د سایټ څخه سایټ ته VPN یا لیرې لاسرسی: هر یو څه نښلوي
یو یې ګیټوېزونه نښلوي، بل یې وسیلې نښلوي. د ترافیک ټاکنکي له لارو سره پرتله کړئ، پته اچونه پلان کړئ، بیا د یوه ریښتیني هوسټ څخه لېږد او تګلاره وازموئ.
دواړه ډیزاینونه VPN بلل کېږي او بېلابېلې ستونزې حل کوي. د سایټ څخه سایټ ته تونل دوه ګیټوېزونه نښلوي، نو د دوی شاته هر هوسټ کولای شي پرته له دې چې څه نصب کړي، د بل اړخ اجازه لرونکو پتو ته ورسیږي. د لیرې لاسرسي تونل جلا وسیلې له یوې شبکې سره نښلوي، په یو وخت کې یو کلاینټ. دا پرتله مهمه ده ځکه چې ډېری ځای پرځای کولو تېروتنې له دې امله رامنځته کېږي چې یو ډیزاین تنظیم وي او د بل چلند تمه کېږي، او نښه یې معمولاً په هغه خدمت کې د وخت ختمېدل وي چې تونل واقعاً ورته رسېدلی وي.
دوه ډیزاینونه، دوه پولې
| Site-to-site | Remote access | |
|---|---|---|
| Endpoints | two gateways | a gateway and each client |
| Who configures | network owners | each user or an MDM |
| Scope of reach | whatever the gateways route | whatever the client is granted |
| Broadcast discovery | not carried | not carried |
هیڅ یو ډیزاین د LAN خپرېدنې ډومین نه پراخوي. د لېرې اړخ وسایل په سیمه ییز کشف لیست کې نه ښکاري، او د دې تمه کول لومړنی انګېرنه ده چې باید پرېښودل شي. هغه شخصي DNS نومونه چې تاسو یې په قصد سره خپروئ، له هر کشف پروتوکول څخه زیات وړاندوینه کېدونکي دي، او د عرضه کوونکي بدلون هم زغمي.
په یوه سایټ کې 10.10.0.0/24 او په بل کې 10.20.0.0/24 واخلئ. ګیټوېز A ته یوه لار یا د ترافیک ټاکنکی ته اړتیا ده چې 10.20.0.0/24 مخپېیل تونل ته ولېږي، او ګیټوېز B ته د هغې هنداره بڼه ته اړتیا ده. بیا د دواړو خواوو هوسټونه عادي IP اړیکه کاروي او هېڅکله نه پوهېږي چې تونل شته. همدا ناښکارېدنه ځانګړنه ده، او همدا لامل دی چې نیمګړتیاوې د تونل د تېروتنو پرځای د عادي شبکې تېروتنو په څېر ښکاري.
پر تګلاره ولاړ او پر لار ولاړ یو شان تونل نه دی
په پر تګلاره ولاړ IPsec ځای پرځای کولو کې، هوکړه شوي د ترافیک ټاکنکي په دقیق ډول ټاکي چې کوم سرچینه او منزل جوړې خوندي دي. که د یوه ګیټوېز شاته نوې فرعي شبکه ښکاره شي او هیڅ ټاکنکی یې نه پوښي، تونل فعال پاتې کېږي او نوې فرعي شبکه یوازې نه وړل کېږي. په پر لار ولاړ ډیزاین کې انټرفېس ترافیک اخلي او د لارو جدول پرېکړه کوي، چې د یوه مخپېل زیاتول د تونل بیا خبرو اترو پرځای د لارې بدلون ګرځوي.
StrongSwan دواړه لیدلوري مستقیم ښيي، او د دوی یوځای لوستل هغه لار ده چې پوه شئ تاسو واقعاً کوم ماډل ځای پرځای کړی.
swanctl --list-sas
ip xfrm policy
ip -4 route show table all | grep -E '10\.(10|20)\.'هغه ټاکنکی لیست چې ستاسو اړین مخپېل پکې ورک دی، پرته له کوم پاکټ نیولو نیمګړتیا تشریح کوي، او هغه لار چې غلط انټرفېس ته اشاره کوي، په بېرته راتلو کې هنداره نیمګړتیا تشریح کوي. له هر څه بیا خبرو اترو مخکې دواړه ولولئ، ځکه د کلي نوي کول هغه ټاکنکی نه زیاتوي چې تاسو هېڅکله نه وي تنظیم کړی.
