او یوه دقیقه وروسته غلطه وي۔ د سیال پته باید عادي WAN لارې ته اشاره وکړي، هیڅکله تونل وسیلې ته نه۔ کله چې لېږد ټینګ شو، زړه پوري پوښتنه لیږل شوې ترافیک ته ځي، او هغه بله پرېکړه ده۔

netstat -rn | grep -F '198.51.100.10'
traceroute -n 198.51.100.10

وټاکئ چې کوم کاروونکي وتل ترلاسه کوي

د سرچینې پالیسي هغه ننوتلو ته اړه لري چې ترافیک پرې وسیلې ته ننوځي، نو د لرې لاسرسي پول یا د هغې دننه تنګ هویتونه وټاکئ۔ هغه خصوصي منزلونه او مدیریتي استثناوې وساتئ چې هیڅکله باید وتلو ته واستول شي، او هغه قواعد د پراخ قاعده دمخه کیږدئ۔ بیا د وتلو لارې ته خپله ژباړه یا روټ شوې بیرته راستنیدو ترتیب پکار دی، چې په ډیرو ډیزاینونو کې د وتلو انټرفیس باندې بهر وتونکې NAT معنا لري چې پول پوښي۔ ژباړه وتل نه ټاکي؛ هغه یوازې هغه څه بیا لیکي چې مخکې وتلي، نو پر بې اړیکې WAN باندې NAT قاعده په ټاکنه کې هیڅ نه بدلوي۔

تصدیق کړئ چې لرې پای له دې ډیزاین څخه لیږل شوې ترافیک اجازه ورکوي، ځکه ځینې چمتو کوونکي اجازه ورکوي او ځینې نه۔ توپیر داسې تونل ښکاري چې نښلوي او هیڅ نه وړي، چې سیمه ییزه خرابۍ لوستل یې اسان دي۔ درې جریانونه بیل بیل وآزمویئ، ځکه دوی په خپلواکه توګه ناکام کیږي، او له درېیو دوه یې نیمګړی ډیزاین دی۔

openvpn --config user07.ovpn
curl -sS https://ifconfig.me
curl --interface 10.10.10.1 -sS https://intranet.corp.example/health

لومړی امر د ګرځنده کاروونکي بهرنۍ نښلون دی، او هغه وخت کار کوي چې کلاینټ د پیل کیدو ترتیب بشپړیدل راپور کړي۔ دوهم هغه نښلول شوي لپ ټاپ څخه چلیږي او باید ستاسو د WAN پتې پرځای د وتلو چمتو کوونکي پته راپور کړي۔ دریم پر وسیله د پول یوې پتې ته تړلی چلیږي، او د لرې کاروونکي له شاملولو پرته لیږل شوې ترافیک لپاره د سرچینې پالیسي څیړي۔ که هغه پرځای له WAN څخه ځواب ورکړي، پالیسي سمون نه خوړلی، او د NAT د سمون هیڅ اندازه د ټاکنې ستونزه نه جوړوي۔

پرېکړه وکړئ چې کله وتل ناکام شي څه پیښیږي

د ناکامۍ چلند له پیښیدو دمخه ولیکئ: کله چې وتونکی تونل ولوېږي، ایا کاروونکي عادي WAN ته بیرته ځي یا تر هغه پورې بند پاتې کیږي چې وتل بیرته راشي؟ دواړه ځوابونه د دفاع وړ دي، او وسیله به ستاسو پرځای انتخاب نه کوي۔ لرې شوې لار یا هغه پالیسي چې مړې دروازې ته اشاره کوي په اتوماتيک ډول بشپړ بندیز نتیجه نه ورکوي۔ که بندیز غواړئ، پالیسي باید دا په څرګند ډول ووایي، او باید د وتلو په لرې کولو سره وآزمویئ، نه د هغې په اړه فکر کولو سره۔ که بیرته راستنیدل غواړئ، کاروونکو ته یې اعلان کړئ، ځکه هغه ترافیک چې په خاموشۍ عادي لاره نیسي هغه ترافیک دی چې چا فکر کړی و چې پوښل شوی دی۔

د کلاینټ انسټالنس غیر فعال کړئ، وګورئ چې نښلول شوی کاروونکی بیا هم چیرته رسیږي، بیا یې بیا پیل کړئ۔ هغه غوښتنه چې موده یې پوره کیږي ستاسو د غوښتل شوي بشپړ بندیز نتیجه ده؛ هغه چې د WAN پتې سره ځواب ورکوي ستاسو نه مستند شوی راستنیدل دی۔ څیړنه د IPv6 او DNS لپاره تکرار کړئ، ځکه د IPv4 لپاره لیکل شوې پالیسي د AAAA ترافیک په اړه هیڅ نه وایي او هر تونل چې حل کوونکی یې فشارولی د هغه ځای څخه ځواب ورکوي چې پوښتنه واقعیا ترې وځي۔

pfSsh.php playback svc stop openvpn client 2
curl --max-time 6 -sS https://ifconfig.me
pfSsh.php playback svc start openvpn client 2

د Netgate د روټ شوي OpenVPN ترکیب ښیي چې د سرچینې پالیسي، د انټرفیس ګمارنه او بهر وتونکې ژباړه څنګه سره جوړیږي، او د هغې له سایټ څخه سایټ ته حد هغه برخه ده چې باید په بشپړه توګه کاپي نه شي۔ هغه څه چې به یې تاسو ته نه وایي دا دي چې پورتنۍ درې شرطونه کوم یو ستاسو خپل ډیزاین مخکې مات کړی دی۔