د ټاکل شوې مجازي IP په پته IKEv2 کلاینټ ته رسېدل

دروازه باید د IKEv2 له لارې د خپل ځان سره نښلول شوي لپ ټاپ په لور اړیکه پیل کړي او د هغه کلاینټ لپاره ټاکل شوې مجازي پته وکاروي۔ تونل فعال دی، کلاینټ د دروازې تر شا هر څه ته رسېږي، خو مخالف لوری بیا هم ناکامېږي۔ دا نابرابري نورماله ده: هوکړه شوې تګلاره بیانوي چې کومې پتې کولای شي خبرې وکړي، نه دا چې کوم لوری کولای شي پیل وکړي۔ درې شیان باید سره سمون ولري ترڅو د دروازې پیل شوې غوښتنه کار وکړي۔

تونل د سرچینې پته نه اصلاح کوي

CHILD SA د ترافیک د ټاکونکو یوه جوړه پوښي، په هر لوري کې یو، او د هغې جوړې په دواړو لورو کې ترافیک ته اجازه ورکوي۔ دا په دې اړه څه نه وایي چې کوم همکار لومړی د IKE تبادله پرانیستله۔ هغه دروازه چې په پیل کې د تونل لپاره اورېدله لا هم کولای شي لومړنۍ کاري بسته ولېږي، په دې شرط چې ټاکل شوې سرچینه او منزل په نصب شوو ټاکونکو کې وي۔ کله چې غوښتنه له غلط انټرفیس څخه ووځي، نو دا د تونل لپاره وړ نه ده۔

د کلاینټ په لور لارښوونه اړینه ده او بسنه نه کوي۔ تګلاره باید هغه سرچینه ومني چې تاسو واقعاً کارولې ده۔

نصب شوې تګلاره ولولئ، نه د ترتیباتو فایل

له فعالې ټولګې او د هغې له ټاکونکو څخه پیل وکړئ، ځکه چې متحرک ټاکل هغه څه بدلوي چې په کرنل کې نصب دي۔

ipsec statusall
ip xfrm policy

د حالت پایله اړیکه، ټاکل شوې مجازي پته او هغه ټاکونکي نوموي چې اوس د هغه همکار لپاره اعتبار لري۔ د تګلارې ډمپ هماغه ټاکونکي د کرنل د حالت په توګه ښیي، او د بستې ټاکنه واقعاً هماغه ته مراجعه کوي۔ د دروازې اړخ ټاکونکی د هغې سرچینې سره پرتله کړئ چې ستاسو اپلیکیشن به یې کاروي، ځکه چې ناسمونې سمدلاسه ناکامي توضیح کوي۔ د کلاینټ اوسنۍ پته ولولئ، نه د پخواني ناستې، ځکه چې بیا ټاکل شوې VIP پخوانۍ تګلاره باطلوي۔

کلاینټ باید هغه ځای واوري چې بسته ورته رسېږي

حتی بشپړه تګلاره هم د بند پورټ تر څنګه رسېږي کله چې خدمت یوازې له لوپبیک سره وتړل شي۔ اورېدونکی باید په ټاکل شوې پته یا په یوه ټولشموله ځایي پته کې وي۔

ss -ltnp 'sport = :9090'
iptables -S INPUT

د ساکټونو لیست ښیي چې پورټ له مجازي پتې سره تړل شوی که نه، او د دیوال قواعد ښیي چې له ساتل شوې سرچینې نوي اړیکې منل کیږي که نه۔ هغه قاعده چې د جوړو شوو اړیکو لپاره لیکل شوې ده، هغه اړیکه نه مني چې دروازه یې پیلوي۔ د خدمت خپله تصدیق وساتئ، ځکه چې د تونل له لارې راتلل یوازې دا ثابتوي چې بسته له کومې شبکې راغله۔ د خپل NAT تر شا کلاینټ لا هم د راتلونکي پورټ لیږد ته اړتیا نه لري، ځکه چې دا غوښتنې د موجود تونل په داخل کې سفر کوي۔

نوی لوری په خپلواکه توګه وازموئ

له کلاینټ څخه سرور ته بریالۍ غوښتنه هېڅکله دا لاره نه ازمويي۔ غوښتنه له دروازې څخه جوړه کړئ او دواړه سرونه وګورئ۔

ip route get 10.90.0.42 from 192.168.50.1
tcpdump -ni any host 10.90.0.42 and tcp port 9090

د لارې پلټنه ځواب وایي چې دروازه به کومه سرچینه او انټرفیس وکاروي، او تګلاره باید هماغه ارزښت ومني۔ نیول باید وښیي چې غوښتنه د عام انټرفیس په ساده TCP بڼه نه، بلکې د ESP په داخل کې وځي۔ په کلاینټ کې، د رسېدو او د خدمت د ځواب د تایید لپاره کوډ پرانیستل شوی ترافیک ونیسئ۔ که غوښتنه پر تار پرته له ESP ورکه شي، نو د کلاینټ له دیوال څخه مخکې د سرچینې پتې ته شک وکړئ۔

د کیلي له بدلون یا بیا نښلولو وروسته ازموینه تکرار کړئ، ځکه چې VIP ممکن بدل شي۔ هغه لار چې یوازې تر بلې ناستې پورې کار کوي کاري لار نه ده۔