OpenVPN iroute සහ කර්නල් මාර්ගය: කුමක් නැද්ද?

10.77.20.0/24 සඳහා වූ පැකට්ටුවක් OpenVPN සේවාදායකයක් මත වෙන වෙනම තීරණ දෙකක් ගනී: මෙහෙයුම් පද්ධතිය එය VPN අතුරුමුහුණතට භාර දිය යුතු අතර, OpenVPN එම පූර්වාංගය හිමි සම්බන්ධිත සේවාලාභියා කවුරුන්දැයි දැන සිටිය යුතුය. කර්නල් මාර්ගය නොමැති නම් පැකට්ටුව උමඟට පෙර වැටේ, සහකරු මාර්ගය නොමැති නම් ඉන් පසුව වැටේ. ඈත LAN සිට දෝෂ දෙකම එකම ලෙස පෙනේ, ඔබට කුමක් ඇත්දැයි රෝග විනිශ්චය කිරීමට දෙපසම එක් විධානය බැගින් අවශ්‍ය වේ.

සම්භාව්‍ය පරිශීලක අවකාශ දත්ත මාර්ගයේ කර්නල් මාර්ගය පැකට්ටුව උමඟ ක්‍රියාවලියට ගෙන එන අතර iroute එම ක්‍රියාවලියට එය ලබාගත යුතු සහකරු කවුරුන්දැයි කියයි. කිසිවක් අනෙක නියෝජනය නොකරයි, එකක් පමණක් ඇති වින්‍යාසය පළමු ping දක්වා සාධාරණ ලෙස පෙනේ.

තීරණ දෙකක්, එක් මාර්ගයක් නොවේ

10.77.20.0/24 එක් සේවාලාභියෙකු පිටුපස ඇති අඩවි-අඩවි සබැඳියක් සිතන්න. සේවාදායකයේ කර්නල් මාර්ගය, උදාහරණයක් ලෙස ip route add 10.77.20.0/24 dev tun0, ගැලපෙන පැකට්ටු උමඟ උපාංගයට යවයි. පසුව OpenVPN සේවාලාභියාගේ වින්‍යාස ගොනුවේ iroute ඇතුළත් කිරීම්වලින් ගොඩනගන ලද තමන්ගේම අභ්‍යන්තර වගුව බලා, කුමන සහකරු සම්බන්ධතාවය ඒවා ලබාගනීදැයි තීරණය කරයි. කර්නල් මාර්ගය නොමැතිව පැකට්ටුව කිසිදා ක්‍රියාවලියට නොපැමිණේ, සහකරු මාර්ගය නොමැතිව එය ක්‍රියාවලියට පැමිණ කොහේවත් නොයයි.

එම බෙදීම අමතක කිරීම පහසුය, මන්ද සේවාලාභී පැතිකඩක එක් මාර්ග පේළියක් කාර්යයන් දෙකම කරන බව පෙනිය හැක. එය නොකරයි: මාර්ගය තල්ලු කිරීම සේවාලාභීන්ට උමඟ හරහා යවන දේ කියයි, එහෙත් iroute සේවාදායකයට සේවාලාභියා පිටුපස ලිපින පරාසය කාටද යන්න කියයි. ඒවා වෙනස් ගොනුවල ජීවත් වේ, වෙනස් පැතිවලින් කියවේ, ප්‍රතිවිරුද්ධ දිශාවලින් අසාර්ථක වේ.

iroute කොහේද සහ එය කුමක් කියයිද

ඇතුළත් කිරීම සේවාලාභියාගේ common_name අනුව නම් කළ සේවාලාභී-එකකට ගොනුවක, client-config-dir යටතේ, iroute 10.77.20.0/24 ලෙස යයි. ගොනු නාම ගැලපීම අලංකාර නොවේ: OpenVPN සත්‍යාපිත අනන්‍යතාවය සොයා නියම එම නාමයෙන් ගොනුව කියවයි, එබැවින් site-a නම් ගොනුව එහි පොදු නාමය site-a වන සේවාලාභියාට පමණක් බලපායි. එවැනි ගොනුවක් නොමැති සේවාලාභීන් සම්පූර්ණයෙන්ම ප්‍රතික්ෂේප කළ යුතු නම් ccd-exclusive එකතු කරන්න; සෑම සේවාලාභියෙක්ම අඩවි ද්වාරයක් විට එය නිවැරදි සැකසුමයි. සෑම ද්වාරයකටම එක් ගොනුවක් තබා ඔබ සැබවින්ම නිකුත් කරන සහතික විෂයයෙන් එය නම් කරන්න.

