عامه پریفکس د OpenVPN له لارې: د بېرته راستنیدو لاره سمول

وګورئ چې ټنل پورته کیږي او کلاینټ بل اړخ ته پینګ کوي، بیا د VPN شاته یو عامه پته له بل ځایه ځواب ورکوي، یا هېڅ ځواب نه ورکوي۔ دا نښه معمولاً د سایفر یا سندونو سره هېڅ تړاو نه لري۔ د چمتو کونکي لخوا روټ شوی پریفکس د IP لارې په توګه رسېږي، او د هغې لېږدول د OpenVPN له لارې پدې معنی ده چې هغه لاره په دوه کچو کې بیا جوړه کړو او د بېرته راستنیدو په لاره کې سرچینه پته وساتو۔ د WAN پل جوړول اړین نه دي، او پته د یو انټرفېس سره یوځای کول پورتنۍ لاره نه جوړوي۔

پریفکس باید لومړی ستاسو خواته روټ شي

له چمتو کونکي وپوښتئ چې بلاک څنګه رسېږي۔ ستاسو د سرور اصلي پتې ته روټ شوی پریفکس له هغو پتو څخه توپیر لري چې چمتو کونکی یې د WAN برخې کې مستقیم رسېدل تمه لري۔ دلته یوازې لومړی ماډل د دې ډیزاین سره کار کوي۔

که چمتو کونکی 198.51.100.64/28 ستاسو د ننوتلو سرور ته روټ کړي، د هغې ساحې پاکېټونه سرور ته رسېږي او هلته درېږي پرته له دې چې تاسو یې مخکې ولېږئ۔ که چمتو کونکی پرځای یې ساحه ستاسو اپلینک ته پل کړي، سرور باید د هغې لپاره ARP ځواب ورکړي، چې بله ستونزه ده۔

د سپارلو ماډل د OpenVPN له لمس کولو مخکې وازموئ: له دړې څخه د بلاک یوې پتې ته پینګ وکړئ او وګورئ کوم انټرفېس یې ترلاسه کوي۔ که هېڅ ونه رسیږي، هېڅ د ټنل ترتیب به مرسته ونه کړي۔ که پته په WAN کې مستقیم ځواب ورکوي، چمتو کونکی د روټ کولو پرځای پل جوړوي، او لاندې ډیزاین نه تطبیقیږي۔

دوه د روټ کولو کچې: د کرنل لاره او iroute

OpenVPN پریفکس په دوه ځایونو کې غواړي۔ کرنل باید پوه شي چې پریفکس د ټنل وسیلې دی، ترڅو لېږدول شوي پاکېټونه د ډیفالټ لارې پرځای OpenVPN ته ننوځي۔ OpenVPN باید هم پوه شي چې کوم تصدیق شوی کلاینټ د پریفکس مالک دی، او دا د کلاینټ ځانګړي ډایرکټري کې iroute ننوتنه ده۔

د سرور خوا لاره داسې ښکاري، چې پریفکس او ماسک باید له تخصیص سره سمون ولري:

ip route add 198.51.100.64/28 dev tun0

د کلاینټ ځانګړی ترتیب مالکیت ټاکي۔ هغه د کلاینټ سند عام نوم په نوم نومول شوي CCD فایل کې کېږدئ، او ډاډه شئ چې سرور په رښتیا هماغه ډایرکټري لولي:

iroute 198.51.100.64 255.255.255.240

د OpenVPN د روټ شوو شبکو په اړه اسناد دواړه کچې او دا چې ولې جلا دي بیانوي۔ له iroute پرته د کرنل لاره پاکېټونه بې مالکه ټنل ته لېږي، او OpenVPN هغه غورځوي۔ له کرنل لارې پرته iroute پاکېټونه د سرور په ډیفالټ لاره کې پرېږدي۔ دواړه غلطۍ د کلاینټ له خوا د مات ټنل په څېر ښکاري۔

د خدمت پته چېرې اوسیږي

ډیلیګیټ شوی پریفکس د ټنل د خپلو پتو سره یو شان نه دی۔ که وغواړئ لینک له خصوصي فضا څخه شمېره کړئ، او عامه خدمت پته هلته کېږدئ چېرې چې خدمت په رښتیا کار کوي۔

په Linux کلاینټ کې چې خدمت په سیمه ییزه توګه پای ته رسوي، یوه هوسټ پته بس ده:

ip address add 198.51.100.70/32 dev lo

که پریفکس نور هم VM هوسټ یا بل LAN ته روټ شي، پرځای یې هغه د ښکته بهیر لاره او د هغې بېرته راستنیدو لاره ترتیب کړئ۔ د بلاک هر پته VPN کلاینټ ته ورکول اړین نه دي او وروسته شخړې جوړوي۔

په بېرته راستنیدو کې عامه سرچینه وساتئ

د ډیلیګیټ شوي پریفکس ځواب باید له ټنل ووځي او د چمتو کونکي لارې ته ورسیږي۔ که لرې هوسټ هغه د خپل ISP له لارې ولېږي، سرچینه پته جعلي ښکاري، او چمتو کونکی یا مقصد یې غورځوي۔ حل د سرچینې پر بنسټ قاعده یا ځانګړې روټینګ جدول دی، نه پراختر NAT۔ پرته له دې خدمت د ټنل ملګري څخه کار کوي او له هر بل ځای څخه ناکامېږي۔

د ننوتلو په سرور کې پراخه masquerade قاعده معمول مجرم دی۔ هغه عامه سرچینه د سرور اصلي پتې ته بیا لیکي، او کلاینټ هېڅکله ریښتینې نه ویني:

iptables -t nat -S POSTROUTING

NAT یوازې هغو خصوصي VPN کلاینټونو ته محدود کړئ چې ورته اړتیا لري او ډیلیګیټ شوی پریفکس بې ژباړې پرېږدئ۔ بیا ډاډه شئ چې سرور پریفکس هم لېږي، ځکه د ډیفالټ انکار لېږد لړۍ هغه په خاموشۍ غورځوي۔

تر باور وړاندې دواړه خواوې وګورئ

تصدیق څلور کتنې دي، نه یوه۔ ډاډه شئ چې د چمتو کونکي لاره رسېږي، کرنل پریفکس ټنل ته لېږي، OpenVPN هغه سم کلاینټ ته نسبت کوي، او ځواب د عامه سرچینې سره سم راستنیږي۔ هرې کتنې خپله کمانډ لري، نو ناکامي یوه کچه ته اشاره کوي نه ټول ډیزاین ته۔ هغه د هر ترتیب بدلون وروسته په همدې ترتیب چل کړئ۔

له کرنل وپوښتئ چې ډیلیګیټ شوې پته کومه لاره غوره کوي، او غوښتنې پرمهال ټنل وګورئ:

ip route get 198.51.100.70
sudo tcpdump -ni tun0 host 198.51.100.70

د بېرته لارې فلټر کول کولی شي سمه لاره لغوه کړي۔ په ټنل او اپلینک کې اغیزمن تنظیم وګورئ، او په یاد ولرئ چې سخت حالت هغه ترافیک ردوي چې سرچینه یې له هغې انټرفېس سره سمون نه لري چې پرې راغلی:

sysctl net.ipv4.conf.tun0.rp_filter net.ipv4.conf.eth0.rp_filter

په پای کې، د ناکامۍ حالت وازموئ۔ ټنل ودروئ او ډاډه شئ چې عامه پریفکس د عادي اپلینک له لارې نه بهیږي۔ د VPN بیا رغول باید خدمت بېرته راوړي پرته له دې چې پراخه کړي کوم پورټونه هوسټ ښکاره کوي۔