د دوو VPN پولونو لپاره د سرچینې لارښوونه: ستاسو قاعده څه له لاسه ورکوي
د from بڼې قاعده له SNAT د بیا لیکلو دمخه د کليوَنټ پتې سره سمون لري، او له دروازې ازموینه له دواړو سره سمون نه لري. د هر پول لپاره لټون چل کړئ او پر ځای یې لومړیتوبونه ولولئ.
دوه کليوَنټ پولونه، یوه دروازه او پلان ساده ښکاري: یوه قاعده لومړی پول د چټکې پورتنۍ لینک له لارې وباسي، بله دویم پول د شریک تونل له لارې لېږي۔ بیا قواعد ځای پر ځای دي او دویم پول لا هم د ډیفالټ لارې له مخې وځي۔ قاعده خرابه نه ده۔ د پاکټ سرچینه هغه څه نه دي چې لیکوال د لټون په لحظه کې تمه درلوده، ځکه ژباړه او لټون د یو پاکټ په سفر کې په مختلفو نقطو کې پېښېږي، او ترتیب د هغې ذهني نقشې خلاف دی چې ډېری خلک یې رسم کوي۔
لټون د سرچینې له بیا لیکلو دمخه پېښېږي
د VPN له کليوَنټ څخه لېږل شوي پاکټ لپاره کرنل یو ټاکلی ترتیب چلوي۔ دا د تونل انټرفیس ته رسیږي، prerouting ته تېریږي چېرې چې conntrack او DNAT دي، بیا د لارښوونې پرېکړه کېږي، بیا لېږل، بیا postrouting چېرې چې SNAT تر ټولو وروستی تطبیقېږي۔ from بڼې قاعده د همدې لارښوونې پرېکړې پر مهال کتل کېږي، یعنې دا د کليوَنټ اصلي پته ګوري، نه ژباړل شوې۔
نو د masquerade قاعدې زیاتول نه بدلوي چې کومه پالیسي د وتلو بهیر سره سمون لري۔ بدلېږي دا چې لرې پای څه ګوري، او له همدې امله کومه بیرته راستنېدونکې لاره شته۔ دا دوه جلا پایلې دي، او د بدلون بیاکتنې یې تل ګډوي۔ دوی جلا کړئ او ډیزاین معمولاً په یوه دقیقه کې روښانه کېږي۔
په ځواب کې د همدې لوري ژباړل شوې پته په قواعدو کې ښکاري۔ هغه پاکټ چې دروازې ته بېرته راځي د ژباړل شوې پتې ته مخاطب دی، او که د منزل یا هغه انټرفیس پر بنسټ چې له هغې راغلی، پالیسي قواعد ولرئ، همغه ارزښت به سره سمون ورکړئ۔ یو ډول اړیکه، په هر لوري کې د رښتیا بېل سرچینه۔
| Stage | Source the kernel sees | What it means for your rule |
|---|---|---|
| Prerouting | Client address, 172.31.7.42 | Where marks and DNAT are applied |
| Routing decision | Still 172.31.7.42 | This is where from rules match |
| Postrouting | Becomes 198.51.100.9 | What the far end and its return route see |
نو د بېلو سرچینو دوه پولونه واقعاً بېل جدولونو ته اړتیا لري، او ډیزاین سم دی۔ پورتنۍ جدول چې ردوي هغه دا لنډه لاره ده چې لرې سایټ څه ترلاسه کړل هغه وګورئ او له هغې قاعدې ته ورسېږئ۔
له دروازې څخه ازموینه د پول ازموینه نه ده
هغه ټرافیک چې دروازه یې پخپله جوړوي هېڅکله prerouting ته نه تېریږي، ځکه چې په هېڅ انټرفیس نه دی راغلی۔ دا د وتنې په لاره کې لارښوونه کېږي، سرچینه یې د دروازې خپله پته ده، او د کليوَنټ حد پر بنسټ from قاعده به سمون ونه کړي۔ په دې برخه کې هر ټیکټ چې وایي له بکس څخه کار کوي خو له کليوَنټ نه، د همدې حقیقت تکرار دی۔
د اټکل پر ځای د کليوَنټ نقل وکړئ۔ د لارښوونې لټون په مستقیم ډول پوښتل کېدای شي، سرچینه او د ننوتلو انټرفیس ورکړل شي:
ip route get 198.51.100.9 from 172.31.7.42 iif tun0
ip route get 198.51.100.9 from 172.31.8.42 iif tun0
