د Raspberry Pi پر VPN دروازه: یوه شبکه کاډ یا جلا کلاینټ پورټ
تاسو یو Pi، یو کارکوونکی وتونکی VPN پروفایل او دوه وسیلې لرئ چې باید د هغه له لارې انټرنیټ ته ورسیږي۔ د جلاوالي، د بیرته ستنیدو پالیسۍ او د دې پر بنسټ چې DNS چا لري، ترتیب وټاکئ۔
تاسو یو Pi، یو کارکوونکی وتونکی VPN پروفایل او دوه وسیلې لرئ چې باید د هغه له لارې انټرنیټ ته ورسیږي۔ هغه پوښتنه چې ټول جوړښت پرېکړه کوي دا نه ده چې کوم لارښود تعقیب کړو، بلکې دا ده چې څومره جلاوالی ته اړتیا لرئ۔ یو پورټ Pi ته اجازه ورکوي چې د هغو وسیلو ترڅنګ د روټر په LAN کې ودریږي او د اضافي دروازې په توګه کار وکړي؛ دوهم پورټ تاسو ته اجازه ورکوي چې هغوی په داسې برخه کې کېږدئ چېرې چې Pi یوازینی وتل وي۔ له دې ټاکنې وروسته هر څه — DHCP، د فایر وال ساحه، DNS، د قطعېدو حالت — له هغې څخه راځي۔
دوه ترتیبات په رښتیا کې څه توپیر لري
دواړه ډیزاینونه روټینګ کوي۔ توپیر دا دی چې پر تار بل څوک ولاړ دی او کله چې ستاسو پالیسي غلطه وي څه پیښیږي۔
| Layout A: Pi on the ISP LAN | Layout B: dedicated client port | |
|---|---|---|
| Cabling | One Ethernet port, existing switch port | Two interfaces: uplink plus a separate LAN port |
| Can a client bypass the Pi? | Yes, by using the ISP router as its gateway | No, unless the device has another radio or link |
| Who hands out addresses | The ISP router, with a per-client setting or a DHCP option | The Pi, on its own LAN interface only |
| Blast radius of a mistake | Any LAN host, if a rule is too broad | The attached segment |
| Good fit for | One laptop, a console, a temporary test client | Appliances, always-on boxes, untrusted devices |
اصلي محور جلاوالی دی۔ ترتیب A سلاکار دی: هغه وسیله چې DHCP ورکړل شوې دروازه له پامه غورځوي او روټر ټاکي، پرته له کوډکولو هم کار کوي۔ ترتیب B د توپولوژۍ له مخې جبري دی، ځکه چې د ټاکلو لپاره بله بل ګام نشته۔
ترتیب A: Pi د موجوده LAN کې د اضافي دروازې په توګه
فرض کړئ چې د ISP روټر 192.168.50.1 دی، Pi 192.168.50.2 دی، او ټاکل شوي کلاینټونه Pi ته اشاره کوي۔ مهمه دا ده چې دوه جلا پاکټ بهیرونه یو کیبل شریکوي۔ د کلاینټ داخلي پاکټ Pi ته رسیږي او باید د تونل له لارې ووځي؛ د Pi خپل کوډ شوی پاکټ VPN ملګري ته باید د همدې کیبل له لارې روټر ته ووځي۔ دوی په یوه انټرفیس کې په مخالف لوري حرکت کوي او جلا چلند ته اړتیا لري۔
Pi ته خپل پته د نصب شوي شبکه مدیر له لارې ورکړئ، نه د زاړه انټرفیس فایل ترکیب له لارې چې د وسیلې لپاره ورسره جنګیږي۔ بیا کلاینټونه تنظیم کړئ: په یوه وسیله کې سټاټیک دروازه، یا د DHCP هغه ریزرویشن چې 192.168.50.2 د روټر په توګه ورکوي۔ د دوو وسیلو لپاره د روټر ټول DHCP ساحه مه بدلوئ، او مه فکر کوئ چې کلاینټ دا انتخاب درناوی کوي — یې وګورئ۔
