VPN او کورنی LAN یوه فرعي شبکه کاروي: لومړی لاره تعقیب کړئ
دواړه اډاپټرې د 192.168.1.0/24 ادعا کوي او یوازې یوه لاره ګټي. د بیا شمېرنې یا DNS ته د تور لګولو دمخه د اډاپټرې لړلیک، ګټونکې لاره او د بېرته راتلو مسیر تعقیب کړئ.
تاسو د دفتر VPN ته وصل شئ، په ټرې کې آیکون شېن کیږي، انټرانیټ بار کیږي، او دوه متره لرې پرینټر ځواب ورکول بندوي. هغه شریکه پوښۍ چې سهار یې کار کاوه هماغه ماشین کې وخت تیروي، او هیڅ لاګ د پرینټر یادونه نه کوي. لومړنی عکس العمل DNS دی، ځکه هغه نوم چې حل نه شي د نه شتون نوم ښکاري، خو ستونزه په پته کې ده: دوه اډاپټرې اوس د 192.168.1.0/24 ادعا کوي او یوازې یوه لاره کولای شي دا مخکښه برخه وګټي. په دې ترتیب یې تعقیب کړئ او د هر څه بدلولو دمخه به ووینئ چې کوم اډاپټرې دا واخیستله.
له نښې پیل کړئ، نه له ټنل
نښه پراخوالی دی. که انټرانیټ کار وکړ او هر محلي وسیله ناکامه شي، ټنل روغ دی او محلي لاره نه. که محلي وسایل کار وکړي او انټرانیټ ناکام شي، هغه برعکس. که له یو کوربه پرته هر څه کار وکړي، تاسو یوه هغه پته ګورئ چې په دواړو خواو کې شته.
له کوم تنظیم څخه دمخه یوه محلي او یوه لرې پته ولیکئ. «پرینټر» ازموینه نه شي کېدای؛ 192.168.1.40 شي کېدای. همدا یو ګام په دې ستونزه کې تر ټولو عامه ضایع شوې ساعته بندوي، یعنې د لارې اچولو پرېکړې لپاره د DNS تنظیمات بیا لیکل.
ګام 1: دواړه اډاپټرې وګورئ چې مخکښه برخه ادعا کوي
د شبکې اړیکې (ncpa.cpl) پرانیزئ او دواړه اډاپټرې څنګ په څنګ ولولئ. Ethernet اډاپټره 192.168.1.50/24 د 192.168.1.1 ګیټوې سره ښیي. VPN اډاپټره 192.168.1.201/24 ښیي چې سرور لېږلې. دواړه قانوني دي، دواړه باور لري چې مخکښه برخه on-link ده، او سټک به د دې لپاره یوه لاره وساتي.
Get-NetIPAddress -AddressFamily IPv4 پتې لړلیک کوي، او Get-NetIPInterface | Sort-Object InterfaceMetric هغه ترتیب ښیي چې سټک به یې وکاروي. هماغه میټریک کالم هغه پرېکړه ده چې تاسو یې لوستلئ، نو شمېرې ولیکئ نه دا چې په یاد یې وساتئ.
د DNS نظریه په ارزانه توګه غلطه ثابته کړئ: Resolve-DnsName printer.office.lan هغه پته بیرته راګرځوي چې پرون یې راګرځولې وه. نوم حل شو؛ بیا بسته د غلطې اډاپټرې له لارې ووتله. دلته دوه دقیقې د حل کوونکي په تنظیماتو کې یوه ماسپښین ژغوري.
ګام 2: هغه لاره ولولئ چې واقعاً وګټله
Find-NetRoute -RemoteIPAddress 192.168.1.40 هغه انټرفیس، بل ټوپ او سرچینه چاپوي چې سټک به یې د دې پتې لپاره وکاروي. دا پایله د اشارې نه، د ځواب په توګه ونیسئ. کومه ننوتنه څومره وبایله، د لیدو لپاره route print -4 ټوله جدول درکوي.
