د VPN کلاینټونه نښلوي خو انټرنېټ نشته: درې ورکې برخې

کلاینټ یوه پته ترلاسه کوي، سرور د ping ځواب ورکوي، او بیا هم هره پاڼه د وخت له حد وړاندې تېره شي۔ ډېری خلک په دې مرحله کې د کلاینټ پروفایل سمول پیلوي، چې معمولاً بې ګټې کوښښ دی: کله چې تونل پورته شي، سرور باید د روټر په څېر چلند وکړي۔ درې شرطونه باید په یو وخت کې پوره شي ترڅو یوه بنډل ووځي او ځواب بیرته راشي، او نښه یې یو شان ده که کومه برخه ورکه وي۔

ولې یو فعال تونل لا هم د وتلو لار نه لري

کرنل باید بنډلونه د انټرفیسونو ترمنځ ولېږدوي، چې په ډېرو Linux وېشونو کې په ډیفالټ ډول بند دی۔ ترافیک باید داسې پتې ته وژباړل شي چې بهرنۍ نړۍ ځواب ورکولی شي، پرته له دې چې هر پورته روټر لا دمخه د تونل فرعي شبکې ته د بیرته ستنېدو لار پېژني۔ د فایر وال د لېږد لار باید ترافیک په دواړو لورو کې اجازه ورکړي، ځوابونه هم په کې شامل دي۔

له دغو هر یو په جلا توګه سمول کېدای شي، او همدا ګوزار دی۔ د ژباړې اصولو پرته د لېږد فعالول بنډلونه د شخصي سرچینې سره او د بیرته ستنېدو لارې پرته وځي۔ د لېږد اصولو پرته ژباړه زیاتول کرنل دې ته اړ باسي چې بنډل یو ګام وروسته وغورځوي۔

نو کلاینټ نه، درې طبقې وګورئ، او د دې لپاره چې پایله مانا ولري په یو وخت کې یو بدل کړئ۔

لېږد یو کرنل سویچ دی چې باید تلپاتې کړای شي

مخکې له بدلون اوسنی ارزښت وګورئ، بیا یې وټاکئ او ډاډ ترلاسه کړئ چې بدلون پلي شو۔

sysctl net.ipv4.ip_forward
sysctl -w net.ipv4.ip_forward=1
sysctl net.ipv4.ip_forward

لومړی امر اوسنی ارزښت ښیي، دویم یې د چلېدو پر مهال ټاکي، او درېیم ثابتوي چې لیکنه بریالۍ وه۔ د چلېدو ارزښت په بل ری بوټ کې ورک شي، نو ځکه یو فعاله ناسته کولای شي له ساتنې وروسته پرته له کوم کانفیګوریشن بدلون ماته شي۔

دا په /etc/sysctl.d/ لاندې یوه فایل کې تلپاتې کړئ، بیا د پوهېدو لپاره د بیا بوټ کولو پرځای هغه فایل پلي کړئ۔ په FreeBSD کې معادل net.inet.ip.forwarding دی، او د تلپاتې کېدو لپاره په rc.conf کې gateway_enable=YES۔ هغه وسیله چې لېږد بند ښیي، د «بنډلونه راځي او هېڅ نه بیرته ځي» په څېر د ټولې طبقې راپورونه تشریح کوي۔ له هرې لوړونې وروسته هم تنظیم وګورئ، ځکه بیا جوړ شوی کرنل یا بدل شوی وسیلې عکس کولای شي چې پرته له چا ته ویلو یې بیا تنظیم کړي۔

masquerade یا یوه ثابته ژباړې پته غوره کړئ

له متحرکې بهرنۍ پتې سره masquerading ترټولو ساده سمه بڼه ده۔ د تونل فرعي شبکه د سرچینې او بهرنی انټرفیس د وتلو په توګه ونوموئ۔

iptables -t nat -A POSTROUTING -s 10.9.0.0/24 -o eth0 -j MASQUERADE

له ثابتې عامې پتې سره د سرچینې ژباړه هماغه پتې ته ډېره د وړاندوینې وړ او د پلټنې لپاره اسانه ده۔

iptables -t nat -A POSTROUTING -s 10.9.0.0/24 -j SNAT --to-source 198.51.100.10

دویمه بڼه د ساتنې ګوزار لري: کلک کوډ شوې پته چې وروسته بدلیږي تونل روان ساتي پداسې حال کې چې انټرنېټ لاسرسی په چوپتیا بند شي۔ یا masquerade وکاروئ یا هرکله چې چمتو کوونکی موږ ته ځای بدلوي اصول نوي کړئ۔ انټرفیس هم مهم دی، ځکه هغه روټر چې خپل پورتنۍ تونل شریکوي باید د فزیکي WAN پرځای له هماغه تونل څخه ژباړه وکړي۔

