د روټر VPN کار کوي، خو LAN کلاینټونه انټرنیټ نه لري

حالت وايي چې تونل فعال دی، په روټر کې براوزر پاڼې لوډوي، او د هغه شاته هر وسیله لا هم وخت تېروي. دا ترکیب ستونزه هغې پوړ ته راټولوي چې ډېری VPN لارښودونه یې هېڅکله نه یادوي: روټر یوازینی هوسټ نه دی چې بستهګانې یې باید د تونل له لارې ژوندي پاتې شي. په محلي ډول جوړ شوی ټرافیک او فوروارډ شوی ټرافیک په یوه بکس کې بېلې لارې اخلي. له کلاینټ څخه ازموینه وکړئ او توپیر نور نظري نه پاتې کېږي.

له LAN هوسټ څخه نیمګړتیا ولولئ

له هغه وسیلې پیل وکړئ چې ناکامېږي، ځکه چې په روټر باندې ترسره شوې تشخیص بلې پوښتنې ته ځواب وایي. تایید کړئ چې د کلاینټ ډیفالټ ګیټوې دا روټر دی، د هغه سرچینه او سبنیټ یادښت کړئ، بیا وګورئ چې د روټر د تونل انټرفیس څخه څه راوځي.

که د کلاینټ پته ژباړل شوې وي، لرې اړخ د تونل پته ویني، او له هلته هر څه روغ ښکاري خو کلاینټ لا هم ناکامېږي. که ژباړل شوې نه وي، لرې اړخ باید د کلاینټ سبنیټ ته د بېرته راستنېدو لار وپېژني، او ډېری ګیټوېکان په ډیفالټ ډول داسې لاره نه لري. په هر حال، د روټر خپله بریا بې اړیکه ده، ځکه چې د هغه بستهګانې په محلي ډول جوړې شوې وې او هېڅکله د فوروارډینګ لارې نه دي تېرې شوې.

محلي او فوروارډ شوي ټرافیک بېل دي

Linux او ډېری روټر فرم ویرونه هغه بستهګانې چې بکس پخپله جوړوي د هغو بستهګانو څخه چې د هغه له لارې تېرېږي بېل ډول چلند کوي. آوټپټ زنځیر لومړی ډول ویني، فوروارډ زنځیر دویم ویني، او هغه پالیسي چې د روټر خپل ټرافیک لپاره تنظیم شوې وي کولای شي فوروارډینګ بې لاسوهنې پرېږدي.

sysctl net.ipv4.ip_forward
ip -4 address show br-lan
ip route get 203.0.113.9
nft list ruleset | grep -A 6 'chain forward'

وګورئ چې فوروارډینګ په بشپړ ډول فعال دی که نه، بیا د آوټپټ زنځیر پرځای فوروارډ زنځیر ولولئ. هغه قاعده چې کوډ شوي بهرني اتصال ته اجازه ورکوي هغه قاعده نه ده چې ډیکوډ شوو بستهګانو ته د فوروارډ کېدو اجازه ورکوي، او د دواړو ګډول په سمه توګه همدا نښه جوړوي. د تونل فعالېدل یوازې لومړی ثابتوي.

د بېرته راستنېدو لاره هم باید وي

د سرچینې ژباړه پرېکړه کوي چې د بېرته راستنېدو لاره اړینه ده که نه. که د تونل انټرفیس باندې ماسکریډینګ وي، ځوابونه د تونل پتې ته بېرته راځي او روټر یې بېرته ژباړي. پرته له دې، لرې ګیټوې د کلاینټ سبنیټ ته روښانه لاره ته اړتیا لري، او د هغه خپله پالیسي باید هغه لوري ته اجازه ورکړي.

مخکې له دې چې هر څه بدل کړئ، یادښت کړئ چې ځای پرځای کول له دوو ډیزاینونو کوم یو کاروي، ځکه چې ترمیمونه مخالف لوري ته اشاره کوي. د ژباړې زیاتول یوه ورکه شوې د بېرته راستنېدو لاره پټوي او هغه اپلیکیشنونه ماتوي چې اصلي سرچینه ته اړتیا لري. پرته له ژباړې د بېرته راستنېدو لاره زیاتول کله چې لرې فایر وال ناپېژندل شوې سرچینه وغورځوي په خاموشۍ ناکامېږي. یوه غوره کړئ، مستند یې کړئ او بله خوا سره سمه کړئ.

د کلاینټ DNS هم په همدې بیاکتنه کې راځي. د روټر ریزالور ځواب ویلای شي خو بل سرور ته اشاره شوی کلاینټ هېڅ نه ترلاسه کوي.

یو اجازه شوی او یو منع شوی جریان تایید کړئ

له سمون وروسته، د روټر موجودې ناستې پرځای له کلاینټ څخه نوی اتصال وازموئ. بیا تایید کړئ چې هغه برخه چې باید تونل ونه کاروي لا هم نه کاروي.

curl -sS --max-time 8 https://api.ipify.org
ip route get 203.0.113.9
dig +short intranet.example.net

په لرې پای کې لیدل شوې سرچینه وګورئ، ځکه چې دا درته وایي کوم ډیزاین واقعاً روان دی. د پتې سره یوځای د نوم پوښتنه هم تایید کړئ، ځکه چې د ریزالور چلند د همدې بکس له لارې جلا لاره ده.

قواعد یوازې هغو کلاینټ شبکو ته محدود وساتئ چې تونل ته اړتیا لري، او د یوې ازموینې د تېرېدو لپاره د فوروارډینګ فلټر بندول رد کړئ. هغه بدلون ازموینه سمول کوي خو هغه پوله لرې کوي چې تونل باید برابروله. سرچینه، د ژباړې پرېکړه او د بېرته راستنېدو لاره له نیټې سره په یوه یادښت کې ولیکئ.