Raspberry Pi මත VPN ද්වාරය: එක් ජාල කාඩ්පතක් හෝ වෙනම සේවාදායක පෝටයක්
එක් Pi පෝටයකට තෝරාගත් සේවාදායකයින්ට සේවය කළ හැක, නැතහොත් දෙවන පෝටයකට උපාංග ඇතුළත වසා දැමිය හැක. හුදකලා කිරීම, ආපසු වැටීමේ ප්‍රතිපත්තිය සහ DNS කා සතුද යන්න මත පදනම්ව සැලසුම තෝරන්න.
ඔබට එක් Pi එකක්, ක්‍රියාකාරී පිටවන VPN පැතිකඩක් සහ එය හරහා අන්තර්ජාලයට ළඟා විය යුතු උපාංග දෙකක් ඇත. මුළු ඉදිකිරීමම තීරණය කරන ප්‍රශ්නය කුමන මාර්ගෝපදේශය අනුගමනය කළ යුතුද යන්න නොව, ඔබට කොපමණ හුදකලා කිරීමක් අවශ්‍යද යන්නයි. එක් පෝටයක් Pi හට එම උපාංග අසල රවුටරයේ LAN එකේ සිටීමට සහ අමතර ද්වාරයක් ලෙස ක්‍රියා කිරීමට ඉඩ දෙයි; දෙවන පෝටය Pi එකම පිටවීම වන කොටසක ඒවා තැබීමට ඉඩ දෙයි. එම තේරීමෙන් පසු සියල්ල — DHCP, ෆයර්වෝලයේ විෂය පථය, DNS, බාධාවේ අවස්ථාව — එයින්ම පැමිණේ.
සැලසුම් දෙක ඇත්තෙන්ම වෙනස් වන්නේ කුමකින්ද
සැලසුම් දෙකම මාර්ගගත කරයි. වෙනස වන්නේ කේබලයේ තවත් කවුද සිටින්නේ සහ ඔබේ ප්‍රතිපත්තිය වැරදි විට කුමක් සිදුවේද යන්නයි.
| Layout A: Pi on the ISP LAN | Layout B: dedicated client port | |
|---|---|---|
| Cabling | One Ethernet port, existing switch port | Two interfaces: uplink plus a separate LAN port |
| Can a client bypass the Pi? | Yes, by using the ISP router as its gateway | No, unless the device has another radio or link |
| Who hands out addresses | The ISP router, with a per-client setting or a DHCP option | The Pi, on its own LAN interface only |
| Blast radius of a mistake | Any LAN host, if a rule is too broad | The attached segment |
| Good fit for | One laptop, a console, a temporary test client | Appliances, always-on boxes, untrusted devices |
සැබෑ අක්ෂය හුදකලා කිරීමයි. සැලසුම A උපදේශාත්මකය: DHCP ලබා දුන් ද්වාරය නොසලකා හැර රවුටරය තෝරන උපාංගය ගුප්තකේතනයකින් තොරව තවමත් ක්‍රියා කරයි. සැලසුම B ස්ථල විද්‍යාවෙන් බලාත්මක කෙරේ, මන්ද තෝරා ගැනීමට වෙනත් ඊළඟ පියවරක් නොමැති බැවිනි.
සැලසුම A: පවත්නා LAN එකේ අමතර ද්වාරයක් ලෙස Pi
ISP රවුටරය 192.168.50.1 යැයි, Pi 192.168.50.2 යැයි, සහ තෝරාගත් සේවාදායකයින් Pi දෙසට යොමු වන බව උපකල්පනය කරන්න. වැදගත් වන්නේ වෙනස් පැකට් ප්‍රවාහ දෙකක් එකම කේබලයක් බෙදා ගැනීමයි. සේවාදායකයාගේ අභ්‍යන්තර පැකට්ටුව Pi වෙත ළඟා වන අතර උමඟ හරහා පිටවිය යුතුය; Pi හිම ගුප්තකේතිත පැකට්ටුව VPN සහකරු වෙත එම කේබලයෙන්ම රවුටරය දෙසට පිටවිය යුතුය. ඒවා එකම අතුරුමුහුණතේ ප්‍රතිවිරුද්ධ දිශාවලට ගමන් කරන අතර වෙනස් හැසිරවීමක් අවශ්‍ය වේ.
