د VPN پیرودونکي سرور ته رسېږي خو LAN ته نه: کوم حل؟

پیرودونکی د OpenVPN سرور د ټانل پتې ته ping کوي او جواب ترلاسه کوي، بیا د سرور په LAN کې یو کوربه ازموي او هېڅ نه ترلاسه کوي۔ دا توپیر نیمګړتیا ډېره محدوده کوي: ټانل ولاړ دی، لېږد ښایي کار کوي، او جواب له هغې دروازې وځي چې بېرته نه رسوي۔ درې حلونه شته، او سم یې په دې پورې تړلی دی چې څه کنټرولوئ او له څه سره د تېرېدو ته تیار یاست۔ لاندې درې پوښتنو ته په ترتیب ځواب ورکړئ او ټاکنه به نوره د خوښې مسئله نه وي۔

لومړی څرګنده کړئ کوم لوری خراب دی

غوښتنه د VPN حوض څخه د سرچینې پتې سره د ټانل انټرفېس ته رسېږي۔ سرور هغه LAN کوربه ته لېږي، او هغه کوربه هغه ګېټوې ته ځواب ورکوي چې د هغه خپله جدول یې نوموي، معمولاً د LAN راؤټر۔ که راؤټر حوض ته لاره ونه لري، جواب هلته مړ کېږي یا د انټرنېټ په لور ګرځي۔

له بدلون دمخه دواړه ماشینونه وآزمویئ۔ له سرور څخه وپوښتئ چې د هغه جدول پیرودونکي ته کومه لاره غوره کوي؛ له LAN کوربه څخه وپوښتئ چې هغه هماغه پتې ته څنګه رسېږي۔ لومړی لټون معمولاً ټانل ته اشاره کوي او دوهم د LAN راؤټر ته، او همدا توپیر په یوه کرښه کې نیمګړتیا ده۔ دوه لټونونه د فایر وال د پلټنې په پرتله ارزانه دي او د ستونزې لوری ټاکي۔

ip route get 10.8.0.37
sysctl -n net.ipv4.ip_forward

که د LAN کوربه لا دمخه VPN سرور ته اشاره کوي، ستاسو ستونزه د فایر وال قاعده یا د MTU حد دی، نه ورکه شوې بېرته لاره۔ د فلټر سمولو لپاره لاره مه ورزیاتوئ۔

لومړۍ پوښتنه: ایا کولای شئ د لرې LAN راؤټر سم کړئ؟

کله چې د LAN راؤټر ستاسو وي، پاک ځواب VPN حوض ته ثابته لاره ده چې د VPN سرور LAN پته د بل ګام په توګه ولري۔ دا د پیرودونکو سرچینه پتې سمې ساتي، کوم چې مهم دی کله چې LAN کوربه د پتې له مخې ثبت، فلټر یا سرعت محدودوي۔ همدارنګه په سرور کې ژباړې ته اړتیا نه لري، نو ټانل خالصه لار پاتې کېږي۔ هغه ژمنه چې جوړوي یې مستندسازی ده، ځکه حوض، لاره او د سرور ترتیبات باید سره سمون ولري۔

هغه په خاموشۍ هغه ورځ ناکامېږي چې څوک حوض بدل کړي۔ ارزښت یو ځل ولیکئ او په درېیو ځایونو کې هره بدلون د درېیو بدلون وګڼئ۔

هغه NAS یا Layer 3 سوئیچ چې خدمت کوربه کوي هماغه لاره غواړي، پرته له دې چې هر څه داسې راؤټر له لارې ولېږي چې هغه لاره لري۔ هغه وسیله وګورئ چې فرعي شبکه پای ته رسوي، نه یوازې هغه چې انټرنېټ ته ګوري۔ کوچني شبکې ډېری درې وسیلې لري چې د لارې اړوند خپله نظر لري۔

