VPN හරහා එක් පෞද්ගලික උපජාලයක් පමණක් යැවීමේ ක්‍රමය

උමග හරහා එක් පෞද්ගලික උපජාලයක් පමණක් යැවීම සහ අනෙක් සියල්ල ඔබේ සාමාන්‍ය මාර්ගයෙන් යැවීම කුඩා ඉල්ලීමක් වුවත් වැරදි කිරීමට බොහෝ මාර්ග ඇත. ප්‍රතිඵලය තීරණය කරන්නේ split tunneling නම් සලකුණු පෙට්ටිය නොව, තීරණය ක්‍රියාත්මක වන්නේ කොහේ ද යන්නයි: සේවාලාභියාගේම මාර්ග වගුවේ, සේවාදායකය තල්ලු කරන මාර්ගයේ, නැතහොත් දෙකෙළවර සාකච්ඡා කරන ප්‍රතිපත්තියේ. වැරදි ස්තරය තෝරන්නේ නම් ඔබට කිසිදා නොසිතූ සම්පූර්ණ උමගක් හෝ අනෙක් පැත්ත පිළිගැනීමට ප්‍රතික්ෂේප කරන උමගකට යන මාර්ගයක් ලැබේ. ඕනෑම වින්‍යාසයක් විවෘත කිරීමට පෙර මම කොන්දේසි තුනක පරීක්ෂණයක් භාවිත කර, පසුව පහත එක් ක්‍රමයක් තෝරමි.

නිර්මාණය තීරණය කරන කොන්දේසි තුන

පළමුව, ඔබට ජාලයේ හිමිකරුගෙන් නිශ්චිත උපසර්ගය සහ ආවරණය අවශ්‍යය. 10.x ජාලය උපසර්ගයක් නොවේ; 10.20.0.0/16 උපසර්ගයයි. එය ඔබේ නිවසේ LAN, Docker පාලම හෝ ඔබ ධාවනය කරන තවත් VPN සමඟ අතිච්ඡාදනය නොවන බව තහවුරු කරන්න, මන්ද අතිච්ඡාදනය මාර්ගය අපැහැදිලි කර කර්නලය ඔබ අදහස් නොකළ සටහන තෝරයි.

දෙවනුව, ආපසු එන රථවාහනයට පිළිතුරු දෙන්නේ කවුද. පැකට්ටුව උමගට යැවීම එය VPN සේවාදායකයට පමණක් ගෙන යයි. උපජාලය ඔබේ සේවාලාභී තටාකයට ආපසු මාර්ගයක් නොමැති තවත් රවුටරයක පිටුපස නම්, සේවාදායකය රථවාහනය වෙස් කළ යුතුය, නැතහොත් එම රවුටරය ඔබේ තටාකය ඉගෙන ගත යුතුය. සේවාලාභී පැත්තේ කිසිදු මාර්ගයක් නැති වූ ආපසු මාර්ගය නිවැරදි නොකරයි.

තෙවනුව, ක්‍රියාත්මක කරන ස්ථානය. සමහර සේවාලාභීහු මාර්ගයක් ස්ථාපනය කරති, ඉතිරිය මෙහෙයුම් පද්ධතිය කරයි. අනෙක් අය ප්‍රතිපත්තියක් සාකච්ඡා කරති, ගේට්ටුව පිළිනොගන්නා ප්‍රතිපත්තියක් කිසිම උමගක් නොසාදයි: පැකට්ටු පැහැදිලි දෝෂයක් නොමැතිව ඉවතට දමයි. කිසිවක් ලිවීමට පෙර මේ දෙකෙන් ඔබේ අවස්ථාව කුමක්ද යන්න සොයා ගන්න.

WireGuard: AllowedIPs යනු මාර්ග වගුවයි

සේවාලාභියා මත, AllowedIPs උමගට ඇතුළු විය හැකි ගමනාන්ත ලැයිස්තුගත කරයි, wg-quick සෑම සටහනක්ම සාමාන්‍ය මාර්ගයක් බවට පත් කරයි. එබැවින් මෙම කාර්යයේ සේවාලාභී අර්ධය එක් පේළියකි.

[Peer]
PublicKey = ...
Endpoint = vpn.example.net:51820
AllowedIPs = 10.20.0.0/16

දැන් එම සේවාලාභියා සඳහා සේවාදායකයේ සටහන සසඳන්න. එය සේවාදායකය සේවාලාභියාට යවන දේ විස්තර කරයි, එය සාමාන්‍යයෙන් සේවාලාභියාගේ උමග ලිපිනයයි, පෞද්ගලික උපජාලය නොවේ.

[Peer]
PublicKey = ...
AllowedIPs = 10.99.0.2/32

මේ දෙක මාරු කිරීම මට වැඩිපුරම දකින වැරැද්දයි. සේවාදායකයේ peer කොටස යටතේ 10.20.0.0/16 තැබීම කියන්නේ මුළු උපජාලයම එම සේවාලාභියා පිටුපස ඇති බවයි, එය අවසරයක් නොව අඩවියේ සිට අඩවියට යන දාවයකි. කිසිදු peer කෙනෙකුගේ AllowedIPs සමඟ නොගැළපෙන පැකට්ටු නිහඬව ඉවතට දමයි, එබැවින් වැරදි සටහනක් හරියටම ගිනි පවුරු ගැටලුවක් මෙන් පෙනේ.

