ولې دوهم VPN تونل لومړی ماتوي؟

د یو پیرودونکي شبکې ته د رسیدو لپاره دوهم VPN پیرودونکی نصبول دا کار د پیل کیدو معمول لاره ده، او لومړی تونل تیاره کیږي پداسې حال کې چې دواړه پیرودونکي بریا راپور ورکوي۔ هر پیرودونکي ډیفالټ لاره نصب کړه، دوهم یې ډیر مشخص و، او کرنل اوس د لومړي تونل خپل بهرني اړیکې پرته هر څه لپاره هغه تعقیبوي۔ هیڅ شی ونه لوید، او هیڅ پروفایل غلط نه دی۔ یوې لارې بله بدله کړه، او حل دا دی چې پریکړه وکړئ کوم تونل باید د ډیفالټ مالک وي۔

نښه: دوهم پیرودونکی په چوپتیا ګټي

OpenVPN: redirect-gateway def1 انتخاب 0.0.0.0/0 نه بیا لیکي۔ دا 0.0.0.0/1 او 128.0.0.0/1 اضافه کوي: دواړه یوځای هر IPv4 پته پوښي، او هر مخکښ په اوږدوالي کې ساده ډیفالټ ته ماتې ورکوي۔ اصلي ډیفالټ په جدول کې پاتې کیږي او نور د عادي ترافیک لپاره نه کارول کیږي، او VPN سرور ته هوسټ لاره تونل ته اجازه نه ورکوي چې خپل بهرني بستې ونیسي۔ دواړه پیرودونکي دا کوي، او دوهم یوازې خپله جوړه وروسته نصبوي۔

له همدې امله لومړی تونل مړ ښکاري نه قطع شوی۔ د هغه انټرفیس پورته دی، کنټرول چینل ژوندی دی، او نور هیڅ اپلیکیشن ترافیک هغه ته نه رسیږي۔ مخالف شکایت هم هماغه ورکه push لري: هغه تلیفون چې نښلیږي خو هیڅ نه لیږي معمولا د هغه سرور سره خبرې کوي چې هیڅکله redirect-gateway نه دی اعلان کړی، نو وسیله خپل ډیفالټ ساتي او یوازې حوض ته رسیږي۔

د دوهم پیرودونکي له نښلیدو مخکې او وروسته د لارو انځور واخلئ۔ په جدول کې ښکاره شوې دوه نیمې لارې ټول بدلون دی، او دواړه شکایتونه تشریح کوي۔ د نښې ښکاریدو لپاره په جدول کې بل څه باید ونه خوځیږي۔ له همدې امله دوهم پیرودونکی لرې کول لومړی سمدلاسه بحالوي۔

ولولئ کوم تونل واقعیا ګټي

ګټونکی د پیرودونکو د پیل ترتیب یا د سیني آیکون څخه مه اخلئ۔ له کرنل وپوښتئ چې د دواړو شخصي شبکو بهر هدف لپاره کومه لاره کاروي، او راستنېدونکی انټرفیس ولولئ۔

ip route show
ip route get 198.51.100.24
route print -4
Find-NetRoute -RemoteIPAddress 198.51.100.24

لومړي دوه د لینکس ځواب دي او وروستي دوه د وینډوز معادل۔ هغوی چل کړئ پداسې حال کې چې دواړه تونلونه پورته دي، بیا یو قطع کړئ او بیا یې چل کړئ۔ د دواړو پایلو ترمنځ توپیر هغه حقیقت دی چې د حل انتخاب دمخه ورته اړتیا لرئ، او دا د هر پیرودونکي لاګ لوستلو څخه لږ وخت نیسي۔

پایله ثبت کړئ، د انټرفیس نوم او هغه مخکښ سره چې سمون خوړلی و۔ هغه ټیکټ چې وایي دوهم VPN لومړی مات کړ، د نښې توضیح ده، نه د لارښوونې بیان چې څوک پرې عمل وکړي۔ پلټنه هغه حقیقت ته اړوي چې بل انجنیر یې په یو حکم تکرارولی شي۔

وینډوز: یو پروفایل د ډیفالټ مالکیت څخه منع کړئ

وینډوز ساتل شوي پروفایلونه ساتي، او جوړ شوی پیرودونکی یو بل ته تکیه کولو اجازه ورکوي ترڅو دوهم چې ډایل کوي لومړی اتوماتیک پورته شي۔ هغه پروفایل چې وروستی نښلیږي ډیفالټ ساتلو ته مخه کوي، نو عملي مالک لومړی نه بلکی وروستی ډایل دی۔ هر پروفایل ته خپل push لارې ورکړئ او هغه چې باید ډیفالټ ونه لري د هغه لپاره split tunneling فعال کړئ۔