Pi හට එහි ලිපිනය ස්ථාපිත ජාල කළමනාකරු හරහා දෙන්න, උපාංගය සඳහා එය සමඟ සටන් කරන පැරණි අතුරුමුහුණත-ගොනු වට්ටෝරුවකින් නොව. පසුව සේවාදායකයින් සකසන්න: එක් උපාංගයක ස්ථිතික ද්වාරයක්, නැතහොත් 192.168.50.2 රවුටරය ලෙස ලබා දෙන DHCP වෙන් කිරීමක්. උපාංග දෙකක් සඳහා රවුටරයේ මුළු DHCP පරාසයම වෙනස් නොකරන්න, සහ සේවාදායකයා එම විකල්පයට ගරු කරන බව නොසිතන්න — එය තහවුරු කරන්න.
දුර්වලතාව ව්‍යුහාත්මකය, සුවපත් කළ නොහැක. එම කොටසේ ඕනෑම සේවාදායකයෙකුට 192.168.50.1 දෙසට යොමු වී විවෘතව පිටවිය හැක, සහ දෙවන අතුරුමුහුණතක් හෝ ජංගම ගුවන්විදුලියක් ඇති උපාංගයක් ඔබේ බලාත්මක කිරීමේ මාර්ගය සම්පූර්ණයෙන්ම හැර යයි. එම වාක්‍යය අදාළ උපාංගයට පිළිගත නොහැකි නම්, පිළිතුර දැනටමත් ඔබ සතුය: සැලසුම B භාවිතා කරන්න.
සැලසුම B: වෙනම පෝටයක් උපාංග ඇතුළත වසා දමයි
මෙහි Pi ඉහළ සබැඳියේ ද්වාරය 192.168.50.1 සමඟ 192.168.50.2 රඳවා ගන්නා අතර, සම්බන්ධිත උපාංග සඳහා දෙවන අතුරුමුහුණතේ 10.20.0.1/24 ගනී. දැන් Pi ජාල දෙකක් සහිත රවුටරයක් වන අතර, සම්බන්ධිත කොටසට හරියටම එක් පිටවීමක් ඇත.
කැපවීමට පෙර පරාසය අනෙක් සියල්ල සමඟ පරීක්ෂා කරන්න: උමඟේම උපජාලය, වෙනත් අඩවි-අතර උපසර්ග, සහ VPN හරහා ළඟා විය හැකි සියල්ල. දුරස්ථ LAN එකක් සමඟ ගැටෙන 10.20.0.0/24 රාත්‍රියක් රෝග විනිශ්චයට ගත වන අර්ධ-ක්‍රියාකාරී ප්‍රතිඵලයක් ලබා දෙයි. දෙවන පෝටය USB අනුවර්තකයක් නම්, එය සහාය දරන බව තහවුරු කර නැවත ඇරඹීමෙන් පසු නැවත සැකසීම ඔබේ LAN ලිපිනය නොසෙල්වීමට එහි නම ජාල කළමනාකරු තුළ සවි කරන්න.
DHCP ශ්‍රෝතෘව එම අතුරුමුහුණතේ පමණක් ධාවනය කරන්න. ඉහළ සබැඳියේ පිළිතුරු දෙන සේවාදායකය ISP රවුටරය සමඟ තරඟ කර ඔබේ කොටසේ ලිපින නිවසේ අනෙක් කොටසට ලබා දෙයි. එය LAN අතුරුමුහුණතට බැඳ, ප්‍රකාශිත පරාසයට සීමා කර, Pi හිම ලිපිනය තටාකයෙන් පිටත තබන්න.
