ولې د Access Server کلاینتونه له LAN څخه د لاسرسي وړ نه دي

لپ ټاپ نښلول کیږي، تونل پورته دی، او داخلي خدمت ته تلونکي غوښتنې د نښلولو په وخت کې ځوړند پاتې کیږي۔ په خدمت کې پخپله غوښتنه د 10.90.0.25 په څیر پتې څخه راځي، ځواب د ډیفالټ ګیټوې په لور وځي، او هېڅ نه بیرته راځي، ځکه چې هغه ګیټوې نه پوهیږي چې 10.90.0.25 چېرته دی۔ له بلې خوا ورته تېروتنه د داخلي هوسټ په څیر ښکاري چې نښلول شوي کلاینت ته پینګ نشي کولی۔ دواړه یو ورک شوی شی دي: د VPN کلاینت پول ته د بیرته ستنیدو لاره، چې یوازې خصوصي شبکه یې اضافه کولی شي۔

هغه د سرچینې پته ولولئ چې خدمت یې ویني

هغه یو ساحه پاتې نور ټول ټاکي۔ که داخلي خدمت د پول پته وګوري، Access Server د کلاینت ترافیک پټولو پرځای روټ کوي، او هر ځواب باید بیرته پول ته روټ شي۔ که پرځای یې د سرور خپله خصوصي پته وګوري، سرور ماسکریډ کوي او د بیرته ستنیدو لاره لا دمخه کار کوي، خو د خدمت په لاګونو او د لاسرسي قواعدو کې د هر کلاینت هویت له لاسه ورکولو په بیه۔

د هر څه بدلولو دمخه دواړه خواوې پرتله کړئ۔ په سرور کې د تونل انټرفیسونه او د هغوی پتې ولیکئ؛ په کلاینت کې تایید کړئ چې په رښتیا کومه پته لري؛ په داخلي هوسټ کې یو فعال نښلون وګورئ۔

ip -br addr show
ss -tnp state established '( dport = :443 )'
ip route get 10.90.0.25

وروستی امر هغه دی چې په خرابه حالت کې ناکام کیږي: یا د تونل مخکښې نا رسیدونکې اعلانوي، یا، چې بدتره ده، ستاسو ډیفالټ ګیټوې بیرته ورکوي، او همداسې ځوابونه انټرنېټ ته رسیږي۔

دا مه فرض کړئ چې یوازې یو پول شته۔ یو سرور کېدای شي د متحرک حد سربېره د هر کاروونکي لپاره ثابتې نقشې ولري، او ثابته پته کېدای شي له متحرک مخکښې څخه په بشپړه توګه بهر وي۔ که تاسو یوازې هغه حد روټ کړئ چې په یاد یې لرئ، ثابتې پتې لرونکي کاروونکي خراب پاتې کیږي او نور ټول راپور ورکوي چې ستونزه حل شوې۔

لاره هغه ځای کې اضافه کړئ چې ځواب پرې ټاکل کیږي

لاره د هغې ګیټوې ده چې داخلي خدمت یې لا دمخه کاروي، نه د خدمت، پرته له دې چې خدمت خپل ترافیک پخپله روټ کړي۔ دا د Access Server د رسیدونکې خصوصي پتې په لور وګرځوئ، کوم چې د کلاینت لرونکې تونل پتې څخه بېله ارزښت ده۔

ip route add 10.90.0.0/24 via 10.0.1.5
ip route get 10.90.0.25

په کلاوډ شبکه کې ورته خبره د روټ جدول یوه ننوتنه کیږي چې هدف یې هغه انسټانس یا شبکه انټرفیس دی چې سرور پرې چلیږي، او په هغه انټرفیس کې د سرچینې او منزل کنټرول بند وي۔ پام وکړئ چې هغه ننوتنه څه نه کوي: لاره د لاسرسي ورکولو وسیله نه ده، نو امنیتي ګروپونه، شبکه ACL او د هوسټ فایر وال باید لا هم ترافیک ته اجازه ورکړي۔

دا تلپاتې کړئ، او د پولونو اندازې صادقې وساتئ۔ دوه نښلول شوي نه پولونو ته دوه لارې ته اړتیا ده، او هغه پول چې له خپلې تنظیم شوې مخکښې څخه پورته وده کوي په خاموشۍ سره داسې کلاینتونه جوړوي چې ځوابونه یې د تلو ځای نلري۔ که تاسو د پولونو حدود کنټرولوئ، داسې لنډیز غوره کړئ چې یو ځل یې روټ کړئ او پرېږدئ۔