ඈත LAN ට දොස් නගන්න පෙර සේවාදායකයේ සිට ඇතුළත් කිරීම පරීක්ෂා කරන්න. තත්ත්ව ගොනුව සම්බන්ධිත සේවාලාභීන් ඔවුන්ගේ පොදු නාම සමඟ ලැයිස්තුගත කරයි, සහ --verb 4 සමඟ ධාවනය වන සේවාදායකය සහකරු සම්බන්ධ වන විට iroute ස්ථාපනය වීම සටහන් කරයි. සම්බන්ධ වන විට කිසිවක් නොපෙනෙන්නේ නම්, ගොනුව වැරදි නාමාවලියේ හෝ වැරදි අනන්‍යතාවය නම් කරයි.

උගුල: ගොනුව ඇත, අනන්‍යතාවය වැරදියි

නිවැරදි ලෙස පෙනෙන iroute එකක් වැරදි සහකරුට සම්බන්ධ කළ විට නැති ගොනුවකට වඩා වැඩි කාලයක් නාස්ති කරයි, මන්ද තැටියේ සියල්ල නිවැරදි ලෙස පෙනේ. සහතික නැවත නම් කිරීම, ද්විත්ව පොදු නාම, සහ ඵලදායී අනන්‍යතාවය වෙනස් කරන username-as-common-name මේ සියල්ල උත්පාදනය කරයි. සේවාදායකය සත්‍යාපනය කළ අනන්‍යතාවය පරීක්ෂා කරන්න, ඔබ බලාපොරොත්තු වූ එක නොව: තත්ත්ව ප්‍රතිදානය අධිකාරී වේ, ගොනු නාමය නම් සෙවුම් යතුරක් පමණි.

මාර්ගයකට එහි හිමිකරුට වඩා ජීවත් විය හැක. ස්ථිතික මාර්ග සහ iroute ඇතුළත් කිරීම් ලබා ගැනීමේ සහතිකයක් නොව පූර්වාංගයක් විස්තර කරයි, එබැවින් රථවාහන දැනට විසන්ධි වී ඇති සහකරු වෙත දිගටම මාර්ගගත විය හැක.

සහකරුට ඔබ්බෙන් මාර්ගය සම්පූර්ණ කරන්න

සහකරු හිමිකාරිත්වය මාර්ගයේ මැදය, අවසානය නොවේ. සේවාලාභියා උමඟෙන් පැකට්ටු තම LAN වෙත යොමු කළ යුතුය, එනම් එම ධාරකයේ IP යොමු කිරීම සක්‍රීය ව සහ ගමන් අවසර දෙන firewall රීතියක් තිබිය යුතුය. ඈත LAN හි ධාරකවලට උමඟ ලිපිනය සඳහා ආපසු මාර්ගයක් අවශ්‍ය වේ: ද්වාරය වෙත ආපසු යොමු කරන මාර්ගයක් හෝ සේවාලාභී පැත්තේ හිතාමතා නිර්මාණය කළ NAT එකක්. බෙදාහැරීමේ පෙරනිමි අගය උපකල්පනය කරනවාට වඩා sysctl net.ipv4.ip_forward සමඟ සේවාලාභියාගේ යොමු සැකසුම තහවුරු කරන්න.

වෙනත් VPN සේවාලාභීන්ට එම උපජාලයට ළඟා විය යුතු නම්, විධිවිධානය නැවත වර්ධනය වේ: සේවාදායකයට client-to-client අවශ්‍ය වේ, සහ එම සේවාලාභීන් පූර්වාංගය උමඟ හරහා මාර්ගගත කළ යුතුය. ඉන් කිසිවක් සේවාදායකයේම මාර්ග වගුවෙන් අදහස් නොවේ.

සේවාදායකයෙන් නොව සැබෑ මූලාශ්‍රයකින් එක් ගමනාන්තයක් තහවුරු කරන්න. අදාළ නොවන LAN ධාරකයකින් සේවාලාභියා පිටුපස ධාරකයකට ping එකක් එක් චලනයකින් ආපසු මාර්ගය, යොමු රීතිය සහ සහකරු හිමිකාරිත්වය පරීක්ෂා කරයි, සාර්ථක handshake එකක් අනන්‍යතාවය පමණක් ඔප්පු කරයි. පසුව හිමි සහකරු විසන්ධි කර මාර්ගය කුමක් කරයිදැයි සටහන් කරන්න, මන්ද එම පිළිතුර ඔබේ අසාර්ථකත්ව ආකාරයයි.