OpenWrt VPN කලාපය, යොමු කිරීම සහ ලිපින සැඟවීම: කුමක් අවශ්‍යද?
කලාප ආදානය, යොමු කිරීම සහ ලිපින සැඟවීම විවිධ ප්‍රශ්නවලට පිළිතුරු දෙයි. WAN කලාපය විවෘත කිරීමට පෙර ඔබේ VPN ට්‍රැෆික් එකට කුමක් අවශ්‍යදැයි තීරණය කරන්න.
VPN එකක් OpenWrt හමුවන සෑම විටම වෙනස්කම් තුනක් එකට මිශ්‍ර වේ: පෝට් එකක් විවෘත කිරීම, යොමු කිරීමට අවසර දීම සහ ලිපින සැඟවීම සක්‍රීය කිරීම. ඒවා විවිධ ප්‍රශ්නවලට පිළිතුරු දෙන අතර සාමාන්‍යයෙන් ඉන් එකක් පමණක් සැබෑ අවශ්‍යතාවය වේ. එක් එක් පාලනය එය මෙහෙයවන ට්‍රැෆික් භූමිකාව අනුව කියවීම අනුමානයක් තීරණයක් බවට පත් කරයි, වෙනස්කම් වැරදි විට අපේක්ෂා කළ යුතු රෝග ලක්ෂණය ද එය පවසයි. ඔබට මතක ඇති ලකුණු කොටුව නොව අසාර්ථක වූ භූමිකාවේ නම කියමින් ආරම්භ කරන්න.
පාලනයක් ස්පර්ශ කිරීමට පෙර ට්‍රැෆික් භූමිකාව නම් කරන්න
කලාප ආදානය තීරණය කරන්නේ රවුටරයටම කුමක් ළඟා විය හැකිද යන්නයි. කලාප ප්‍රතිදානය රවුටරය විසින්ම නිපදවන ට්‍රැෆික් ආවරණය කරයි, කලාප යොමු කිරීම කලාපයක් හරහා ගමන් කරන ට්‍රැෆික් සඳහා පෙරනිමි අගය වන අතර ලිපින සැඟවීම පිටවීමේදී මූල ලිපිනය නැවත ලියැවෙන්නේද යන්න තීරණය කරයි. මේවා විවිධ ප්‍රශ්න හතරකි, කලාප ප්‍රතිපත්තියක් එකම අගයෙන් හතරටම එකවර පිළිතුරු දෙයි, එබැවින් මුළු කලාපයම වෙනස් කිරීම ගොරෝසු මෙවලමකි. නම් කළ රීතියකට ඉතිරි ඒවා ස්පර්ශ නොකර ඉන් එකකට පිළිතුරු දිය හැකිය.
ප්‍රයෝජනවත් සිතියම ට්‍රැෆික් භූමිකාව අනුව වේ, යමක් අසාර්ථක විට ඔබට නිරීක්ෂණය කළ හැක්කේ එයයි. පහත සෑම භූමිකාවකටම එය තීරණය කරන එක් පාලනයක් සහ එයට යොමු කරන එක් රෝග ලක්ෂණයක් ඇත:
| Traffic role | Control that decides it | Where it lives in the config | Symptom when it is wrong |
|---|---|---|---|
| A client reaching a listener on the router | Input policy of the zone that carries the connection, or a rule for the port | option input in the zone stanza, or a named rule | The handshake never completes and the tunnel log says nothing |
| A tunnel client reaching the router itself | Input policy of the tunnel zone | option input in the VPN zone | A ping to the gateway fails |
| A tunnel client reaching another LAN host | Forwarding from the tunnel zone to the LAN zone | config forwarding plus the zone assignment | The gateway answers and the file share times out |
| The router's own traffic leaving the WAN | Output policy, and translation if the far side needs it | option output and option masq | The tunnel never establishes, or replies vanish |
රවුටරයේ සවන් දෙන්නෙකුට එක් පටු ආදාන රීතියක් අවශ්‍යයි
රවුටරයේ ඇති OpenVPN සේවාදායකය රවුටරයට යොමු කළ ට්‍රැෆික් ලබා ගනී, එබැවින් එහි බාහිර සම්බන්ධතාවය එය රැගෙන යන කලාපයේ ආදාන ප්‍රතිපත්තිය මත රඳා පවතී. වින්‍යාසගත ප්‍රවාහනය සහ පෝටයට අවසර දී එම කලාපයේ අනෙක් සියල්ල ප්‍රතික්ෂේප කර තබන්න. එක් පෝට් රීතියක් මුළු කලාපයේ අවසරයට වඩා බෙහෙවින් කුඩා වෙනසක් වන අතර වසරකට පසුවත් ඔබට පැහැදිලි කළ හැක්කේ එයයි.