فوروارډینګ او فلټرونه باید د لارې سره سمون ولري

روټینګ د لارې یوازې نیمه برخه ده۔ سرور ته باید اجازه وي چې د تونل او خصوصي انټرفیس ترمنځ فوروارډ وکړي، چې په لینکس کې net.ipv4.ip_forward او هغه فوروارډ زنځیر مانا لري چې د انټرفیسونو جوړه ته اجازه ورکوي، او په کلک هوسټ کې معمولا د هر لوري لپاره جلا ښکاره قاعده۔

sysctl net.ipv4.ip_forward
nft list ruleset | grep -A5 forward

د حالت والا فلټر کول هغه نښه تشریح کوي چې خلک ناسمې لارې ته وړي۔ په جوړ شوي جریان کې دننه ځواب نوی داخلي قاعده نه غواړي، نو هغه نښلون چې د SYN-ACK وروسته ځوړند پاتې کیږي د ورکې منلو قاعدې له امله نه بندل کیږي؛ بلکې غورځول کیږي یا ناسم روټ کیږي۔ دا توپیر وساتئ، ځکه چې دا د روټینګ بدلون له فایر وال بدلون څخه جلا کوي۔

ناهمغږ بیرته ستنیدو لارې د همدې ستونزې ارامه بڼه ده۔ که پول ته دوه لارې ورسیږي او ځواب هغه غوره کړي چې له هغه انټرفیس څخه وځي چې غوښتنه پرې راغلې نه وه، سخت بیرته لارې فلټر یې غورځوي او جریان یوازې ځینو کلاینتونو لپاره ناکام کیږي۔

روټ شوی یا ماسک شوی: په شعوري توګه وټاکئ

روټ شوی حالت په خدمت کې د کلاینت د پول پته ساتي، چې د هر کلاینت لپاره لاګینګ او پالیسي ممکنوي، او په بدل کې هره داخلي شبکه چې کلاینت ته ځواب ویل غواړي د پول لارې ته اړتیا لري۔ ماسک شوی حالت هغه اړتیا لرې کوي ځکه چې ځوابونه سرور ته بیرته راځي، خو خدمت بیا د یو کلاینت له بل څخه توپیر نشي کولی او نه شي کولی د یو ځانګړي کلاینت په لور څه پیل کړي۔

په فعال سرور کې د دغه رفتار بدلول موجودې ناستې پرې کوي، نو لومړی د یو کلاینت او یو جریان سره ازموینه وکړئ۔ که بدلون سم ځواب وي، دا په سرور کې د تنظیماتو پریکړه ده، نه هغه څه چې د بیا غیر ضروري کیدونکو لارو په اضافه کولو سره ترې تښتیدل کیږي۔

د کلاینت شاته فرعي شبکه جلا دنده ده

د لپ ټاپ په خپله LAN کې یو وسیلې ته رسیدل د لپ ټاپ د تونل پتې ته رسیدو سره یو څه نه دي۔ دا غواړي چې کلاینت د فرعي شبکې ګیټوې په توګه کار وکړي: د کلاینت خوا ته اعلان شوې شبکه، د کلاینت په عملیاتي سیستم کې فعاله فوروارډینګ، او په هغه LAN کې د کلاینت په لور بیرته لاره۔ د لپ ټاپ د کورنۍ حد لپاره د خصوصي شبکې لاره اضافه کول دا نه کوي، او کله چې دوه کاروونکي ورته کورنی حد ولري تضاد رامنځته کوي۔

لوری هم د پالیسۍ پوښتنه ده۔ کلاینت ته د داخلي خدمت سره د نښلون پرانیستلو اجازه په اتوماتيک ډول داخلي هوسټ ته د هغه کلاینت سره د نښلون پرانیستلو اجازه نه ورکوي۔ د لارې د خرابېدو په اړه د پایلې رسیدو دمخه د سرور د لاسرسي پالیسي او د کلاینت د هوسټ فایر وال وګورئ۔

د یو جریان او یو نیول سره تایید کړئ

لاره د یو نښلون سره ثابته کړئ، نه د عمومي رسیدو ازموینې سره۔ په دواړو خواو کې ورته جریان وګورئ: هغه غوښتنه چې خدمت ته رسیږي او هغه ځواب چې ترې وځي۔

tcpdump -ni any host 10.90.0.25 and port 443

د سمون دمخه نیول ښیي چې ځواب د هغې ګیټوې په لور وځي چې دا به روټ نه کړي۔ د سمون وروسته ځواب د سرور په لور وځي او جریان بشپړیږي۔ بیا هغه لاره تایید کړئ چې ګیټوې به د دوهم کلاینت پتې لپاره کاروي، ترڅو هغه پول چې تاسو نه یې پوښلی اوس ښکاره شي نه یوه اونۍ وروسته۔

د هغو څلورو کتنو سره پای ته ورسوئ چې دا بندوي: په خدمت کې د سرچینې پته ستاسو د نیت شوي حالت سره سمون لري، ګیټوې هر کاریدونکي پول ته لاره لري، فوروارډینګ او فلټرونه دواړو لورو ته اجازه ورکوي، او یو ریښتینی جریان له پیل څخه تر پای پورې بشپړیږي۔ د Access Server د روټینګ په اړه ډیرې پوښتل شوې پوښتنې د نصب شوي نسخې لپاره هماغه اصل بیانوي، چې د هغې ملاتړ شوی تنظیماتي انټرفیس کیدای شي له زړو لارښودونو څخه توپیر ولري۔