یو LAN فرعي شبکه د OpenVPN له لارې تیر کړه او پیشفرض مسیر وساته
د LAN پیشفرض مسیر وساته کله چې یوه فرعي شبکه د تونل له لارې ځي۔ د پالیسي جدول د اصلي جدول د بدلونونو سره پرتله کړه، بیا NAT یا د سرور په اړخ کې مسیر وټاکه۔
هغه وسیلې چې د LAN لپاره مسیر جوړوي او په همدې وخت کې VPN ته ډایل کوي، له ځان سره په همدې جنجال کې ګیر کیږي: تونل غواړي چې د پیشفرض مسیر مالک وي، او LAN ورته بیرته اړتیا لري۔ کله چې OpenVPN وصل شي، کیدای شي د تونل له لارې یو پیشفرض یا دوه نیمګړي پیشفرض مسیرونه ولګوي، چې د لپټاپ لپاره سم او د هغه ګیټوې لپاره غلط دی چې ګاونډیان یې د هغې د LAN پتې څخه ځوابونه تمه کوي۔ ځواب د VPN پرېښودل نه دي۔ ځواب دا دی چې دوه پریکړو ته بیلې جدولونه ورکړل شي۔
یو پیشفرض مسیر، دوه مالکان
لېږدول شوې ترافیک او په سیمه کې جوړه شوې ترافیک اړ نه دي چې یوه لاره ونیسي۔ د LAN پیرودونکو ته تونل یوازې هغو منزلونو لپاره اړین دی چې تاسو یې ټاکئ، په داسې حال کې چې د کوربه خپلو مدیریت ناستو او هغو پیرودونکو ته د هغه ځوابونو ته د LAN پیشفرض اړین دی۔ دواړه په اصلي جدول کې ګډول په دوو بیلو پوښتنو باندې یو ځواب تحمیلوي۔
OpenVPN د همدې لپاره یو سویچ لري۔ route-noexec پیرودونکي ته اجازه نه ورکوي چې اصلي جدول ته لاس وروړي، او هغه ارزښتونه چې کار به یې وړل route-up سکریپټ ته route_vpn_gateway، dev او د انټرفیس پتې په توګه صادرېږي۔ بیا تاسو پریکړه کوئ چې کوم جدول کوم مسیر ترلاسه کوي، په هغه کوډ کې چې وروسته یې لوستلی شئ۔
د پالیسي جدول د اصلي جدول د بیا لیکنې په وړاندې
| Approach | What it buys | What it costs |
|---|---|---|
| Separate table plus source rule | LAN traffic and host traffic keep independent defaults | Every lookup now depends on rule order |
| Editing the main table only | Fewer moving parts on a single-purpose host | One mistake takes the gateway offline entirely |
| Two half-default routes | Works for a full-tunnel client | Ambiguous on a host that must answer on its LAN address |
جلا جدول یوازینی انتخاب دی چې له یوې فرعي شبکې هاخوا پراخیږي۔ یو ځل ورته نوم ورکړه، بیا په نوم یې یاد کړه تر څو چا ته اړتیا نه وي چې یو شمېره په یاد وساتي:
echo "10 vpn" >> /etc/iproute2/rt_tables
ip rule add from 192.168.50.0/24 table vpn
ip route add default via 10.8.0.1 dev tun0 table vpnدلته پتې پلیسهولډرونه دي۔ مخکې لدې چې څه چل کړې، د LAN پریفکس، د تونل ګیټوې او د وسیلې نوم له خپل ځایګي څخه بدل کړه۔
قاعده باید له کوربه سره هم سمه وي
هغه قاعده چې یوازې د LAN پریفکس سره سمه وي، لېږدول شوي پاکټونه پوښي۔ دا هغه ترافیک نه پوښي چې ګیټوې پخپله یې جوړوي، او نه هغه ځوابونه پوښي چې LAN پیرودونکو ته یې بیرته لېږي، کوم چې د سرچینې په توګه د ګیټوې LAN پته لري۔ هغه پلټنې main ته لوېږي او لا هم کیدای شي د تونل له لارې ووځي۔
د ګیټوې د خپلې LAN پتې لپاره دویمه قاعده اضافه کړه، یا لومړنۍ قاعده تر هغه ټولګې پورې پراخه کړه چې دواړه لري۔ ترتیب مهم دی: ډېره ځانګړې قاعده لومړی کیږده، او پایله د هغې پلټنې سره وګوره چې سرچینه په ښکاره نوموي۔
ip route get 203.0.113.9 from 192.168.50.1که دا د هغه منزل لپاره چې باید سیمهای پاتې شي د تونل وسیله ښیي، نو د قاعدو ټولګه غلطه ده پرته له دې چې جدول څه لري۔
NAT یا د هاخوا مسیر
VPN سرور د تونل فرعي شبکه پېژني او نور هېڅ نه۔ هغه پاکټونه چې د LAN سرچینې پتې سره رسیږي د بیرته تګ لاره نه لري پرته له دې چې څوک یې برابر کړي، او د برابرولو دقیقاً دوه لارې شته۔ په سرور کې د LAN پریفکس لپاره د مسیر اضافه کول اصلي سرچینه له سره تر سره پورې لیدل شوې ساتي، چې معمولاً د پلټل شوي ډیزاین غوښتنه وي۔ په ګیټوې کې ماسکریډ کول سرچینه د تونل پتې ته بیا لیکي او د سرور له هیڅ همکارۍ اړتیا نه لري۔
iptables -t nat -A POSTROUTING -s 192.168.50.0/24 -o tun0 -j MASQUERADEکله چې سرور نه کنټرولوئ او هلته مسیرونه نه شئ اضافه کولی، NAT وټاکه۔ کله چې لاګونه، د لاسرسي کنټرول یا د بیرته لارې همغږي مهم وي، د سرور په اړخ کې مسیر وټاکه، ځکه ماسکریډ اصلي پته له هر هغه څه څخه پاکوي چې هاخوا یې ثبتوي۔
په هره حال کې لېږد باید فعال وي، او سخته د بیرته لارې فلټرول کیدای شي ځواب وغورځوي کله چې main د هغې سرچینې لپاره تونل نه وي ټاکلی۔ مخکې لدې چې تونل ملامت کړې، اغیزمن ارزښت وګوره۔
وګړه چې بیاځلي نښلول هم وپاروي
په لاس اضافه شوي قواعد او مسیرونه کله چې انټرفیس بیا جوړ شي ورک کیږي، او یوه پخوانۍ جدولننوېنه کیدای شي له هغې ناستې اوږده ژوند وکړي چې هغه یې توجیه کړې وه۔ د جدول قاعده، د تونل مسیر او د ماسکریډ ننوېنه د پیرودونکي route-up سکریپټ دننه کیږده، او د سکریپټ په سر کې جدول خالي کړه تر څو پخوانۍ ګیټوې نوي ناستې ته ژوندی پاتې نه شي۔
له دواړو خواوو څخه وګوره: په ګیټوې کې د LAN سرچینې سره پلټنه، او له LAN پیرودونکي څخه هغه منزل ته ریښتینی غوښتنه چې باید د تونل له لارې تیر شي۔ هغه مسیر چې شته خو هېڅکله نه ټاکل کیږي، تر هغو چې کاونټرونه ولولې، بالکل د مسیر نشتوالي په څېر چلند کوي۔