له تونل مخکې پته اچونه پلان کړئ
یو بل ته ننووتلې سیمې هغه ډیزاین تېروتنه ده چې په تنظیم سره سمولای نشئ. که دواړه سایټونه 192.168.1.0/24 کاروي، هغه هوسټ چې 192.168.1.50 ته اړتیا لري دوه کاندیدان لري او د غوره کولو هېڅ لار نه لري. تونل به تصدیق شي، د امنیت ټولنې به جوړې شي، او د لارې پرېکړه به سره له دې هم غلطه یا ناڅرګنده وي.
له درېو رښتینو انتخابونو یو وټاکئ: یو سایټ بیا شمېره کړئ، په ګیټوېز کې ننووتلې سیمه وژباړئ ترڅو هر اړخ جلا مخپېل وګوري، یا د هغو هوسټونو لپاره مستقیمه لار پرېږدئ او خدمت په بله لار خپور کړئ. هر یو لګښت لري، او لومړی یې معمولاً په دوه کلن افق کې ارزانه تر ټولو دی. له تونل مخکې پرېکړه وکړئ، ځکه وروسته بدلون هر هغه وسیله لمسوي چې زوړ پته لري.
د MTU پوښتنه هم ژر حل کړئ. تونل ګټور بار کموي، او هغه ډیزاین چې پر ټوټه کېدنه تکیه کوي، له هغه چې په ګیټوېزونو کې MSS ثابتوي توپیر لري.
لېږد او تګلاره د تونل څخه بهر دي
ګیټوېز باید د تونل انټرفېس او LAN انټرفېس ترمنځ پاکټونه ولېږدوي، او دواړو لورو ته هغه تګلاره ته اړتیا ده چې خدمت ته اجازه ورکوي. په Linux کې دا دوه جلا تنظیمات دي، سربېره پردې هغه فایر وال قواعد چې پرېکړه کوي لېږل شوی بهیر په بشپړه توګه اجازه لري که نه.
sysctl -w net.ipv4.ip_forward=1
iptables -A FORWARD -s 10.20.0.0/24 -d 10.10.0.0/24 -j ACCEPT
iptables -A FORWARD -s 10.10.0.0/24 -d 10.20.0.0/24 -j ACCEPTترلاسه کوونکی هوسټ درېیمه پوړه زیاتوي: د هغه خپل فایر وال باید لا هم له لېرې فرعي شبکې څخه کلاینټ ومني. هغه فایل سرور چې یوازې خپله سیمه ییزه /24 اجازه ورکوي، له 10.20.0.7 څخه لېږل شوی ترافیک به رد کړي، هر څومره چې تونل روغ ښکاره شي، او دغه رد کول د لارې نیمګړتیا په توګه لوستل اسان دي.
له هوسټ څخه وازموئ، نه له ګیټوېز څخه
هغه ping چې پخپله ګیټوېز یې لېږي، کېدای شي له لېږل شوي کاروونکي ترافیک څخه جلا سرچینه پته او جلا تګلاره تعقیب کړي. دا هغه کمزوری ازموینه ګرځوي او کله ناکله ګمراه کوونکې هم: بریالی کېږي کله چې اپلیکیشن ناکام شي، یا ناکام کېږي کله چې اپلیکیشن کار کوي.
ip route get 10.10.0.5 from 10.20.0.7
ping -I 10.20.0.7 10.10.0.5
curl -sv --max-time 5 http://files.10-10.internal/ -o /dev/nullریښتینی هوسټ، ریښتینې سرچینه پته او هغه ریښتینی پروتوکول وکاروئ چې اپلیکیشن یې کاروي. بیا د بېرته راتلو لار جلا ولولئ، ځکه بېرته راتلو لار پرته کار کوونکی وړاندې لوری داسې د وخت ختمېدل رامنځته کوي چې د بند شوي خدمت سره ورته ښکاري.
ډیزاین د هغې پوښتنې له مخې وټاکئ چې ځواب یې ورکوئ: آیا شبکې نښلوئ یا وسایل منئ؟ نور هر څه، په شمول د دې چې کوم عرضه کوونکی تنظیموئ، له همدې ځوابه راځي.