دوه OpenVPN کلاینټونه په یوه Linux ګیټ وې کې: پالیسي ووېشئ

دوه OpenVPN ډیمونونه کولای شي دواړه د بریالي ټانل راپور ورکړي، خو ګیټ وې هر کلاینټ د هماغه یوه له لارې لېږي۔ د لاس ورکولو په بهیر کې هېڅ شی نه ټاکي چې کلاینټ کوم ټانل کاروي؛ دا کرنل ټاکي، پیکیټ په پیکیټ، د پالیسۍ قاعدو او بیا هغې جدول څخه تېرېدلې چې هره قاعده یې نوم اخلي۔ کله چې داسې وګورئ، کنفیګوریشن د OpenVPN انتخابونو په اړه پاتې نه کېږي او د دوو مالکانو درلودونکې د لېږد رالېږد میټریکس ګرځي۔

کرنل پرېکړه کوي، نه ډیمون

لېږل شوی پیکیټ په LAN انټرفیس راځي او د لېږد رالېږد کوډ د قاعدو لیست د لومړیتوب په ترتیب ارزوي۔ لومړنۍ قاعده چې ټاکونکی یې سره سمون لري یوه جدول نوموي، او د هغې جدول لارې د وتلو وسیله ټاکي۔ که په جدول کې سمون لرونکې لار نه وي، پلټنه بلې قاعدې ته ځي، او همدا تفصیل نیمګړی تنظیم په زوره نه، په چوپتیا ناکاموي۔

په دې تګ کې د ټانل پروسې ویلای شي هیڅ نه لري۔ دا یو انټرفیس جوړوي او کولای شي لارې نصب کړي، خو چې د یو ځانګړي کلاینټ پیکیټ هغه انټرفیس ته ننوځي که نه، په بشپړ ډول هغې جدول پورې تړاو لري چې ورته لېږل شوی و۔ نو د ورته وارد شوو لارو دواړه ټانلونه سیالي کوي، او وروستی لیکونکی د ټولو لپاره ګټي۔ له همدې امله کنفیګوریشن په فایلونو کې متوازن ښکارېدای شي او بیا هم ټول کلاینټونه د یو ډیمون له لارې ولېږي۔

هرې نسخې ته خپله د سرچینو ټولګه ورکړئ

له نومونو پیل وکړئ، ځکه بیا کارول شوي نومونه هغه لاره ده چې دوه نسخې په ناڅاپي توګه حالت شریکوي۔ جلا ټانل وسیلې، جلا کنفیګوریشن فایلونه، جلا اعتبارنامې او جلا د خدمت واحدونه وټاکئ۔ د هرې نسخې بهرنی پای ټکی او د ټانل پته په هماغه جدول کې ثبت کړئ چې پالیسي میټریکس دی، تر څو وروستی بدلون یو ځای ولري چې ورته وګوري۔

dev tun-office
route-nopull
pull-filter ignore "redirect-gateway"

dev tun-lab
route-nopull

route-nopull د سرور لخوا هلېږل شوې لارې له سیمه‌ای جدول څخه بهر ساتي، او کله چې د پالیسۍ جدولونه باید څرګند وي همدا غواړئ۔ دا چې یو ورکړل شوی سرور د redirect-gateway انتخاب هم هلیږي که نه، او ستاسو د کلاینټ نسخه د فلټر بڼه ملاتړ کوي که نه، د انګېرنې پر ځای په لارښود کې کتل ښه دي۔

میټریکس ولیکئ: سرچینه، جدول، وسیله

د هرې کلاینټ ډلې لپاره، د سرچینې پتې له مخې جدول ټاکونکی قاعده ورزیات کړئ، بیا غوښتل شوې لاره په هغه جدول کې کېږدئ:

ip rule add from 10.8.1.0/24 lookup 100 priority 1000
ip rule add from 10.9.1.0/24 lookup 200 priority 1000
ip route add default dev tun-office table 100
ip route add default dev tun-lab table 200