کمزوري جوړښتي ده، نه د سمولو وړ۔ په هغه برخه کې هر کلاینټ کولی شي 192.168.50.1 ته اشاره وکړي او روښانه وتل وکړي، او هغه وسیله چې دوهم انټرفیس یا ګرځنده راډیو لري ستاسو د پلي کولو لاره بشپړه پرېږدي۔ که دا جمله د اړوندې وسیلې لپاره د منلو وړ نه وي، ځواب ستاسو سره دی: ترتیب B وکاروئ۔
ترتیب B: جلا پورټ وسیلې په داخل کې بندوي
دلته Pi په پورتنۍ اړیکه کې د دروازې 192.168.50.1 سره 192.168.50.2 ساتي، او د نښلول شوو وسیلو لپاره په دوهم انټرفیس کې 10.20.0.1/24 اخلي۔ اوس Pi دوه شبکو لرونکی روټر دی، او نښلول شوې برخه دقیقاً یو وتل لري۔
له ژمنې مخکې ساحه له نورو هر څه سره وګورئ: د تونل خپله فرعي شبکه، نور سایټ تر سایټ مخکښې، او هر هغه څه چې د VPN له لارې رسیدلی شي۔ 10.20.0.0/24 چې له لرې LAN سره ټکر کوي هغه نیمګړی پایله ورکوي چې تشخیص یې یوه ماښام نیسي۔ که دوهم پورټ USB اډاپټر وي، تایید کړئ چې ملاتړ کیږي او نوم یې په شبکه مدیر کې ټینګ کړئ ترڅو له بیا پیل وروسته ترتیب بدلون ستاسو LAN پته جابه جا نه کړي۔
د DHCP اوریدونکی یوازې په همدې انټرفیس چل کړئ۔ په پورتنۍ اړیکه کې ځواب ورکوونکی سرور د ISP له روټر سره سیالي کوي او ستاسو د برخې پتې د کور پاتې برخې ته ورکوي۔ هغه LAN انټرفیس ته وتړئ، په اعلان شوې ساحه محدود یې کړئ، او د Pi خپله پته له حوض څخه بهر وساتئ۔
لیږد، ژباړه او د ناکامۍ پر مهال د بندیدو قاعده
څلور شیان ډیری وخت یو څیز بلل کیږي او یو نه دي۔ د لیږد فعالول (net.ipv4.ip_forward=1) یوازې کرنل ته وایي چې کولی شي پاکټونه د انټرفیسونو ترمنځ وخوځوي؛ خپله هیڅ شی نه اجازه ورکوي او هیڅ لاره تضمین نه کوي۔ د وتلو ټاکل د روټینګ پرېکړه ده۔ پاکټ اجازه ورکول په forward زنځیر کې د پالیسۍ پرېکړه ده۔ د هغه سرچینه بیا لیکل د postrouting پرېکړه ده۔ هغه جوړښت چې یوازې لومړی کوي، هغه Pi جوړوي چې د کلاینټ ټرافیک په خوښۍ سره د پورتنۍ اړیکې له لارې بهر لیږدوي۔
اجازه هغو سرچینو ته محدوده کړئ چې ستاسو مطلب وو او هغه انټرفیس ته چې ټرافیک باید وکاروي، او د بیرته ستنیدو لاره او د Pi خپل اړین منزلونه شامل کړئ۔ بیا د تونل په وتلو کې ژباړه وکړئ که چمتو کوونکی ستاسو LAN مخکښه ستاسو خواته بیرته روټ نه کوي۔ د nftables لارښود لیږد، ځایي وتل او د سرچینې ژباړه جلا عملیات ګڼي، او دا دلته سم فکري ماډل دی۔
عمومي ناکامي په فزیکي انټرفیس کې پراخه masquerade قاعده ده۔ بیا ټرافیک د ISP لارې انټرنیټ ته رسیږي، خو د کلاینټ له اړخه دقیقاً د کارکوونکي VPN په څیر ښکاري۔ دا هیڅ شی ثابتوي نه۔ ژباړه د اعلان شوي وتلو سره تړلې وساتئ، او خپلې قاعدې په هغه فایر وال کې وساتئ چې کوربه یې له مخکې کاروي، د شریک postrouting زنځیر خالي کوونکي سیال قاعده ټولګه د اضافه کولو پرځای۔