ඉදිරියට යැවීම, පරිවර්තනය සහ අසාර්ථක විට වැසෙන රීතිය
කරුණු හතරක් බොහෝ විට එකක් ලෙස විස්තර කෙරේ, නමුත් එකක් නොවේ. ඉදිරියට යැවීම සක්‍රීය කිරීම (net.ipv4.ip_forward=1) කර්නලයට කියන්නේ එයට අතුරුමුහුණත් අතර පැකට් ගෙන යා හැකි බව පමණි; එය විසින්ම කිසිවක් අවසර නොදෙන අතර කිසිදු මාර්ගයක් සහතික නොකරයි. පිටවීම තේරීම මාර්ගගත කිරීමේ තීරණයකි. පැකට්ටුවට අවසර දීම forward දාමයේ ප්‍රතිපත්ති තීරණයකි. එහි මූලය නැවත ලිවීම postrouting තීරණයකි. පළමු එක පමණක් කරන ඉදිකිරීම සේවාදායක රථවාහන ඉහළ සබැඳියෙන් පිටතට සතුටින් යවන Pi එකක් ලබා දෙයි.
අවසරය ඔබ අදහස් කළ මූලාශ්‍රවලට සහ රථවාහන භාවිත කළ යුතු අතුරුමුහුණතට සීමා කර, ආපසු මාර්ගය සහ Pi හට අවශ්‍ය ගමනාන්ත ඇතුළත් කරන්න. පසුව සැපයුම්කරු ඔබේ LAN උපසර්ගය ඔබ වෙත ආපසු මාර්ගගත නොකරන්නේ නම් උමඟේ පිටවීමේදී පරිවර්තනය කරන්න. nftables අත්පොත ඉදිරියට යැවීම, දේශීය ප්‍රතිදානය සහ මූලාශ්‍ර-පරිවර්තනය වෙන වෙනම ක්‍රියා ලෙස සලකයි, එය මෙහි නිවැරදි චින්තන ආකෘතියයි.
සාමාන්‍ය අසාර්ථකත්වය භෞතික අතුරුමුහුණතේ පුළුල් masquerade රීතියකි. එවිට රථවාහන ISP මාර්ගයෙන් අන්තර්ජාලයට ළඟා වන අතර, සේවාදායකයාගේ පැත්තෙන් එය ක්‍රියාකාරී VPN එකක් මෙන් හරියටම පෙනේ. එය කිසිවක් ඔප්පු නොකරයි. පරිවර්තනය ප්‍රකාශිත පිටවීමට බැඳ තබා, රීති සත්කාරකය දැනටමත් භාවිත කරන ෆයර්වෝලයේම තබන්න, හවුල් postrouting දාමය හිස් කරන තරඟකාරී රීති කට්ටලයක් එකතු කිරීම වෙනුවට.
පසුව උමඟ නොමැති වීම හසුරුවන්න. පුළුල් පෙරනිමි මාර්ගයක් ස්ථාපනය කරන සේවාදායක පැතිකඩක් යනු උමඟ වැටෙන විට සාමාන්‍ය පෙරනිමිය ආපසු ඒමට හැකි බවත් සේවාදායක රථවාහන නිහඬව ඉහළ සබැඳියට ආපසු යන බවත් ය. එහිදී පැහැදිලි පෙළට ආපසු යාම පිළිගත නොහැකි විට, එහිදී forward ප්‍රතිපත්තිය සේවාදායකයාගෙන් ඉහළ සබැඳියට යන රථවාහන පැහැදිලිව ප්‍රතික්ෂේප කළ යුතුය, VPN මාර්ගය ගොස් ඇති තත්ත්වයේ. එය උපකල්පනයක් ලෙස නොව, ප්‍රතික්ෂේප රීතියක් ලෙස ලියන්න. Pi හිම VPN සහකරු වෙත ගුප්තකේතිත ප්‍රවාහනය වෙනම local-output ප්‍රවාහයක් වන අතර අවසර ලත් ලෙස පැවතිය යුතුය, එසේ නොවුනහොත් උමඟ කිසිදා ආපසු පැමිණිය නොහැක.