ඔබම මාර්ග කළමනාකරණය කරන්නේ නම්, [Interface] යටතේ Table = off සකසා අවශ්‍ය මාර්ගය එකතු කරන්න. එවිට කිසිවක් ස්වයංක්‍රීයව එකතු නොවේ, එබැවින් මාර්ගය අතුරුමුහුණත ඔසවන දෙය තුළම තිබිය යුතුය.

OpenVPN: මාර්ගය තල්ලු කරන්න, පසුව එය ළඟා වූ බව තහවුරු කරන්න

සාමාන්‍ය සේවාදායකයක වෙනස වන්නේ සේවාදායක වින්‍යාසයේ සේවාලාභී තටාකය අසල ඇති එක් උපදෙසකි.

push "route 10.20.0.0 255.255.0.0"

සේවාලාභියා සම්බන්ධ වන විට එය එකතු කරයි. එම පැතිකඩම redirect-gateway ද තල්ලු කරන විට, නැතහොත් කවුරුන් හෝ දැනටමත් route-nopull එකතු කර ඇත්නම් අසාර්ථක රටාව පෙනේ: පළමුවැන්න සැසිය සම්පූර්ණ උමගක් කරයි, දෙවැන්න ඔබේ එක ඇතුළුව තල්ලු කළ සෑම මාර්ගයක්ම ඉවතට දමයි.

සම්පූර්ණ උමග සේවාදායකයකට එරෙහිව පටු හැසිරීමක් අවශ්‍ය සේවාලාභියෙකු නොඅවශ්‍ය කොටස් පමණක් නොසලකා හැරිය යුතුය. OpenVPN 2.4 සහ ඉන් පසු අනුවාදවල, pull-filter හරියටම ඒ සඳහාය.

pull-filter ignore "redirect-gateway"
route 10.20.0.0 255.255.0.0

ලිපින පවුල් වෙන් කර තබන්න: තල්ලු කළ IPv4 මාර්ගයක් IPv6 බවට විසඳෙන අභ්‍යන්තර සේවාවකට කිසිවක් නොකරයි, එම සේවාව උමග හරහා අසාර්ථක වන අතර අනෙක් සියල්ල හොඳින් පෙනේ.

පෞද්ගලික උපජාලය VPN සේවාදායකයේ නොව තවත් සේවාලාභියෙකු පිටුපස ඇති විට, සේවාදායකයට දැන්විය යුතුය. client-config-dir හරහා සෑම සේවාලාභියෙකුටම iroute 10.20.0.0 255.255.0.0 අඩංගු ගොනුවක් එකතු කරන්න, සමඟ ගැළපෙන route ද, අනෙක් සේවාලාභීහු මාර්ගය ඉගෙන ගැනීම සඳහා. iroute නොමැතිව එම උපසර්ගය හරියටම එම උමග හරහා යැවීමට සේවාදායකයට හේතුවක් නැත.

IPsec: රථවාහන තේරීම්කරුවන් එකඟ විය යුතුය

IPsec සමඟ තල්ලු කිරීමට මාර්ගයක් නැත. දෙකෙළවර උමග තුළ කුමන ලිපින තිබේද සාකච්ඡා කරයි, එකඟ වූ තේරීම්කරුවන්ට පිටත රථවාහනය සංකේතනය නොවේ හෝ එය හරහා නොයවයි. strongSwan සේවාලාභියා මත තේරීම්කරුවන් පැහැදිලිය.

leftsubnet=192.168.1.0/24
rightsubnet=10.20.0.0/16

ගේට්ටුව දෙපැත්තේම 0.0.0.0/0 සමඟ වින්‍යාස කර ඇත්නම්, IKEv2 පටු කිරීම සාමාන්‍යයෙන් දරු SA යාඥා දෙකේ ඡේදනයට අඩු කරයි, එය අවශ්‍ය ප්‍රතිඵලයයි. සමහර ගේට්ටු ඒ වෙනුවට තම වින්‍යාස කළ තේරීම්කරුවන්ට නොගැළපෙන යාඥාව ප්‍රතික්ෂේප කරයි, එවිට ලොගය මාර්ග පැමිණිල්ලක් නොව අසාර්ථක දරු SA පෙන්වයි. එසේ සිදු වූ විට වෙනස ගේට්ටුවට අයත් වේ, මන්ද සේවාලාභී මාර්ගයකට අනෙක් පැත්ත පිළිනොගන්නා තේරීම්කරුවෙකු සඳහා උමගක් සෑදිය නොහැක.

Windows මත ගොඩනඟන ලද සේවාලාභියා එම තීරණයම සැකසුම් දෙකක් පිටුපස සඟවයි. උමග බෙදීම ක්‍රියාත්මක විය යුතුය, උපසර්ගය පැතිකඩ මත ලියාපදිංචි විය යුතුය.