د فلټر جدول درېیمه دروازه ده

لېږد او ژباړه دواړه سمېدای شي پداسې حال کې چې بنډل لا هم په فلټر جدول کې مري۔ ufw ډېری وخت مجرم وي: د هغې لېږد پالیسي د DROP په توګه راځي، او پاتې ترتیب بشپړ سم ښکارېدای شي پداسې حال کې چې هماغه یو تنظیم ترافیک وژني۔ دا پورته کول چیک باکس نه، بلکې سنجیده امنیتي پرېکړه ده۔

iptables -A FORWARD -i tun0 -o eth0 -j ACCEPT
iptables -A FORWARD -i eth0 -o tun0 -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT

لومړی اصول له تونل څخه بهر ته نوي ترافیک ته اجازه ورکوي، او دویم یوازې ځوابونو ته بیرته راستنېدو اجازه ورکوي۔ دواړه د تونل فرعي شبکې او د پام وړ منزل پورې محدود کړئ، ځکه د تونل انټرفیس باندې پراخه اجازه VPN د هر هغه چا لپاره پرانیستی وتلو ټکی جوړوي چې تصدیق کولای شي۔

په پل باندې تونل بل ځواب ته اړتیا لري۔ پته د فزیکي پورټ نه، د پل ده، نو د انټرفیس غلامول هغه پته لرې کوي چې مخکې یې درلوده او کوربه تر هغه پورې نه رسیېدونکی ښکاري چې پل خپله یوه ترلاسه کړي، کومه چې dhclient br0 ورکولای شي۔ هغه ناکامي د VPN ستونزه ښکاري خو د دویمې طبقې ستونزه ده۔ له فایر وال لاس وهلو دمخه د پل خپله پته وګورئ، ځکه د فلټر بدلون هغه کوربه نه شي سمولای چې د لېږلو لپاره پته نه لري۔

د پاڼې د نه لوډ کېدو پر مهال چېرته وګورئ

د تونل د شتون د ثابتولو لپاره د سرور تونل پتې ته ping وکړئ۔ بیا له کلاینټ څخه عامې پتې ته traceroute وچلوئ او ولولئ چې چېرته دریږي: په سرور کې بنډل رسیږي خو نه لېږل کیږي او نه ژباړل کیږي؛ له سرور هاخوا ستونزه پورته ده او ستاسو له لاسه بهر۔

ping -c 3 10.9.0.1
traceroute -n 198.51.100.10

لومړی امر ثابتوي چې تونل ترافیک تر سرور پورې وړي، او دویم ښیي چې بنډل بهر ته څومره رسيږي۔ هغه نښه چې د تونل پتې ته پای ته رسيږي په سرور کې لېږد یا ژباړې ته اشاره کوي، پداسې حال کې چې یو ګام وروسته درېدونکې نښه چمتو کوونکي یا د پورته روټر بیرته ستنېدو لارې ته۔

په سرور کې، کله چې کلاینټ پاڼه لوډ کوي بهرنی انټرفیس وګورئ۔ هغه ترافیک چې په شخصي سرچینې پتې وځي مانا دا چې ژباړه ورکه ده، او په بشپړه توګه بې ځوابه پاتې کېدل مانا دا چې د لېږد لار یا پورتنۍ بیرته ستنېدو لار یې غورځوي۔

که لیرې کلاینټونه باید د سرور په LAN کې کوربه هم ورسوي، په یاد ولرئ چې LAN ته د تونل فرعي شبکې ته د بیرته ستنېدو لار ګټوره ده۔ دا ژباړه نه، بلکې روټینګ دی، او هغه ګام دی چې تر ټولو ډېر هیرېږي کله چې د انټرنېټ لار بالاخره کار وکړ۔