په VPN لار کې بله ټوپ: ولې ګېټوې باید په محلي ډول د لاسرسي وړ وي

په VPN شبکه کې لاره دوه پتې لېږدي چې ګډوډول یې اسانه دي: هغه د منزل مخکښ چې بنډل یې د رسېدو هڅه کوي او بله ټوپ چې هغه یو ګام نږدې کوي۔ په LAN هوسټ کې، هغه بله ټوپ باید داسې روټر وي چې تاسو یې واقعاً په همدې لینک کې رسېدلی شئ۔ لرې VPN پته بله ټوپ نه ده، هر څومره چې ستاسو په ذهن کې د منزل سره سمه ښکاري۔

دا لارښود عادي حالت پوښي: په 192.168.20.0/24 کې لپ ټاپ، د 192.168.20.5 LAN پتې سره VPN ګېټوې، او د هغې ګېټوې شاته 10.70.0.0/24 لرې شبکه۔ لاندې ټولې کمانډې فرض کوي چې تاسو په لپ ټاپ یاست، پرته له دې چې بل ډول وویل شي۔

دوه پتې، یوه لاره

په نظر کې ننوتنه 10.70.0.0/24 via 192.168.20.5 ده۔ مخکښ ښیي چې بنډل چېرې ځي؛ via پته ښیي چې څوک یې هلته وړي۔ کرنل د هغې لارې نصبولو څخه انکار کوي چې ګېټوې ته یې ستاسو د نومول شوي انټرفېس له لارې نه شي رسېدلی، او همدا انکار ټوله خبره ده: بله ټوپ چې د لاسرسي وړ کېدو لپاره ټنل ته اړتیا لري، هغه بله ټوپ نه شي کېدلی چې ټنل جوړوي۔

نو لومړنۍ څېړنه «ګېټوې روانه ده» نه ده، بلکې «ګېټوې په دې لینک کې ده» ده۔ د لپ ټاپ خپله فرعي شبکه، د هغې ARP یا ګاونډی ننوتنه، او په لاره کې انټرفېس — ټول باید سره سمون ولري۔ هغه پته چې یوازې د 10.70.0.0/24 دننه شته، د دویمې لارې منزل کېدلی شي، خو د لومړنۍ via هیڅکله نه۔

بله ټوپ ګېټوې ته څه لازمي کوي

په لپ ټاپ کې د لارې نصبول یوازې لومړنی لېږد فیصله کوي۔ بیا ګېټوې ته خپله لار غواړي: فعال شوی فوروارډنګ، د 10.70.0.0/24 لپاره ټنلي لاره، او هر هغه لاسرسي پالیسي چې ټاکي څوک یې کارولی شي۔ په Linux کې دا net.ipv4.ip_forward=1 او یوه ټنلي لاره ده؛ د هغې مخې ته فایر وال ته داسې قاعده غواړي چې فوروارډ شوي بهیر ته اجازه ورکړي۔

د بېرته راستنېدو لوری هغه برخه ده چې خلک یې هېروي۔ لرې اړخ باید 192.168.20.0/24 ته د بېرته راستنېدو لاره ولري، یا ډیزاین باید د لپ ټاپ سرچینه په داسې څه وژباړي چې لرې اړخ یې پېژني۔ له ګېټوې څخه کار کوونکی ping ثابتوي چې ګېټوې لرې شبکې ته رسېدلی شي؛ د دې په اړه هیڅ نه وايي چې د لپ ټاپ بنډلونه د بېرته راستنېدو په سفر کې ژوندي پاتې کېږي که نه۔

پلټنه له هغه هوسټ څخه وګورئ چې لېږي

له کرنل څخه وپوښتئ چې کومه بله ټوپ غوره کوي، او په ځواب کې انټرفېس ولولئ:

ip route get 10.70.0.10
ip route show 10.70.0.0/24
ip neigh show 192.168.20.5

که پلټنه ګېټوې او LAN انټرفېس راپور کړي، لومړۍ برخه د نظر له مخې تنظیم شوې ده۔ که هغه ټنلي وسیله راپور کړي، په جدول کې یو څه دمخه ډېر ځانګړی دی او ګټي۔ که لاره هېڅ نصب نه شي، کرنل تاسو ته وايي چې ګېټوې د لاسرسي وړ نه ده، او هغه پیغام له هر بنډل نیولو څخه ګټور دی۔

