NGINX د VPN پیرودونکي لپاره کوم سرچینه پته ثبتوي؟
په یوه هوسټ کې د OpenVPN ترڅنګ NGINX څه ویني، هغه وټاکئ: دنننۍ ټنل پته، عامه وتلې پته یا لېږدول شوی همغږی، د تېر شوي لارې له مخې.
په یوه هوسټ کې د NGINX او OpenVPN په ترتیب کې د پیرودونکي درې پتې ښکاري، هرې هغې لارې لپاره یوه چې غوښتنه یې کولی شي۔ هغه براوزر چې د ټنل پتې ته رسېږي، هغه براوزر چې عامه پتې ته رسېږي او هغه پروګرام چې د ګېټوې د انټرنېټ لارې له مخې وځي، ټول د اورېدونکي ساکټ پر سر بېلابېل ښکاري۔ د لاګ کرښې د تشریح کولو دمخه وټاکئ چې کومه لار ګورئ۔ پرېکړه په هغه منزل تکیه ده چې پیرودونکي کارولی، په هغه استثنا چې د باندني VPN پای نقطې لپاره لري، او په دې چې په لاره کې څه پاکټ ژباړي که نه.
د کاروونکي د هویت له مخې نه، د منزل له مخې پرېکړه وکړئ
له هغې پتې پیل وکړئ چې غوښتنه ورته لېږل شوې وه، ځکه هماغه پته لاره ټاکي۔ هوسټ د ټنل پتې ته غوښتنه د ټنل انټرفېس ته د پیرودونکي دنننۍ پتې سره د سرچینې په توګه رسېږي۔ هوسټ عامه پتې ته غوښتنه معمولاً د انټرنېټ خواته انټرفېس ته د پیرودونکي عامه پتې سره رسېږي، حتی کله چې هماغه لاپټاپ په هغه شېبه کې ټنل جوړ کړی وي۔ نو ځکه په VPN حوض کې غړیتوب د پاکټ د لارې ځانګړنه ده، نه هغه ځانګړنه چې کاروونکي پسې ځي.
| Path the request took | Source the site normally records |
|---|---|
| Client reaches the site at its tunnel address, 10.24.0.1 | Client inner address, 10.24.0.20 |
| Client reaches another internet site through the gateway | Gateway public egress address, 192.0.2.44 |
| Client reaches the gateway's public address through the endpoint exception | Client's own public access address |
کله چې په لاګ کې د ټنل سره هېڅ تړاو نلرونکې پتې سره VPN کاروونکی ښکاره شي، لومړی همدا درېیمه کرښه د کتلو وړ ده۔ دا هم څرګندوي چې ولې د یوه پروفایل دوه کاروونکي بېلابېل ثبتونه جوړولی شي: د دوی خپل د لاسرسي شبکې بېلابېلې دي، او په ټنل کې هېڅ شی پر هغې نه لیکل کېږي.
ولې باندنۍ پای نقطه دویمه عامه لار جوړوي
پیرودونکی باید د ټنل د جوړولو لپاره د ګېټوې عامه پتې ته ورسیږي، نو هغې پتې ته لار باید د ټنل څخه بهر موجوده وي۔ کله چې پیرودونکی ټول ترافیک دننه خواته واړوي، هوښیار پلي کول د سرور عامه پتې لپاره ښکاره هوسټ لار ساتي ترڅو له هغه ټنل څخه ډډه وشي چې پر خپل ځان تکیه وي۔ هغه استثنا د خدمتونو په اړه ټاکنه نه کوي، نو هماغې عامه پتې ته هرې غوښتنې هغه تعقیبوي، په ګېټوې کې میلمانه شوې سایټ ته د براوزر غوښتنه هم په ګډون.
دا هغه میکانیزم دی چې په دې برخه کې د ډېرو ګډوډ راپورونو شاته دی، او د سرور نه بلکه د پیرودونکي پلي کولو پورې تړاو لري۔ نو ځکه د ورته پروفایل دوه پیرودونکي کولی شي بېلابېل چلند وکړي۔ د لاګ د »سمولو« لپاره استثنا لرې کول ټنل هم له ځان سره غورځوي، نو وساتئ یې او شاوخوا یې ډیزاین وکړئ.