جدول ته هغه منزل لارې چې ډله یې باید ولري، او همدارنګه هر سیمه‌ای یا اداري استثنا چې ګیټ وې کارېدونکی ساتي، اړین دي۔ یوازې ډیفالټ لرونکی جدول د هغې ډلې لپاره بشپړ ټانل پالیسي ده، چې کېدای شي بالکل سمه وي، خو باید پرېکړه وي نه پریښودنه۔

د ټانل خپله لېږد په کلاینټ ډله کې نه دی

د هر ډیمون کوډ شوي پیکیټونه پر ګیټ وې پخپله پیدا کېږي، بهرني ملګري ته استول شوي۔ هغه قاعده چې یوازې د کلاینټ سرچینې مختاړي سره سمون لري دغه پیکیټونه په حال خپل کې پرېږدي، نو له همدې امله د سرچینې له مخې محدودې قاعدې له هر څه سره سمون لرونکو قاعدو څخه خوندي دي۔ بې ټاکونکي قاعده کولای شي د ټانل خپله لېږد ونیسي او بېرته یې د ټانل له لارې ولېږي، او بیا اړیکه داسې ناکامېږي چې د خدماتو د وړاندې کوونکي د ستونزې په څېر ښکاري۔

سیمه‌ای مدیریت غونډه او د لاندې طبقې لاره په څرګند ډول د پالیسۍ جدولونو څخه بهر وساتئ۔ هغه استثناوې د میټریکس ترڅنګ ولیکئ؛ دوی د ډیزاین برخه ده، نه هغه لار چې د یوې پېښې پر مهال بیا وموندل شي۔

د لارې ټاکل د هغې اجازه نه ده

د لېږلو اجازه بله پرېکړه ده چې وروسته په لار کې کېږي۔ د اور وژنې دېوال هغه قاعده چې د دوهم ټانل له لارې وتونکي پیکیټونه مني د لېږد رالېږد کوډ نه اړباسي چې هغه وټاکي، او سمه جدول د لېږلو اجازه نه ورکوي۔ دواړه باید وي، او یوازې یو ثابتونکې ازموینه به تاسو د بل په اړه په غلطۍ واچوي۔ کله چې یوه ډله کار وکړ او بله نه، دا دوه ګامه جلا وګورئ نه دا چې جدولونه بیا ولیکئ۔

د سرچینې ژباړه درېیمه پرېکړه ده، او باید د سرچینې ډلې او هغې ټانل وسیلې پورې محدوده وي چې واقعاً یې وړي۔ د دوو نسخو لپاره ځانګړې زنځیر ورزیات کړئ، نه دا چې د postrouting زنځیر خالي کړئ، ځکه بې‌اړیکه خدمات کېدای شي هلته ننوتنې ولري او خالي کول یې په چوپتیا لرې کوي۔

کله چې یو ټانل ولوېږي څه پېښېږي

د ناکامۍ چلند مخکې له مخکې پرېکړه کړئ۔ کله چې د ټانل جدول خپله لار له لاسه ورکړي، پلټنه بلې قاعدې ته ورپرېوځي، او د ډلې ترافیک پرته له کومې تېروتنې د بل ټانل یا عادي پورتنۍ لینک له لارې دوام کوي۔ که دا د منلو وړ نه وي، په ټیټ لومړیتوب شمېره کې د هغې سرچینې لپاره د نه‌رسېدونکي پایله بیرته کوونکې پای قاعدې ورزیات کړئ، تر څو زیان ونه‌څښل شي بلکې ښکاره شي۔

له هرې سرچینې ډلې نوی غوښتنه ولېږئ او څلور حقیقتونه ولیکئ: ټاکل شوې جدول، وتلو وسیله، ژباړل شوې سرچینه، او دا چې ځواب په هماغه لار بېرته راغی که نه۔ بیا یو ټانل ښکته کړئ او تکرار یې کړئ۔ په انټرفیسونو لیست کې دوه TUN وسیلې دا ثابتوي چې دواړه ډیمونونه پیل شول؛ دوی هېڅ نه وايي چې یو ځانګړي کلاینټ کومه کارولې۔ دوهمه ګډه، چې یو ټانل پکې نه وي، هغه ده چې ښيي ستاسو د بدیل قاعده هغه څه کوي چې تاسو یې نیت درلود۔