ځانګړتیا نیت ته ماتې ورکوي. لېږل شوې 192.168.0.0/25 محلي 192.168.0.0/24 ته ماتې ورکوي ځکه مخکښه برخه اوږده ده، نو 192.168.0.0 څخه 192.168.0.127 پورې د ټنل له لارې وځي او پورتنۍ نیمه محلي پاتې کیږي. پرته له کومې تېروتنې پیغام څخه د نیم LAN ورکېدل د هغې جدول لپاره سم چلند دی.
tracert -d 192.168.1.40 دا د جدول له بهر څخه تاییدوي: که لومړنی ټوپ ستاسو خپل روټر نه وي بلکې د ټنل پته وي، نو لاره ټوله کیسه ده. په Linux کې هماغه پوښتنه ip route get 192.168.1.40 ده، چې سرچینه پته او وسیله په یوه کرښه کې چاپوي. کله چې ځواب tun0 ونوموي، نو براوزر ته کتل بند کړئ.
ګام 3: د کلاینټ تور لګولو دمخه د بېرته راتلو مسیر وګورئ
سمه مخې لاره هم ناکامه کیږي که لرې خوا ځواب نه شي ورکولای. کله چې د کلاینټ LAN ته د ټنل له لارې رسېږو، د هغې LAN ګیټوې باید پوه شي چې د ټنل حوض چېرته دی: په هغه روټر ip route add 10.8.0.0/24 via 192.168.1.12, او له سرور څخه push «route 192.168.1.0 255.255.255.0» تر څو کلاینټونه د بېرته راتلو لاره وپېژني.
پرته له لومړنۍ ننوتنې ځواب هدف پرېږدي او خپلې اصلي ګیټوې ته ځي، چې یوه شخصي پته ISP ته لېږي او غورځوي یې. نښه یوې خواته ده او غلط لوستل اسانه دي: غوښتنې په tun0 کې ښکاري، ځوابونه هېڅکله.
په VPN هوسټ کې د masquerade قاعده د هغې ثابتې لارې اړتیا لره کوي: iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -o eth0 -j MASQUERADE. دا اصلي سرچینه پتې هم پټوي، چې هر وروستی لاګ پوښتنه ستونزه کوي. د غلطې اصلي ګیټوې سره هدف هوسټ هماغه چوپتیا جوړوي، په غوره حالت کې ICMP بیاځلېدنه او په نورمال حالت کې توره سوری، نو ځکه نیول دواړو سرونو ته اړه لري.
ګام 4: هغه ترمیمه وټاکئ چې ورسره ژوندی شئ
د دې لپاره پنځه ترمیمونه کارول کیږي او دوی یو بل ته بدلېدونکي نه دي. د دې پر بنسټ وټاکئ چې په یو وخت کې څه د لاسرسي وړ پاتې شي، نه د دې پر بنسټ چې کومه کمانده لنډه ده.
| Repair | What it fixes | What it costs |
|---|---|---|
| Flip interface metrics | Alternating access: office now, home later, never both | Get-NetAdapter -Name "Ethernet 2" | Set-NetIPInterface -InterfaceMetric 21; set the VPN adapter back to 5000. A client that rewrites metrics on connect defeats it |
| Renumber one side | Every host reachable in both directions | DHCP reservations, printer queues, firewall rules and hard-coded addresses all move |
| Narrow the advertised prefix | Remote hosts really live in the upper half | Breaks the day someone adds a host below the cut |
| Translate with client-nat | Both address plans stay untouched | Stateless per-client mapping, unreadable logs, anything embedding addresses breaks |
| Publish one service with DNAT | One service on the VPN host reachable from the LAN | Both address plans stay; source addresses and reverse lookups stop being meaningful |
میټریکونه ارزانه انتخاب دی او هغه چې خلک لومړی ورته لاس اچوي. بدلون انټرفیس ته تطبیق کیږي، نو تر هغه پورې کار کوي چې ټنل پورته وي، او ځای یې د کلاینټ ترڅنګ سکریپټ کې دی نه په هغه شیل کې چې هیر به یې کړئ. دا نشي کولای په دوو شبکو کې یوې پتې ته یو وخت لاسرسی ورکړي، او همدا محدودیت نور ټول جدول ته ښکته لېږي.