Set-VpnConnection -Name "Contoso" -SplitTunneling $true
rasdial Contoso

Split tunneling دا بدلوي: یوازې هغه مخکښ چې سرور یې push کوي جدول ته رسیږي، چې ډیفالټ لومړي تونل سره پریږدي۔ ډیزاین بیا هم ناکام کیږي که دواړه سرورونه ډیفالټ لاره push کړي، ځکه هغه وخت وروستی اړیکه ګټي او هیڅ د پیرودونکي خوا تنظیم دا نه بدلوي۔ د سرور خوا push سم کړئ یا یو مالک ومنئ۔

د اپلیکیشن له مخې پیلیدونکي پروفایلونه بله ځانګړتیا ده او د پوهیدو وړ ده: وینډوز پروفایل کیدای شي هغه وخت پیل شي چې یو نومول شوی اجرایوي فایل پیل شي، د ترافیک فلټرونه پریکړه کوي چې څه وړي۔ دا د فایر وال قاعده نه بلکی د پروفایل تنظیم دی، او د ډیفالټ لارې شخړې څخه مختلفه ستونزه حل کوي۔

لینکس: دوهم تونل د اصلي جدول څخه بهر وساتئ

په یوه ماشین کې د openvpn --config دوه نسخې چلول دواړه پیرودونکي په یوه جدول کې اچوي، او دری انتخابونه د زیاتیدونکي جلاوالي سره هغوی جلا کوي۔ تر ټولو سپک دا دی چې دوهم پیرودونکی له جدول سمون څخه په بشپړه توګه منع کړئ: د روښانه لارو سره route-nopull، یا route-up سکریپټ چې یوازې ستاسو اراده نصبوي۔ بیا دوهم تونل دقیقا هغه مخکښ وړي چې تاسو یې نوموئ او بل څه نه۔ بیا تاسو پریکړه کوئ چې کوم مخکښ چیرې لاړ شي، د هغې وروسته کشفولو پرځای۔

د پالیسۍ لارښوونه منځنی انتخاب دی۔ یوه قاعده د یوې سرچینې پتې یا فایر وال نښې لپاره جلا جدول ټاکي، او هغه جدول د دوهم تونل لارې وړي۔ دلته د معکوسې لارې فلټر کول تله ده، ځکه هغه ځواب چې په بل انټرفیس رسیږي د هغه څخه چې جدول به ټاکه غورځول کیږي، نو د دې پریکړې دمخه چې تونل مات دی rp_filter تنظیم وګورئ۔

ip rule add from 10.44.7.0/24 table 100
ip route add default dev tun1 table 100
sysctl net.ipv4.conf.all.rp_filter

د شبکې نوم ځایونه تر ټولو درانه او تر ټولو پاک انتخاب دي۔ دوهم پیرودونکی د ip netns په داخل کې پیل کړئ، هغه ته veth جوړه ورکړئ، او د کارولو لپاره هغه نوم ځای ته ننوځئ۔ مداخله ورکیږي ځکه هر نوم ځای خپل جدولونه لري د یو شریکولو پرځای، کوم چې د اضافي ترتیباتو ارزښت لري کله چې دواړه تونلونه باید اونۍ پورته پاتې شي۔

د هر اپلیکیشن له مخې، او زنځیر جوړول د جلا ستونزې په توګه

کله ناکله یوازې یو برنامه باید دوهم تونل وکاروي۔ په لینکس کې د کارونکي، cgroup یا پورټ له مخې پالیسي لارښوونه هغه پایله ترلاسه کوي، او یو هدف پرته له دې چې ډیفالټ ته لاس ووهي انټرفیس ته نښلول کیدای شي۔ هغه اپلیکیشن چې خپل ساکټ یو انټرفیس ته نښلوي هیڅکله د لارښوونې جدول نه مشوره کوي، نو لانچر کولای شي فزیکي اډاپټر کارول ادامه ورکړي ترڅو چې په خپلو تنظیماتو کې پته وټاکل شي۔

زنځیر جوړول د دوو تونلونو څنګ په څنګ چلولو څخه بیل عمل دی۔ A د B په سر زنځیر کول معنی لري چې د داخلي سرور پته باید د بهرني تونل له داخله د لاسرسي وړ وي۔ بهرنی پیرودونکی هم باید د داخلي پیرودونکي کوډ شوي بستې د توییدو په توګه ونه ګڼي۔ په مجازي ماشین کې یو پیرودونکی خام خو باوري نسخه ده؛ دواړه په یو هوسټ کې پورتني لارښوونې کار او د داخلي سرور په لور بهرنۍ لاره غواړي چې هیڅکله داخلي تونل ته نه ننوځي۔

د ډیفالټ مالک، د هر تونل د وړل شوو مخکښ لیست او DNS لاره ولیکئ۔ هغه دری حقیقتونه بله پیښه د پلټنې پرځای لټون ته اړوي۔