එක් OpenVPN ග්‍රාහකයෙකුට SSH හරහා තවත් ග්‍රාහකයෙකු වෙත ළඟා වීමට ඉඩ දෙන්න, තටාකය නොවිවෘතව

එක් ග්‍රාහකයෙකු තවත් ග්‍රාහකයෙකුගේ SSH සේවාවට ළඟා විය යුතු අතර, තටාකයේ ඉතිරි කොටස අද මෙන්ම වෙන්ව තිබිය යුතුය. ආකර්ෂණීය ස්විචය client-to-client වන අතර, එය සැමට එකවර සමසේවක ප්‍රවේශය සක්‍රීය කර නිර්ණය කර්නලය වෙනුවට OpenVPN වෙත භාර දෙයි. පටු පිළිතුරක් එම ස්විචය විරහිතව තබා සේවාදායකයේම මාර්ගගතකරණයට හා ගිනිපවුරට හරියටම එක් ප්‍රවාහයක් දරන්නට ඉඩ දෙයි.

නීතියේ පෙළට වඩා යාන්ත්‍රණය වැදගත් වන්නේ, ක්‍රම දෙක පැකට්ටුව වෙනස් තැන්වල තබන බැවිනි. ඔබ තෝරාගත්තේ කුමක්දැයි දැනගැනීම, කිසිවක් නොකරන බව පෙනෙන නීතිය සහ එය නොමැතිව සම්බන්ධ වන සමසේවකයා යන දෙකම පැහැදිලි කරයි.

client-to-client පැකට්ටුව ගෙන යන්නේ කොහේටද

client-to-client සක්‍රීයව ඇති විට, සේවාදායකය සමසේවකයාගේ පැකට්ටුව උමං උපාංගයෙන් නැවත පිටතට නොයවා ඇතුළතින්ම ඉදිරියට යවයි, එබැවින් පැකට්ටුව කිසිදා කර්නලයේ යැවීම් මාර්ගයට නොපැමිණේ. එය පහසුය, තවද ඔබේ ගිනිපවුර අධීක්ෂණය කළ යුතු ප්‍රවාහය කිසිදා නොදකින බවද අදහස් කරයි. විකල්පය විරහිතව තැබූ විට සේවාදායකය පැකට්ටුව එම අතුරුමුහුණතින්ම නැවත පිටතට යවයි, එය netfilter ඉදිරියේ තබයි. එම අතුරුමුහුණත ඇතුළට, එම පිටතට, සහ FORWARD දාමයට හඬක් ඇත.

හුවමාරුව පැහැදිලිය: ඔබට එක් ප්‍රතිපත්ති ලක්ෂ්‍යයක් ලැබෙන අතර, කෙටි මාර්ගය ඔබ වෙනුවෙන් කළ මාර්ගගතකරණය හා යැවීම ඔබ භාර ගනී. එම කාර්යය එක් ප්‍රවාහයකට කුඩා වන අතර ඔබ එකතු කරන සෑම ව්‍යතිරේකයක් සමඟ වැඩි වේ. ව්‍යතිරේක දැන් ගණන් කරන්න, මන්ද සමසේවකයන් අතර ප්‍රතිපත්තිය සැබවින්ම ජීවත් වන්නේ නීති කට්ටලය තුළය.

සමසේවක පැකට්ටුව සැබවින්ම ගමන් කරන මාර්ගය

Linux Community OpenVPN 2.6 සේවාවක්, DCO වෙනුවට පරිශීලක අවකාශයේ TUN සැකසීම, උපජාල ටොපොලොජිය, tun0, සහ ග්‍රාහක A 10.44.0.21 හිද, ග්‍රාහක B 10.44.0.37 හිද සිටින 10.44.0.0/24 තටාකයක් යැයි උපකල්පනය කරන්න. උපජාල ටොපොලොජියේදී A ට ලැබුණු ලිපිනය සහ ජාල ආවරණය දැනටමත් තටාකය ආවරණය කරයි, එබැවින් A අමතර තල්ලු කළ මාර්ගයක් නොමැතිව උමං උපාංගයට පැකට්ටුව යවයි. A හි සැබෑ මාර්ගය පරීක්ෂා කරන්න, උපකල්පනය නොකරන්න.

සේවාදායකයේදී පැකට්ටුව B වෙත ලිපිනය කර පැමිණේ, එය දේශීය ලිපිනයක් නොවන බැවින් එය ඉදිරියට යැවේ. එය සිදුවීමට IPv4 යැවීම සක්‍රීය විය යුතු අතර, මාර්ග සෙවීම පැකට්ටුව නැවත tun0 හරහා පිටතට යැවිය යුතුය. එබැවින් ගිනිපවුර දෙපසම එකම අතුරුමුහුණත සහිත ඉදිරියට යැවූ ප්‍රවාහයක් දකී, සහ එයයි බොහෝ නීති කට්ටල මගහරින සියුම් කරුණ. මෙහි මූලාශ්‍ර පරිවර්තනය අවශ්‍ය නැත, සහ A ගේ ලිපිනය අකැඩී තැබීමයි B ට තමන්ගේම මූලාශ්‍ර මත පදනම් වූ නීතිය යෙදීමට ඉඩ දෙන්නේ.