ساکټ، جدول او د لاګ بڼه یوځای ولولئ
درې کتنې ټاکي چې کومه لار ګورئ: ساکټ چېرته اوري، کوم انټرفېس منزل ته ځواب ورکوي، او د لاګ بڼه په رښتیا څه ثبتوي۔ که اورېدونکی یوازې ټنل پتې ته وتړل شو، عامه غوښتنه هغه ته هېڅ ونه رسېدای شي، چې سملاسي دوه کرښې لرې کوي۔ که د پیرودونکي لپاره پلټنه د ټنل وسیله بېرته راوړي، غوښتنه د دنننۍ سرچینې سره رسېدلې ده او لاګ باید هغه وښيي.
ss -lntp 'sport = :443'
ip route get 10.24.0.20
ip route get 192.0.2.44بیا کرښه نه، بڼه ولولئ۔ هغه ډګر چې د لېږدول شوي سرلیک له مخې ډکېږي، د ساکټ همغږی نه بلکه ادعا ثبتوي، او ادعا یوازې هغه وخت مهمه ده چې سمدستي همغږی باوري پروکسي وي۔ دواړه ارزښتونه په لاګ کې لیکل وروسته شخړې حل کوي، ځکه سمدستي همغږی او بدله شوې پته بېلابېلې حقایق دي او یوازې یو یې له شبکې راغلی.
log_format tunneled '$remote_addr $realip_remote_addr $request $status';
grep -n 'log_format' /etc/nginx/nginx.confخپله غوښتل شوې ننوتلو نقطه وټاکئ او DNS سره یو کړئ
که سایټ باید یوازې د ټنل له لارې وي، هغه ته داسې نوم ورکړئ چې د VPN پیرودونکو لپاره ټنل پتې ته حل شي او پر اورېدونکي ساکټ باندې تګلاره پلي کړئ۔ د دنننۍ نوم لپاره 10.24.0.1 بېرته راګرځوونکی ووېشل شوی DNS ځواب د نوم حل تفصیل په جامه کې د لارې پرېکړه ده۔ که سایټ باید عامه هم وي، دوه نومونه یا دوه پورټونه وساتئ او پرېږدئ لاګ ووایي چې کومې غوښتنه پوره کړه.
د اجازې اصول هماغه منطق تعقیبوي۔ د ټنل حوض ته اجازه ورکول عامه غوښتنه نه مجاز کوي او د انټرنېټ له لارې راغلې اړیکې ته دنننۍ پته نه ډکوي۔ دواړه ننوتلو نقطې د یوه نوم لاندې ګډول ثبت شوې سرچینه د ډیزاین غوراوي پر ځای د پیرودونکي لارې ناوړه اغېزه جوړوي.
لاره وګورئ، بیا تګلاره
لاره د ګېټوې پر سر د نیول کېدو او هغې غوښتنې سره چې تاسو یې کنټرولوئ تایید کړئ۔ د ټنل وسیلې پر سر نیول او یو د عامه انټرفېس پر سر ښيي چې کوم یې بایټ وړل، او د پاکټونو ترتیب وایي چې د دوی ترمنځ ژباړه وشوه که نه.
tcpdump -ni tun0 port 443 -c 5
tcpdump -ni eth0 port 443 -c 5بیا لاسرسی په دواړو خواوو وګورئ: پلان شوې نوم لرونکې ننوتلو نقطه پلان شوي پیرودونکي لپاره کار کوي، او ناتایید شوې عامه لار یوازې ورو کېدو پر ځای رد کېږي۔ یو عمومي IP-غږ سایټ د ګېټوې د انټرنېټ وتلو په اړه یو څه ثابتوي او د هماغه هوسټ پر سر د دې سایټ په اړه هېڅ ثابتوي نه۔ کله چې پاڼه او WebSocket سره نه جوړېږي، د سرور ترتیب ته له لاس وروړلو دمخه د دوی URLونه، پتې کورنۍ او DNS ځوابونه پرتله کړئ.