بیا د تونل نه شتون حل کړئ۔ هغه کلاینټ پروفایل چې پراخه پیش فرض لاره نصبوي دا هم مانا لري چې کله تونل ولویدل شي، عادي پیش فرض کولی شي بیرته راشي او د کلاینټ ټرافیک په غلې ورسره پورتنۍ اړیکه ته ستنه شي۔ هلته چې روښانه متن ته بیرته راستنیدنه د منلو وړ نه وي, هلته forward پالیسي باید له کلاینټ څخه پورتنۍ اړیکه ته ټرافیک په روښانه توګه رد کړي، په هغه حالت کې چې VPN لاره تللې وي۔ دا د اټکل په توګه نه، بلکې د ردولو د قاعدې په توګه ولیکئ۔ د Pi خپل کوډ شوی لېږد VPN ملګري ته جلا local-output بهیر دی او باید اجازه ولري، که نه تونل هیڅکله بیرته نه شي راتللی۔
DNS او IPv6 خپل ځواب ته اړتیا لري
که کلاینټونه Pi د حل کوونکي په توګه وکاروي، دوی ځایي اوریدونکي ته رسیږي او Pi نوی پوښتنه پیلوي۔ هغه پورتنۍ پوښتنه د Pi خپله لاره تعقیبوي، نه هغه forward قاعده چې تاسو د کلاینټونو لپاره لیکلې، نو یوازې د تونل له لارې د کلاینټ لاره او سیده بهر وتونکی حل کوونکی — دا له هیچا تېروتنې پیغام پرته لیک دی۔ په قصد پریکړه وکړئ: د تونل له لارې رسیدونکی حل کوونکی، یا ځایي چې سیده یې منئ، او د Pi خپله وتنې پالیسي له هغې پرېکړې سره سمه کړئ۔
IPv6 بیا جلا قضیه ده۔ د IPv4 لپاره forward قاعده د IPv6 په اړه هیڅ نه محدودوي، او په پورتنۍ اړیکه کې د روټر اعلانونه کولی شي Pi ته، او د هغه له لارې نښلول شوې برخې ته، دوهم پیش فرض ورکړي چې ستاسو پالیسي پریږدي۔ یا په همدې اصل IPv6 ته خپله ساتل شوې لاره ورکړئ، یا یې په کلاینټ برخه کې په روښانه توګه محدود کړئ او همداسې ووایاست۔
له باور مخکې پوله وازموئ
ډیزاین یوازې له څلورو جلا کتنو وروسته ومنئ، ځکه چې هغه زړه راښکونکی یوازینی ازموینه — په یوه کلاینټ کې براوزر خلاصول — په څو ماتو حالتونو کې بریالۍ کیږي۔
تایید کړئ چې یو ریښتینی کلاینټ د تونل له لارې انټرنیټ ته رسیږي، بیا تایید کړئ چې هماغه کلاینټ د تونل د بندیدو پر مهال انټرنیټ ته نه رسیږي۔ تایید کړئ چې DNS حل کار کوي او پوښتنه له هغه ځایه وځي چې تاسو یې مطلب وو۔ تایید کړئ چې د تونل له بیا پیل وروسته هم د Pi خپل لېږد کار کوي، او بیا رغونه د ماشین بیا پیل ته اړتیا نه لري۔ په پای کې، هغه وسیله وګورئ چې تاسو نه یې ټاکلې: په ترتیب A کې باید عادي کار ته دوام ورکړي، او په ترتیب B کې باید په هغه برخه کې هیڅ نه وي۔
- دوه پورټونه او د ردولو قاعده پلي کول ورکوي؛ یو پورټ او د DHCP انتخاب سلا ورکوي۔
- په غلط انټرفیس کې ژباړه د بریا په څیر ښکاري او نه ده۔
- د Pi خپل ټرافیک، DNS او IPv6 هر یو پرېکړې ته اړتیا لري، نه اټکل ته۔