සේවාදායකයේ නීති දෙකක්, මේ අනුපිළිවෙලින්

නීති තුනක් මුළු අවසරයම දරයි: යැවීම, යුගල ව්‍යතිරේකය, සහ උමං යුගලය සඳහා පෙරනිමි බැහැර කිරීම. පිළිගැනීමේ නීතිය යුගලය සහ සේවාව නම් කරයි, එබැවින් අවසරය වර්ධනය වන තටාකයක් තුළ රැඳේ. එය උමං-සිට-උමං ගමනාගමනයට ඇති ඕනෑම පොදු ප්‍රතික්ෂේපයකට පෙර තබන්න, මන්ද පළමු ගැළපීම ජය ගනී:

sysctl -w net.ipv4.ip_forward=1
iptables -A FORWARD -i tun0 -o tun0 -s 10.44.0.21 -d 10.44.0.37 -p tcp --dport 22 -j ACCEPT
iptables -A FORWARD -i tun0 -o tun0 -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
iptables -A FORWARD -i tun0 -o tun0 -j DROP

එම විධාන නිදර්ශනාත්මක වන අතර ඔබේ සත්කාරකය නීති රඳවා තබා ගැනීමට භාවිතා කරන යාන්ත්‍රණයට අයත් වේ; ධාවන කාලයේ ඇතුළු කිරීම ඊළඟ ආරම්භයේදී අතුරුදහන් වේ. තත්ත්ව නීතියයි B ගේ පිළිතුරු සහ TCP අත්වැල දෙවන, පරාවර්තිත පිළිගැනීමක් නොමැතිව ආපසු ඒමට ඉඩ දෙන්නේ.

පසුව නීති ලැයිස්තුව නොව කවුන්ටර පරීක්ෂා කරන්න, මන්ද කිසිදා නොගැළපෙන නීතියක් ක්‍රියා කරන එකක් මෙන්ම පෙනේ. කවුන්ටර බිංදුවේ රැඳුණොත්, පැකට්ටුව ඔබ සිතන මාර්ගයේ නොයයි.

B තවමත් අවසර දිය යුත්තේ කුමක්ද

SSH සේවාව ධාවනය කරන්නේ B ය, එබැවින් උමං ලිපිනයේ යමක් සවන් දෙන්නේද සහ එහිම සත්කාරක ගිනිපවුර මූලාශ්‍රය පිළිගන්නේද යන්න B තීරණය කරයි. සේවාදායකයේ දෙන ලද ජාල අවසරය B හි කිසිදු ගිණුමකට අවසරයක් නොවේ, සහ සත්කාරක යතුරු සත්‍යාපනය හා පරිශීලක සත්‍යාපනය වෙනත් ඕනෑම තැනකින් මෙන් තවමත් බලපායි.

පළමුව ධනාත්මක අවස්ථාව පරීක්ෂා කරන්න: A සිට B ගේ උමං ලිපිනයට නව SSH සම්බන්ධතාවක්, අපේක්ෂිත සත්කාරක යතුර සමඟ පිළිගැනේ. ඉන්පසු වෙනත් සමසේවකයෙකු හෝ වෙනත් වරායක් පරීක්ෂා කර එය ප්‍රතික්ෂේප වන බව තහවුරු කරන්න, මන්ද නිහඬව සියල්ලට ඉඩ දෙන අවසරයක් එය වැදගත් වන තෙක් ක්‍රියා කරන එකකින් වෙන් කරගත නොහැක. එම පරීක්ෂණයේ දෙකොටසම අවශ්‍ය වන අතර, දෙවැන්නයි මිනිසුන් මගහරින්නේ.

පවරන ලද ලිපින, ග්‍රාහක දෙකෙහිම සැබෑ මාර්ග, සහ සේවාදායකයේ හා B හි නිශ්චිත නීති සටහන් කරගන්න. ගේට්ටුවට සාර්ථක ping එකක් හෝ සේවාදායකයේ විවෘත වරායක් මින් කිසිවක් ඔප්පු නොකරයි, මන්ද සමසේවකයන් අතර යැවීම තවමත් අවහිරව ඇති විට දෙකම සත්‍ය විය හැක. එම සංඛ්‍යා උමං ඉහළින් ඇති විට ලියන්න, මන්ද නැවත සම්බන්ධ වූ පසු ග්‍රාහකයට ලැබෙන ලිපිනය වෙනත් එකක් විය හැක.