DNS සහ IPv6 ට තමන්ගේම පිළිතුරක් අවශ්‍යයි
සේවාදායකයින් Pi විසඳුම්කරු ලෙස භාවිත කරන්නේ නම්, ඔවුන් දේශීය ශ්‍රෝතෘවක් වෙත ළඟා වන අතර Pi නව විමසුමක් ආරම්භ කරයි. එම ඉහළ විමසුම සේවාදායකයින් සඳහා ඔබ ලියූ forward රීතිය නොව, Pi හිම මාර්ගය අනුගමනය කරයි, එබැවින් උමඟ හරහා පමණක් යන සේවාදායක මාර්ගය සහ සෘජුවම පිටවන විසඳුම්කරු — මෙය කිසිදු දෝෂ පණිවිඩයක් නොමැති කාන්දුවකි. හිතාමතා තීරණය කරන්න: උමඟ හරහා ළඟා වන විසඳුම්කරුවෙක්, නැතහොත් සෘජු ලෙස පිළිගන්නා දේශීය විසඳුම්කරුවෙක්, සහ Pi හිම ප්‍රතිදාන ප්‍රතිපත්තිය එම තීරණයට ගැලපෙන්න.
IPv6 නැවතත් වෙනම අවස්ථාවකි. IPv4 සඳහා forward රීතිය IPv6 සම්බන්ධයෙන් කිසිවක් සීමා නොකරයි, සහ ඉහළ සබැඳියේ රවුටර නිවේදන Pi හට, සහ එය හරහා සම්බන්ධිත කොටසට, ඔබේ ප්‍රතිපත්තිය මග හරින දෙවන පෙරනිමියක් ලබා දිය හැක. එක්කෝ එම මූලධර්මයෙන්ම IPv6 ට තමන්ගේම ආරක්ෂිත මාර්ගයක් දෙන්න, නැතහොත් සේවාදායක කොටසේ එය පැහැදිලිව සීමා කර එසේ කියන්න.
විශ්වාස කිරීමට පෙර මායිම පරීක්ෂා කරන්න
සැලසුම පිළිගන්නේ වෙන වෙනම පරීක්ෂණ හතරකින් පසුව පමණි, මන්ද ආකර්ෂණීය තනි පරීක්ෂණය — එක් සේවාදායකයක බ්‍රවුසරයක් විවෘත කිරීම — කැඩුණු තත්ත්ව කිහිපයකදී සමත් වේ.
එක් සැබෑ සේවාදායකයෙක් උමඟ හරහා අන්තර්ජාලයට ළඟා වන බව තහවුරු කරන්න, පසුව එම සේවාදායකයාම උමඟ පහළ ඇති විට අන්තර්ජාලයට ළඟා විය නොහැකි බව තහවුරු කරන්න. DNS විසඳීම ක්‍රියා කරන බවත් විමසුම ඔබ අදහස් කළ තැනින් පිටවන බවත් තහවුරු කරන්න. උමඟ නැවත ආරම්භ කිරීමෙන් පසුවත් Pi හිම ප්‍රවාහනය ක්‍රියා කරන බවත්, ප්‍රකෘතියට යන්ත්‍රය නැවත ඇරඹීම අවශ්‍ය නොවන බවත් තහවුරු කරන්න. අවසාන වශයෙන්, ඔබ තෝරා නොගත් උපාංගයක් පරීක්ෂා කරන්න: සැලසුම A තුළ එය සාමාන්‍ය ලෙස දිගටම ක්‍රියා කළ යුතුය, සහ සැලසුම B තුළ එය එම කොටසේ කිසිසේත් නොතිබිය යුතුය.
- පෝට දෙකක් සහ ප්‍රතික්ෂේප රීතියක් බලාත්මක කිරීම ලබා දෙයි; එක් පෝටයක් සහ DHCP විකල්පයක් උපදෙස් ලබා දෙයි.
- වැරදි අතුරුමුහුණතේ පරිවර්තනය සාර්ථකත්වයක් ලෙස පෙනේ, එය එසේ නොවේ.
- Pi හිම රථවාහන, DNS සහ IPv6 එක් එක් තීරණයක් අවශ්‍ය වේ, අනුමානයක් නොවේ.