OpenVPN හරහා පොදු ප්‍රීෆික්ස්: ආපසු මාර්ගය නිවැරදි කරන්න
රවුට් කළ පොදු ප්‍රීෆික්ස් එකකට OpenVPN TUN සබැඳියක් හරහා ගමන් කළ හැක, නමුත් පිළිතුරු එම මාර්ගයෙන්ම ආපසු එිය යුතුය. ප්‍රීෆික්ස් එක පවරන්න සහ පොදු මූලාශ්‍ර ලිපිනය රැකගන්න.
ටනලය ඉහළ එන අතරේ සේවාලාභියා අනෙක් පැත්තට පිංග් කරන ආකාරය බලන්න, ඉන්පසු VPN පිටුපස තිබිය යුතු පොදු ලිපිනයක් වෙනත් තැනකින් පිළිතුරු දෙයි, නැතහොත් කිසිසේත් පිළිතුරු නොදෙයි. මෙම රෝග ලක්ෂණයට සාමාන්‍යයෙන් සයිෆරය හෝ සහතික සමඟ කිසිදු සම්බන්ධයක් නැත. සැපයුම්කරු රවුට් කරන ප්‍රීෆික්ස් එක IP මාර්ගයක් ලෙස ලබා දෙන අතර, එය OpenVPN හරහා ගෙන යාම යනු එම මාර්ගය කරුණු දෙකකින් නැවත නිර්මාණය කිරීම සහ ආපසු මාර්ගයේ මූලාශ්‍ර ලිපිනය රැක ගැනීමයි. WAN බ්‍රිජ් කිරීම අවශ්‍ය නැත, සහ ලිපිනය අතුරුමුහුණතකට එකතු කිරීම ඉහළ මාර්ගය නොසාදයි.
ප්‍රීෆික්ස් එක මුලින්ම ඔබ වෙත රවුට් විය යුතුය
සැපයුම්කරුගෙන් අසන්න බ්ලොක් එක ලබා දෙන ආකාරය. ඔබේ සේවාදායකයේ ප්‍රධාන ලිපිනයට රවුට් කරන ප්‍රීෆික්ස් එක, සැපයුම්කරු WAN කොටසක් මත සෘජුවම ළඟා වීමට අපේක්ෂා කරන ලිපිනවලින් වෙනස් දෙයකි. මෙහි ඇති නිර්මාණය සමඟ වැඩ කරන්නේ පළමු ආකෘතිය පමණි.
සැපයුම්කරු 198.51.100.64/28 ඔබේ පිවිසුම් සේවාදායකයට රවුට් කරන්නේ නම්, එම පරාසයේ පැකට් සේවාදායකයට පැමිණ ඔබ ඒවා ඉදිරියට යවන්නේ නැත්නම් එහි නතර වේ. සැපයුම්කරු ඒ වෙනුවට පරාසය ඔබේ උඩු සබැඳියට බ්‍රිජ් කරන්නේ නම්, සේවාදායකය ඒ සඳහා ARP පිළිතුරු දිය යුතුය, එය වෙනත් ගැටලුවකි.
OpenVPN ස්පර්ශ කිරීමට පෙර බෙදාහැරීමේ ආකෘතිය පරීක්ෂා කරන්න: පිටතින් බ්ලොක් එකේ ලිපිනයකට පිංග් කර එය කුමන අතුරුමුහුණතට ලැබෙන්නේද බලන්න. කිසිවක් නොපැමිණේ නම් ඕනෑම ටනල් වින්‍යාසයක් උපකාර නොකරයි. ලිපිනය WAN මත සෘජුවම පිළිතුරු දෙන්නේ නම්, සැපයුම්කරු රවුට් නොකර බ්‍රිජ් කරමින් සිටී, සහ පහත නිර්මාණය අදාළ නොවේ.
රවුටින් මට්ටම් දෙකක්: කර්නල් මාර්ගය සහ iroute
OpenVPN ට ප්‍රීෆික්ස් එක ස්ථාන දෙකක අවශ්‍යයි. ප්‍රීෆික්ස් එක ටනල් උපාංගයට අයත් බව කර්නලය දැනගත යුතුය, එවිට ඉදිරියට යවන පැකට් පෙරනිමි මාර්ගය වෙනුවට OpenVPN තුළට ඇතුළු වේ. තවද කුමන සත්‍යාපිත සේවාලාභියා ප්‍රීෆික්ස් එකට හිමිකම් කියන්නේද OpenVPN දැනගත යුතුය, එය සේවාලාභී-විශේෂිත නාමාවලියේ ඇති iroute සටහනයි.
සේවාදායක පැත්තේ මාර්ගය මෙසේ පෙනේ, ප්‍රීෆික්ස් එක සහ ආවරණය වෙන් කිරීමට ගැළපිය යුතුය:
ip route add 198.51.100.64/28 dev tun0සේවාලාභී-විශේෂිත වින්‍යාසය හිමිකම පවරයි. එය සේවාලාභී සහතිකයේ පොදු නාමයෙන් නම් කළ CCD ගොනුවේ තබන්න, සහ සේවාදායකය සැබවින්ම කියවන්නේ එම නාමාවලිය බව තහවුරු කරන්න:
iroute 198.51.100.64 255.255.255.240OpenVPN හි රවුට් කළ ජාල පිළිබඳ ලේඛනය මට්ටම් දෙක සහ ඒවා වෙන් වී ඇත්තේ ඇයි දැයි විස්තර කරයි. iroute නොමැති කර්නල් මාර්ගය පැකට් හිමිකරුවෙකු නොමැතිව ටනලයට යවයි, සහ OpenVPN ඒවා ඉවත් කරයි. කර්නල් මාර්ගය නොමැති iroute පැකට් සේවාදායකයේ පෙරනිමි මාර්ගයේ තබයි. දෙකම සේවාලාභි පැත්තෙන් කැඩුණු ටනලයක් මෙන් පෙනේ.
