روټ شوی یا پل شوی VPN: د دې پر بنسټ چې کلاينټ بايد څه ته ورسیږي

په یوه ورځ دوه ټکټونه رارسي: یو کارن د داخلي ویب اپلیکیشن ته اړتیا لري، او یو انجینر غواړي چې د مېز وسیله داسې چلند وکړي لکه په همدې Ethernet برخه کې ناسته وي. دواړو ته ځواب ورکول کیږي چې هغوی په VPN کې ږدئ، او ستونزه همدلته پیل کیږي. روټ شوی تونل او پل شوی تونل بېلابېلې اړیکې غځوي، او هرې غوښتنې ته یوازې یو له دوی مطابقت لري. د ټوپولوژي غوره کول د لاسرسي پریکړه ده، نه د کریپټوګرافي ترتیب.

دوه غوښتنې چې د ټکټ مېز پر سر ورته ښکاري

د کارمند اړتیا یو خدمت دی، چې د IP له لارې د هغه وسیلې څخه ورسیږي چې تاسو یې نه کنټرولوئ. د انجینر اړتیا د لینک په کچه ده: وسیله تمه لري چې Ethernet چوکاټونه او خپریدونکې موندنه وویني، او شاید د هغې برخې څخه DHCP چې پخپله یې په کې ګڼي.

دا بېلابېلې پوښتنې دي، او دواړو ته د پل په واسطه ځواب ورکول د کارمند لاسرسی بې سببه ټول دفتر LAN ته پراخوي.

د غوره کولو دمخه اړتیا په یوه جمله ولیکئ: کوم منزلونه، کوم پروتوکولونه او کوم ملګري باید سیمه ییز ښکاره شي. که ځواب هوسټ او پورټ وي، روټینګ یې پوښي. که ځواب د یوازې خپریدونکې خبرې کوونکو وسیلو سره د چوکاټ کچې اړیکه وي، پل کیدای شي یوازینی انتخاب وي. د دې ترمنځ هر څه د تولید LAN پر ځای د ازموینې برخې وړ دي.

روټ له LAN غړیتوب څخه تنګ دی

روټ شوی کلاينټ په تونل فرعي شبکه کې پته او ستاسو ټاکل شوو مخکښو لپاره روټونه اخلي. که پالیسي همداسې وایي، هغه کولای شي د اپلیکیشن سرور ته ورسیږي او بل چیرې ته نه. ګیټوې د پلي کولو نقطه کیږي، په دې شرط چې هر اړوند لار د هغې له لارې تیره شي.

روټ له اجازې سره مه ګډوئ. کلاينټ ته ویل چې څنګه فرعي شبکې ته ورسیږي هغه له بل منزل ازموینې څخه نه منع کوي.

لاسرسي کنټرول هغه ځای پلي کړئ چې واقعا کولای شي بهیر پلي کړي، او د اپلیکیشن خپلې اجازې خپل ځای ته پرېږدئ. پراخه لېږدونکې قاعده یا هیر شوی دوهم انټرفیس کیدای شي له هغې څخه ډېر ورکړي چې انځور یې ښیي. هغه قواعد ولولئ چې عملي دي، نه هغه چې اراده شوې. بیا هغه منزل وازموئ چې باید پاتې راشي، ځکه هغه پالیسي چې هیچا د ماتولو هڅه نه ده کړې یوازې یوه انګیرنه ده.

پل د داخلېدو پوښتنه بدلوي

پل جوړول یو فزیکي انټرفیس او TAP وسیله په سافټویر سویچ کې یوځای کوي، نو لرې وسایل همدې خپریدونکې ډومین ته ورګډیږي. دا ریښتینې وړتیا او ریښتینی خطر دی: لرې وسیله نوره روټ شوې میلمه نه ده، هغه برخه اخیستونکې ده.

پریکړه وکړئ کوم وسایل کولای شي ورګډ شي، کوم ډول چوکاټونه باید تیر شي او چیرته ناغوښتل شوې تعامل بنده کیږي. پته او د DHCP واک د شریکې شبکې برخه کیږي، او په یوه برخه کې دوه DHCP سرورونه هغه ګډوډي جوړوي چې تاسو یې تمه لرئ.

د وسیلې لپاره، ځانګړې ازموینه برخه معمولا له دفتر LAN څخه ښه ځای نیسي. د اداره کولو لاسرسی له تجربې بهر وساتئ، او معلومه کړئ چې کله کار پای ته ورسیږي لنډمهاله برخه اخیستونکې څنګه لرې کیږي.

فلټر کول په دواړو ټوپولوژیو کې شته

پل په خپل ذات کې د فلټر نه کیدو وړ نه دی، او روټ په خپل ذات کې خوندي نه دی. په Linux کې د پل فلټر کولو خپلې چنګکې او خپله د قواعدو نحو لري، او هغه قاعده چې د روټ شوي IP لېږد لپاره لیکل شوې په اتوماتيک ډول پل شوو چوکاټونو ته نه تطبیقیږي.

د پولې ژمنې کولو دمخه وګورئ چې پلیټفارم واقعا څه ملاتړ کوي:

bridge link show
nft list ruleset

TUN او TAP د انټرفیس ترافیک بیانوي، نه سایفر. د انټرفیسونو بدلول د دې له دې هیڅ نه سم وي: د ملګرو تصدیق، غلا شوې کیلي او زوړ کریپټوګرافیک پالیسي ټول بدلون ته ژوندی پاتې کیږي. دواړو خواو ته لا هم داسې ترتیباتو ته اړتیا ده چې سره سمون ولري او لا هم ملاتړ شي.

پوله په دریو هڅو ثبته کړئ

مننه درې مشاهدې دي، نه د انځور بیاکتنه. اړینه عملیه باید وکارېږي، نااړونده منزل باید پاتې راشي، او د ګیټوې خپلې ادارې خدمتونه باید له لاسرسي بهر پاتې شي.

اجازه شوې او رد شوې لاره له همدې کلاينټ څخه چل کړئ، او دواړه ثبت کړئ:

curl -sS -o /dev/null -w "%{http_code}" http://10.20.0.10/health
ip route get 10.20.0.10
ip route get 10.30.0.5

د پل لپاره د لینک کچې ګوتنې اضافه کړئ: ایا اجازه شوې موندنې ترافیک تیریږي، ایا پته له اراده شوې واکمنۍ څخه راځي، او ایا لرې کیدو وروسته لنډمهاله برخه اخیستونکې تللې ده. کله چې ساده روټ شوې IP لا دمخه اړتیا پوره کوي، دفتر Ethernet برخې ته ورګډیدل جلا توجیه غواړي، او هغه باید له بدلون دمخه ولیکل شي.