ip route show table 201دا د هر پول لپاره یو ځل چل کړئ۔ که دواړه کمانډونه یو شان انټرفیس راواړوي، قواعد پولونه نه جلا کوي، او لامل یا نیمګړې قاعده ده یا لوړ لومړیتوب لرونکې قاعده چې دواړو سره سمون لري۔ که بېل انټرفیسونه راواړوي خو کليوَنټ لا هم ناکامېږي، نیمګړتیا له لټون وروسته ده او قواعد کتل بندولی شئ۔
لومړیتوب، په فایل کې ځای نه
قواعد د لومړیتوب په زیاتېدونکي ترتیب ارزول کېږي، او شمېره مهمه ده، نه هغه ترتیب چې تاسو ټایپ کړی۔ local جدول د لومړیتوب 0 په، main جدول 32766 او ډیفالټ قاعده 32767 ده، نو د ډیفالټ لومړیتوب سره زیاته شوې قاعده د لیست پای ته نږدې کېږي او له نږدې هر څه ته بایلي۔
ip rule show
ip rule add from 172.31.8.0/24 lookup 201 priority 1000
ip -4 route show table 201روښانه لومړیتوب نیت شوی ترتیب په فایل او بیاکتنه کې ښکاره کوي۔ دا لا هم د دې مخه نیسي چې وروستې زیاتونه په غلې ډول د شته قاعدې مخې ته ودرومي، کوم چې د نامتعلق بدلون وروسته د کار کوونکې پالیسي د بندېدو تر ټولو عام لامل دی۔
د نیمګړي جدول په لور اشاره کوونکې قاعده بله تله ده۔ که جدول 201 کې ډیفالټ لاره وي خو منزل ته لاره نه وي، پاکټ غورځول کېږي یا غلط ځای ته لېږل کېږي، او قاعده په جلا توګه بشپړ سمه ښکاري۔ قاعده نه، جدول ولولئ۔ قاعده یو ښوونکی دی، او تش جدول هېڅ ته ښوونکی دی۔
بیرته راستنېدونکې لاره باید لا هم وي
د سرچینې پالیسي یوه وتنه ټاکي۔ دا د راستنېدو لاره نه جوړوي۔ که دویم پول د شریک تونل له لارې ووځي، شریک باید پوه شي چې 172.31.8.0/24 ته څنګه ورسیږي، یا د دروازې په لور د بېرته راستنېدو لارې سره یا د دمخه پېژندل شوو ژباړل شوو پتو په ترلاسه کولو سره۔
د دوی ترمنځ غوره کول د ښکاره پایلو سره ډیزاین پرېکړه ده۔ د کليوَنټ حد بېرته لارښوونه د شریک سره د هر کليوَنټ هویت ساتي او غواړي چې ستاسو مخفف ومني۔ ژباړه پول د یوې پتې شاته پټوي او غواړي چې شریک یوازې هغه پته ومني، د دې بیې په بدل کې چې ستاسو او د هغوی لاګونه نور په دې نه یوځای کېږي چې څوک نښلول شوی و۔
چې څه غوره کړئ، هغه د پول تعریف ترڅنګ ولیکئ۔ یوازې د چا په یاد کې شته راستنېدونکې لاره همغه څه ده چې شریک خپل فایر وال بدل کړي تر وخته پاتې کېږي، او بیا یې بیا جوړول یوه ورځ اخلي۔
په پالیسي کې د دروازې خپل تونل مه نیسئ
هغه قواعد چې د کليوَنټانو لپاره لیکئ، د دروازې جوړ شوي ټرافیک باندې هم تطبیقېږي، پرته له دې چې دا استثنا کړئ۔ د نښې یا د وتلو انټرفیس پر بنسټ پراخه قاعده کولای شي د دروازې خپله اړیکه له شریک سره ونیسي، او بیا هغه تونل چې پالیسي وړي د پالیسي له مخې لارښوونه کېږي۔ دا یو ګرد یا پرېکون جوړوي چې د خدماتو وړاندې کوونکي نیمګړتیا ته ورته ښکاري۔
هره قاعده تر هغې اندازې تنګه کړئ چې ډیزاین اجازه ورکوي: د سرچینې مخفف، د ننوتلو انټرفیس او چېرې چې ملاتړ وي هغه نښه چې یوازې د کليوَنټ پاکټونه یې وړي۔ بیا له هرې قاعدې بدلون وروسته د دروازې خپله اړیکه وازموئ، ځکه نیمګړتیا ځانته اشاره کوونکې ده او د کليوَنټ په ازموینه کې نه ښکاري۔
د ip-rule لارښود پاڼه د غورځوونکي او لومړیتوب مانا مستند کوي۔ دا د هر پول لپاره د لټون ازموینې سره یوځای کړئ او ډیزاین د کتنې وړ کېږي، کوم چې د یو کال پاتې کېدونکې پالیسي لارښوونې او هغې ترمنځ توپیر دی چې ټول یې لمس کولو ته وېره لري۔