එම රීතිය තබා ගැනීම ආරක්ෂිත කරන කරුණු දෙකක් ඇත: එය සේවාව ඇත්තටම භාවිත කරන පෝටය නම් කරයි, සහ එය කලාප අර්ථ දැක්වීම අසල පිහිටයි, එවිට ඊළඟ පුද්ගලයාට එය ඇති වූයේ ඇයිදැයි පෙනේ. පහත පේළි හුදෙක් හැඩය පමණක් වන අතර පෝටය සේවාදායකයේ වින්‍යාසගත කළ දෙය නියෝජනය කරයි. සේවාව ස්ථාන මාරු වන විට එම පෝටය ස්ථාන දෙකම වෙනස් කරන්න, මන්ද පැරණි එකේ රැඳුණු රීතියක් විගණනයක් දක්වා නොපෙනේ.
config zone
option name 'wan'
option input 'REJECT'
option forward 'REJECT'
option output 'ACCEPT'
option masq '1'
config rule
option name 'allow-openvpn'
option src 'wan'
option proto 'udp'
option dest_port '1194'
option target 'ACCEPT'නැවත පූරණය කිරීමට පෙර තහවුරු කරන්න, මන්ද ෆයර්වෝල් ගොනුවක වාක්‍ය ව්‍යූහ දෝෂයක් රවුටරය ක්‍රියාකාරී රීති කට්ටලයක් නොමැතිව තැබිය හැකිය. fw4 භාවිත කරන නිකුතුවක පරීක්ෂාව වෙනම විධානයක් වන අතර එය බිඳුණු කොටස නිහඬව පිළිගැනීම වෙනුවට ශබ්දයෙන් අසාර්ථක වේ. පරීක්ෂාව සමත් වූ පසුව පමණක් නැවත පූරණය කරන්න, සහ පෙර ගොනුව නැවත තැබිය හැකි තැනක තබන්න.
fw4 check
service firewall reloadසේවාලාභී ඉල්ලීම ආදානය හරහා නොව යොමු කිරීම හරහා ගමන් කරයි
සත්‍යාපනයෙන් පසු, LAN සේවාවක් ඉල්ලන ටනල් සේවාලාභියාගේ ඉල්ලීම යොමු කළ ප්‍රවාහයක් නිපදවයි, එබැවින් එය තීරණය කරන පාලනය ටනල් කලාපය සහ LAN කලාපය අතර යොමු කිරීමේ සම්බන්ධතාවයයි. ටනල් අතුරුමුහුණත අපේක්ෂිත කලාපයට පවරන්න, පසුව දිශාව, මූලාශ්‍ර සහ සේවාව ප්‍රකාශ කරන්න. කලාප පැවරීම යොමු කිරීමේ රීතියට අර්ථය දෙන දෙය වන අතර දෙකම එකට කියවූ විට පමණක් අර්ථවත් වේ. ටනල් කලාපය මූලාශ්‍රය සහ LAN කලාපය ගමනාන්තය ලෙස නම් කරන යොමු කිරීමේ සම්බන්ධතාවය එක් හිතාමතා ගත් තීරණයක් ලෙස කියවෙන අතර මුළු කලාපයේ අවසර දෙකක් අනතුරක් ලෙස කියවේ.
රවුටරයටම ළඟා වීම තවමත් ආදාන මාර්ගය භාවිත කරයි, එබැවින් ගේට්වේ වෙත ping කිරීම එහි පිටුපස ඇති ගොනු බෙදාගැනීම ගැන කිසිවක් නොකියයි. එම අසාර්ථකකම් දෙක විවිධ කොටස්වල ජීවත් වන අතර විවිධ වෙනස්කම්වලින් නිවැරදි වේ. එකක් හෝ වෙනස් කිරීමට පෙර මාර්ග දෙකම වෙන වෙනම ලියන්න.