සේවා ලිපිනය පවතින තැන
පවරන ලද ප්‍රීෆික්ස් එක ටනලයේම ලිපිනයන්ට සමාන නොවේ. අවශ්‍ය නම් සබැඳිය පෞද්ගලික අවකාශයෙන් අංක කරන්න, සහ පොදු සේවා ලිපිනය සේවාව සැබවින්ම ක්‍රියාත්මක වන තැන තබන්න.
සේවාව දේශීයව අවසන් කරන Linux සේවාලාභියෙකු මත තනි සත්කාරක ලිපිනයක් ප්‍රමාණවත්ය:
ip address add 198.51.100.70/32 dev loප්‍රීෆික්ස් එක තවදුරටත් VM සත්කාරකයකට හෝ වෙනත් LAN එකකට රවුට් වන්නේ නම්, ඒ වෙනුවට එම පහළ මාර්ගය සහ එහි ආපසු මාර්ගය වින්‍යාස කරන්න. බ්ලොක් එකේ සෑම ලිපිනයක්ම VPN සේවාලාභියාට පැවරීම අවශ්‍ය නැත, සහ එය පසුව ගැටුම් ඇති කරයි.
ආපසු මාර්ගයේ පොදු මූලාශ්‍රය රැකගන්න
පවරන ලද ප්‍රීෆික්ස් එකෙන් පිළිතුරක් ටනලය හරහා පිටවී සැපයුම්කරුගේ මාර්ගයට ළඟා විය යුතුය. දුරස්ථ සත්කාරකය එය තමන්ගේම ISP හරහා යවන්නේ නම්, මූලාශ්‍ර ලිපිනය ව්‍යාජ ලෙස පෙනේ, සහ සැපයුම්කරු හෝ ගමනාන්තය එය ඉවත් කරයි. විසඳුම මූලාශ්‍රය පදනම් කරගත් නියමයක් හෝ කැපවූ රවුටින් වගුවක්, පුළුල් NAT එකක් නොවේ. එය නොමැතිව සේවාව ටනල් සහකරුගෙන් ක්‍රියා කර අනෙක් සෑම තැනකින්ම අසාර්ථක වේ.
පිවිසුම් සේවාදායකයේ පුළුල් masquerade නියමය සුපුරුදු වැරදිකරුය. එය පොදු මූලාශ්‍රය සේවාදායකයේ ප්‍රධාන ලිපිනයට නැවත ලියයි, සහ සේවාලාභියා සැබෑ එක කිසිදා නොදකී:
iptables -t nat -S POSTROUTINGNAT එය අවශ්‍ය පෞද්ගලික VPN සේවාලාභීන්ට පමණක් සීමා කර පවරන ලද ප්‍රීෆික්ස් එක පරිවර්තනය නොකර තබන්න. ඉන්පසු සේවාදායකය ප්‍රීෆික්ස් එක කෙසේ හෝ ඉදිරියට යවන්නේද යන්න තහවුරු කරන්න, මන්ද පෙරනිමි ප්‍රතික්ෂේප ඉදිරියට යැවීමේ දාමය එය නිශ්ශබ්දව ඉවත් කරයි.
එය විශ්වාස කිරීමට පෙර දිශා දෙකම සත්‍යාපනය කරන්න
සත්‍යාපනය යනු එකක් නොව පරීක්ෂණ හතරකි. සැපයුම්කරුගේ මාර්ගය පැමිණෙන බව, කර්නලය ප්‍රීෆික්ස් එක ටනලයට යවන බව, OpenVPN එය නිවැරදි සේවාලාභියාට ආරෝපණය කරන බව, සහ පිළිතුර පොදු මූලාශ්‍රය සමඟ සුරක්ෂිතව ආපසු එන බව තහවුරු කරන්න. සෑම පරීක්ෂණයකටම එහිම විධානයක් ඇත, එබැවින් අසාර්ථකත්වය මුළු නිර්මාණයට නොව එක් ස්ථරයකට යොමු කරයි. සෑම වින්‍යාස වෙනසකට පසුව ඒවා එම අනුපිළිවෙලින් ධාවනය කරන්න.
පවරන ලද ලිපිනය කුමන මාර්ගයක් ගන්නේද කර්නලයෙන් අසන්න, සහ ඉල්ලීමක් ක්‍රියාත්මක වන අතරේ ටනලය නිරීක්ෂණය කරන්න:
ip route get 198.51.100.70
sudo tcpdump -ni tun0 host 198.51.100.70ප්‍රතිලෝම මාර්ග පෙරීම නිවැරදි මාර්ගයක් අවලංගු කළ හැක. ටනලයේ සහ උඩු සබැඳියේ ඵලදායී සැකසුම පරීක්ෂා කරන්න, සහ දැඩි ප්‍රකාරය මූලාශ්‍රය පැමිණි අතුරුමුහුණතට නොගැළපෙන ගමනාගමනය ප්‍රතික්ෂේප කරන බව මතක තබා ගන්න:
sysctl net.ipv4.conf.tun0.rp_filter net.ipv4.conf.eth0.rp_filterඅවසාන වශයෙන්, අසාර්ථක අවස්ථාව පරීක්ෂා කරන්න. ටනලය නවත්වා පොදු ප්‍රීෆික්ස් එක සාමාන්‍ය උඩු සබැඳිය හරහා කාන්දු නොවන බව තහවුරු කරන්න. VPN නැවත පිහිටුවීමේදී සත්කාරකය විවෘත කරන තොටුපළ පුළුල් නොකර සේවාව ආපසු ගෙන ආ යුතුය.