دوهمه پوښتنه: ایا LAN کولای شي د پیرودونکو پتې نه ویني؟

کله چې راؤټر د بل چا وي، په VPN سرور کې ژباړه همکارۍ ته اړتیا نه لري۔ د LAN کوربه د سرور LAN پته ویني، هغې ته ځواب ورکوي، او سرور بېرته ژباړي۔ له همدې امله وسیلې او د NAT پر بنسټ د لرې لاسرسي رولونه داسې چلند کوي۔

iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -o eth0 -j MASQUERADE

بيه یې نسبت دی: د هر پیرودونکي پتې د LAN له ثبتونو ورکېږي۔ بیا باید په LAN کوربه کې هره اجازه لېست د حوض پر ځای سرور ونوموي۔

ژباړه هغه وخت وټاکئ چې همکاري نشته، نه هغه وخت چې یوازې ناخوښه ده۔ دا پیرودونکی له هر راتلونکي تحقیق پټوي، په شمول هغو چې تاسو باید پوه شئ کوم لپ ټاپ اړیکه پرانیستله۔ دا کولای شي هغه پروتوکولونه هم مات کړي چې پتې په بار کې ځای پرځای کوي، ځکه ژباړه په سرلیک کې ژوند کوي۔ هېڅ انتخاب ډېر پرمختللی نه دی؛ دواړه د مالکیت په اړه بېلو پوښتنو ته ځواب وایي۔

درېیمه پوښتنه: ایا سرور پخپله د بل ټانل پیرودونکی دی؟

بله ټوپولوژي تصور کړئ: VPN سرور یوې سوداګریزې ارزونکې شرکت ته هم زنګ وهي، نو دوه ټانلونه او دوه پتې لري۔ هغه ترافیک چې خپلو پیرودونکو ته یې لېږي د ارزونکي له لارې وځي، او هغه به جوابونه بېرته د حوض پتو ته ونه لېږي۔ له همدې امله جوابونه ورکېږي که څه هم دواړه ټانلونه روغ دي۔

حل دا دی چې وتونکی ټانل هم ماسک شي تر څو ارزونکی یوازې د سرور ټانل پته وویني۔ مخالف لوري ته خپله قاعده غواړي، ځکه سرور چې خپل پیرودونکي ته اړیکه پیلوي بېل بهیر دی۔ له دې قاعدې پرته پیرودونکی هغې پتې ته ځواب ورکوي چې لار نه شي ورکولای۔ تنګه قاعده له هرې پراخه ماسکېدنې دمخه کېږدئ تر څو ځانګړې ژباړه وګټي۔

iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -o tun1 -j MASQUERADE
iptables -t nat -A POSTROUTING -d 10.8.0.0/24 -o tun0 -j SNAT --to-source 10.8.0.1

څو انټرفېس لرونکي کوربه یوه اړونده نیمګړتیا ورزیاتوي چې د پیرودونکي له اړخه ورته ښکاري۔ جواب له کم میټریک انټرفېس څخه وځي ځکه سرچینه پته له بل جدول څخه ټاکل شوې۔ د بېرته لارې لټون وکړئ، داسې مه انګېرئ چې د تلو لاره یې لازمه کوي۔

بیا دواړه لوري او دواړه اندازې وګورئ

له بدلون وروسته له پیرودونکي LAN کوربه ته ping وکړئ، بیا له LAN کوربه پیرودونکي ته۔ دوهم لوری هغه دی چې خلک پرې تېرېږي، او هغه دی چې نیمګړې ژباړنې قاعده ښکاره کوي۔ دواړه پایلې د وخت نښې سره ثبت کړئ تر څو وروستۍ راجع کېدنه د پرتله کولو وړ وي۔

بیا ریښتیني معلومات ولېږدئ، ځکه کوچنی ping چې بریالی کېږي په داسې حال کې چې لوی لېږد ودرېږي د MTU نښه ده۔ هغه نیمګړتیا سمدلاسه وروسته له هغې ښکاري چې ځان ته د لارې سمولو مبارکي وایئ۔

په پای کې، له بیا پیل وروسته بیا وآزمویئ۔ د چلېدو پر مهال د لارې او فایر وال امرونه هغه نه زغمي، او هغه سمون چې په راتلونکي پیل کې ورک شي بیا به یو کمزوری زمینه لرونکی کس تشخیص کړي۔ بدلون داسې تلپاتې کړئ لکه ستاسو سیستم چې لا دمخه کوي، بیا یو ځل په قصد بیا پیل کړئ۔