ලිපින සැඟවීම මාර්ගගත කිරීමේ තීරණයක් මිස අවසරයක් නොවේ
ලිපින සැඟවීම තෝරාගත් පිටවන ට්‍රැෆික්වල මූල ලිපිනය නැවත ලියයි. දුර පැත්තට ආපසු මාර්ගයක් නොමැති පිටවීම් සැලසුමක් එයට ගලවා ගත හැකි අතර ලිපින සටහන් කරන හෝ ලිපිනය අනුව අවසර දෙන ඕනෑම සේවාවකින් තනි සේවාලාභීන්ගේ ලිපින ද එය සඟවයි. එය අක්‍රීය කිරීම ආපසු මාර්ගය ගැන මාර්ගගත කිරීමේ තේරීමක් මිස ඇතුළත සිදුරක් වසන ආරක්ෂක ස්විචයක් නොවේ. පරිවර්තනය සක්‍රීයව ඇතිව ක්‍රියා කර එය අක්‍රීය කරන මොහොතේම අසාර්ථක වන ටනලයකට සාමාන්‍යයෙන් ආපසු මාර්ගයක් නොමැති වන අතර ෆයර්වෝල් රීතියක් නොමැති නොවේ.
මාර්ගගත කළ විකල්පයට පරිවර්තනය වෙනුවට දුර පැත්තේ ආපසු මාර්ගයක් අවශ්‍යයි. කිසිදු විකල්පයක් ෆයර්වෝල් අවසරය හෝ යෙදුම් ගිණුම ලබා නොදෙයි, එබැවින් ලිපින සැඟවීම අක්‍රීය කිරීම කොතැනකවත් ළඟා නොවන ටනල් සේවාලාභියෙකු සුවපත් කරන්නේ කිසි විටෙකත් පාහේ නොවේ. IPv4 සහ IPv6 ප්‍රතිපත්ති ද වෙන වෙනම සලකන්න, මන්ද එක් පරිවර්තන සැකසුමක් පවුල් දෙකම විස්තර නොකරයි.
අවසර දුන් සහ ප්‍රතික්ෂේප කළ ඉල්ලීමකින් තීරණය ඔප්පු කරන්න
අවසර දිය යුතු එක් ඉල්ලීමක් සහ ප්‍රතික්ෂේප කළ යුතු එක් ඉල්ලීමක් යවන්න, පසුව එක් එක් තීරණය ගත් පාලනය හඳුනා ගන්න. අහම්බෙන් පූරණය වන පිටුවක් සාක්ෂියක් නොවේ; සාක්ෂිය යනු ගැළපුණු රීතියයි, එය ගැළපුණු දාමය තුළය. ප්‍රතික්ෂේපය සාර්ථකත්වය තරම්ම වැදගත් වේ, මන්ද සියල්ලට අවසර දී ඇති බව නොව ප්‍රතිපත්තිය යමක් කරන බව එය පෙන්වයි.
වර්තමාන නිකුතුවක විධාන දෙකක් ඔබට එම සාක්ෂිය ලබා දෙයි. ඉල්ලීම පිළිගත් විට ගැළපෙන රීතියේ ගණකය චලනය වන අතර රීතිය සඳහා ලොග් කිරීම සක්‍රීය කර ඇත්නම් ලොගය බැහැර කිරීම පෙන්වයි:
nft list chain inet fw4 forward_wan
logread -f | grep -i -E 'DROP|REJECT'කිසිදු ෆයර්වෝල් ප්‍රතිපත්තියක් වෙනස් කිරීමට පෙර තවමත් භාවිත කළ හැකි පරිපාලන මාර්ගයක් රඳවා ගන්න, සහ වින්‍යාසයේ හිමිකරුගේ තහවුරු කිරීම සහ ආපසු හැරවීමේ ක්‍රියාවලිය අනුගමනය කරන්න. ඔබව රවුටරයෙන් එළියේ අගුළු දමන වෙනසක් පරීක්ෂණ ප්‍රතිඵලයක් නොවේ, එය දෙවන සිදුවීමකි. එක් එක් නිරීක්ෂණය අසල කලාපය සහ ට්‍රැෆික් භූමිකාව සටහන් කරන්න, එවිට ප්‍රතිඵල යුගලය වාසනාවන්ත පිටු පූරණයක් විස්තර කරනවා වෙනුවට ප්‍රතිපත්තිය පැහැදිලි කරයි.