د کورني LAN بیا شمېرنه 10.10.0.0/24 ته پاک حل دی: یوه DHCP لیز نوي کول او د زاړه حد یادولو ریزرویشنونه، پرینټر قطارونه او سخت کوډ شوې پتې. د دفتر خوا بیا شمېرنه معمولاً ستاسو پرېکړه نه ده. که IPv6 دواړو شبکو کې وي ټکر په بشپړه توګه لره کوي، د یوې یادېدونکې شي پر ځای له fd00::/8 څخه ځانګړې محلي مخکښه برخه کاروي، خو اپلیکیشن په TCP وازموئ، نه په ping، ځکه ICMP کېدای شي کار وکړي او خدمت یې ونه کړي.
د OpenVPN خپله د ژباړې اختیار وروستی چاره ده، چې له سرور څخه کلاینټ ځانګړي ډایرکټري ننوتنې ته لېږل کیږي. د اختیار له نوم وروسته څلور پارامیټرونه اخلي — لوری، شبکه، نېټماسک او مستعار نوم — او مستعار نوم اختیاري نه دی: push "route 192.168.2.0 255.255.255.0" او push "client-nat dnat 192.168.2.0 255.255.255.0 192.168.1.0". شبکه او ماسک هغه حد دی چې کلاینټ یې ویني (192.168.2.0/24)، مستعار نوم په سرور خوا کې اصلي دفتر حد دی (192.168.1.0/24)، او لېږل شوې لاره هغه څه ده چې دا لیدل کېدونکی حد د لاسرسي وړ کوي. بیا دفتر هغه کلاینټ ته د 192.168.2.x لاندې ښکاري. نقشه په پروفایل کې ثبت کړئ، که نه بل کس به یې د لارې خرابۍ په توګه ډیبګ کړي.
یوه خدمت خپرول د ژباړې نری نسخه ده او د OpenVPN اختیار ته په بشپړه توګه اړتیا نه لري. په VPN هوسټ کې د DNAT قاعده یوه پورټ بیا خپروي، نو LAN خپلې پتې ساتي او هغه هوسټ پتې ته رسېږي چې پخوا یې پېژني. لګښت معمول دی: خدمت VPN هوسټ د سرچینې په توګه ویني، نو د هر کلاینټ لاګونه او معکوس لټونونه معنا له لاسه ورکوي. دا یوه پرینټر قطار یا یو اداري پاڼه پوښي، نه دواړو خواو کوربې چې یو بل ته ورسیږي.
څه به لا هم کار نه کړي، او څه ولیکئ
خپرېدنه له لارې اچول شوي ټنل نه تېریږي. DLNA، UPnP، NetBIOS کتنه او Wake-on-LAN په خپرېدنه یا څوخپرېدنه تکیه کوي چې tun وسیله یې نه ټېل وهي، نو هېڅ لاره کشف سم نکوي. له dev tap سره پل جوړول برخه پراخوي، او ورسره DHCP خپرېدنې، ARP او نور کشفي بستې؛ د لرې روټر د LAN خوا پتې لپاره route 192.168.2.1 255.255.255.255 په څېر یونیکاسټ هوسټ لاره غوره کړئ.
دوه روټرونه چې دواړه په یوه لاره کې 192.168.1.1 کاروي د یوې ستونزې کورنۍ دي: محلي پته تل ګټي، نو د لرې روټر پاڼه تر هغه پورې نه لاسرسي وړ پاتې کیږي چې یوه LAN ونه ځي. دوهمه اډاپټره زیاتول په دواړو حالتونو کې هېڅ نه بدلوي.
له هر څه سمون دمخه شواهد ولیکئ: ip route get یا Find-NetRoute، اړوندې پتې ته ping -c 3، یو traceroute، او په کلاینټ tcpdump -ni tun0 icmp، بیا په سرور کې د لارې جدول او NAT شمېرونکې. هغه ping چې یوه خوا کار کوي او بله خوا مري د ټنل نه، بلکې د بېرته راتلو مسیر ته اشاره کوي، او همدا یو توپیر ټاکي چې پورتنې کومه ترمیمه واقعاً ته ورته اړتیا لرئ.