Set-VpnConnection -Name Office -SplitTunneling $true
Add-VpnConnectionRoute -ConnectionName Office -DestinationPrefix 10.20.0.0/16

උපසර්ගය ලියාපදිංචි කිරීම නැවත සම්බන්ධ වීමෙන් පසුවත් එය රඳවා ගනී, අතින් එකතු කළ මාර්ගයක් එය නොකරයි.

අන්ත ලක්ෂ්‍යය සහ DNS තීරණයෙන් පිටත තබන්න

VPN අන්ත ලක්ෂ්‍යය උමග නොමැතිව ළඟා විය හැකි විය යුතුය, නැතහොත් උමග තුළම කඩා වැටේ. යැවෙන්නේ 10.20.0.0/16 පමණක් නම් එය ස්වයංක්‍රීයයි, මන්ද අන්ත ලක්ෂ්‍යය පොදු ලිපිනයකි. සම්පූර්ණ උමග පැතිකඩක එය එසේ නොවේ, උමග ඉහළ එන්නට පෙර සේවාලාභියාට අන්ත ලක්ෂ්‍යයට පැහැදිලි ධාරක මාර්ගයක් අවශ්‍යය.

DNS යනු මාර්ග තල්ලු කිරීම ඔබ වෙනුවෙන් නොගන්නා දෙවන තීරණයයි. අභ්‍යන්තර නාම සාමාන්‍යයෙන් විසඳන්නේ පෞද්ගලික ජාලයට පමණක් ළඟා විය හැකි විසඳන්නෙකු හරහාය. සේවාදායකය DNS සේවාදායකයක් තල්ලු කරන්නේ නම් සෑම නාමයක්ම එය හරහා යයි; නොකරන්නේ නම් අභ්‍යන්තර නාම අසාර්ථක වේ හෝ පොදුවේ ඔබ අදහස් නොකළ දෙයකට විසඳේ. බෙදුණු DNS අභ්‍යන්තර විසඳන්නා මත එක් සෙවුම් වසමක් තබා ගනී, නමුත් එය සේවාලාභී සහාය මත රඳා පවතී, එබැවින් එය මාර්ගයේ අතුරු ආබාධයක් නොව වෙනම කාර්යයක් ලෙස සලකන්න.

පරීක්ෂා කරන්න, පසුව නැවත අරඹා නැවත පරීක්ෂා කරන්න

පරීක්ෂණ තුනක් මාර්ග ගැටලුව ආවරණය කරයි. දුරස්ථ ලිපිනයක් කොහේ යයිද කර්නලයෙන් අසන්න, උපජාලය තුළින් යමක් ලබා ගන්න, පසුව සාමාන්‍ය පොදු ඉල්ලීමක් තවමත් ඔබේ සාමාන්‍ය සම්බන්ධතාවයෙන් පිටවන බව තහවුරු කරන්න.

ip route get 10.20.5.7
curl -sS http://10.20.5.7/health
curl -sS https://ifconfig.me

පළමු පේළිය අතුරුමුහුණතක් නම් කරයි. එය ඔබේ භෞතික අතුරුමුහුණත නම් කරන්නේ නම්, මාර්ගය කිසිදා නොපැමිණියේය. Windows මත Find-NetRoute -RemoteIPAddress 10.20.5.7 එම ප්‍රශ්නයට පිළිතුරු දෙයි, අවසාන පරීක්ෂණය තවමත් ඔබේ සාමාන්‍ය ලිපිනය පෙන්විය යුතුය, VPN සේවාදායකයේ නොවේ.

පසුව නැවත අරඹන්න. අතින් එකතු කළ මාර්ග අතුරුදහන් වේ, පැතිකඩ, තල්ලු කළ වින්‍යාසය හෝ AllowedIPs වෙතින් එන මාර්ග නැවත පැමිණේ. පටු ප්‍රවේශය නැවත ආරම්භ කිරීමට පෙර ක්‍රියා කර පසුව අසාර්ථක වන්නේ නම්, දෝෂය මාර්ගයේ නොව උමග ආරම්භ වන ආකාරයේය.

එය අවසන් යැයි කීමට පෙර කරුණු හතරක් තහවුරු කරන්න: උපසර්ගය ජාලයේ හිමිකරුගෙන් පැමිණ ඇති අතර ස්ථානීය කිසිවක් සමඟ අතිච්ඡාදනය නොවේ, ආපසු මාර්ගය ඇත හෝ වෙස් කිරීමේ නීතියක් එය වෙනුවට ක්‍රියා කරයි, ඔබ වින්‍යාස කළ ක්‍රමය ඔබේ වේදිකාවේ මාර්ග ක්‍රියාත්මක කරන ක්‍රමයයි, සහ පිරිසිදු නැවත ආරම්භයකින් පසුවත් එම පරීක්ෂණ සමත් වේ. strongSwan හි යැවීම පිළිබඳ සටහන් ආපසු මාර්ගය නිතර අසාර්ථක වන කොටස නම් කියවීම වටී.