بیا ازموینه له سم ځای څخه تکرار کړئ۔ په ګېټوې کې جوړه شوې غوښتنه د ګېټوې خپله سرچینه پته کاروي، کوم چې د ورکې شوې بېرته راستنېدو لارې یا داسې پالیسي پټولی شي چې یوازې ځانګړو سرچینو ته اجازه ورکوي۔ د ip-route لارښود منزل، ګېټوې او د onlink له پاسه لیکنه بېلوي، او له پاسه لیکنه د کارولو دمخه پوهېدلو ارزښت لري۔

د لاسرسي وړتیا د جعل کولو لپاره onlink مه کاروئ

onlink کرنل ته وايي چې د ګېټوې د لاسرسي وړتیا څېړنه پرېږدي او بیا هم هلته ولېږي۔ دا لار نه جوړوي، د هغې پتې لپاره چې نشته ARP نه حل کوي، او ستاسو په Ethernet برخه کې لرې روټر د ځواب ورکولو ته نه اړ کوي۔ دا هغو ګېټوو لپاره قانوني ده چې ځواب ورکوي خو په نښلول شوې فرعي شبکه کې نه وي، او داسې تېروتنه چې تاسو یې نه یاست تشریح کړې، د غلي کولو لپاره کارول یې تله ده۔

که لاره یوازې د onlink سره نصب شي، بله پوښتنه دا ده چې ګېټوې ولې هغه ځای کې نه ده چې تاسو فکر کوئ۔ ناسم VLAN، په ناسم انټرفېس کې دویمه پته، یا په وروستي اکتېټ کې ټایپو — دا ټول دا رامنځته کوي، او هر یو یې د ترافیک بهېدو سره سم د بېرته راستنېدو لاره هم ماتوي۔

د ټکي-تر-ټکي ټنلونه Ethernet نه دي

ټنلي وسیله ARP نه کوي او ډېری وخت د ګاونډیانو معنی لرونکې فرعي شبکه نه لري۔ د هغې لارې ډېری وخت د 10.70.0.0/24 dev tun0 په څېر ښکاري، له هېڅ via پرته، ځکه چې سیال یوازینی بل پای ټکی دی۔ په هغه جدول کې د LAN سټایل via کاپي کول داسې لاره جوړوي چې کرنل یې ردولی شي یا، لا بدتر، داسې چې هغې پتې ته اشاره کوي چې سیال یې هیڅکله ځواب نه ورکوي۔

په لارښود کې دواړه ماډلونه جلا وساتئ: LAN لاره د لاسرسي وړ ګېټوې لري، ټنلي لاره انټرفېس او سیال لري۔ WireGuard، OpenVPN او IPsec ټول لږ څه توپیر لرونکي شکلونه ښیي، نو هغه شکل ولیکئ چې تاسو واقعاً کارولی، نه دا چې له یو هوسټ څخه عمومي کړئ۔

اضافه کړئ، تایید کړئ، بیرته وګرځوئ

ټوله بدلون درې کمانډې او یوه څېړنه ده، او باید په همدې ترتیب ولیکل شي:

sudo ip route add 10.70.0.0/24 via 192.168.20.5
ip route get 10.70.0.10
ping -c 3 10.70.0.10
sudo ip route del 10.70.0.0/24 via 192.168.20.5

لاره تایید کړئ، یو منزل تایید کړئ، بیا د ړنګولو کرښه چمتو وساتئ که بدلون هوسټ په داسې ډول بې لاسرسي کړي چې تاسو یې تمه نه درلوده۔ که لاره باید د بیا پیل وروسته هم پاتې شي، هغه د shell پروفایل کې نه، بلکې د هوسټ په شبکه تنظیم کې کېږدئ، او د هغې په باور کولو دمخه بیا پیل وازموئ۔ هغه لاره چې یوازې په هغه shell کې شته چې هغه یې اضافه کړې، هغه لاره ده چې دوه ځله به یې ډیبګ کوئ۔