DNS-ka barta AWS Client VPN: sababta ay u guuldareysato xajinta IP-da la xalliyey

Toddobaadkii hore dig +short wuxuu ku siiyey hal cinwaan oo loogu talagalay magaca barta ku yaal profile-kaaga AWS Client VPN, tunnel-kuna wuu xirmay. Toddobaadkan isla profile-kaas ayaa laptop-kaaga ku taagan 'Connecting', halka nuqulka aan la taaban ee saaxiibkaa uu weli shaqeynayo. Waxba lama xannibin oo shahaadaduna ma dhicin. Qof ayaa magaca martigeliyaha barta ku beddelay cinwaankaas la xalliyey, oo adeeggu halkaas kama jawaabo. Magaca la dhoofiyey waa qaybta loo dhisay inay ka gudubto isbeddelkaas.

Magaca profile-kaaga ayaa laga yaabaa inuusan ahayn magaca la weydiinayo

Profile-yada laga dhoofiyo Client VPN waxay inta badan leeyihiin remote-random-hostname. Marka ikhtiyaarkaas daaran yahay, macmiilku wuxuu dhisaa calaamad hal-mar ah, wuxuu ku dhejiyaa magaca barta iyadoo dhibic lagu darayo, wuuna xalliyaa magaca isku dhafan. Diiwaanka wildcard ee aagga barta ayaa ka jawaaba calaamad kasta, taasina waa sababta prefix la hindisey weli u xalliyo iyo sababta khiyaanadu u sii qarsoonaato marka aad isku daydo inaad su'aasha gacanta ku soo celiso.

Marka marka aad magaca barta ku dhejiso terminal-ka oo jawaab hesho, waxaad xallisey magac ka duwan kii macmiilku isticmaalo marka uu xirmo. Farqigaas maaha cillad profile-ka laga saxayo. Calaamadda si ula kac ah ayaa dib loo abuuraa: ikhtiyaarku wuxuu ka hortagaa kaydka inuu hayo jawaab duug ah, walna ma aqoonsado mishiinkaaga ama fadhigaaga.

Waxaan la kulmay xaaladda iswaafajinta ah oo macmiilku gabi ahaanba iska indhatiro ikhtiyaarka. AWS wuxuu diiwaangeliyaa xalka: hay magaca dhabta ah ee barta oo hortiisa ku dar xarig random iyo dhibic, adigoo u tixgelinaya qaab magac-bixin ah halkii aad uga tixgelin lahayd qiime la dhejiyo. In taas lagu dabaqo macmiil duug ah waa macquul; in xarigga prefix-ka leh si adag loogu codeeyo barta maaha.

Sababta jawaab la kaydiyey aysan si sax ah u sii jiri karin

Cinwaannada barta Client VPN waxaa maamula AWS wayna is beddelaan waqti ka dib, taas oo dukumeentiga dhaqamada ugu fiican si cad u sheegayo. Jawaab la qabtay waa sawir hal xallin ah. Profile-ka si adag u codeeya waxay noqotaa profile u jeedda martigeliye la hawlgabiyey isla markii adeeggu dhaqaaqo, guuldaraduna marar dhif ah uma eka DNS: waxaad heshaa waqti-xirasho isku xirnaan ama handshake istaagay, sidaas darteed dadku waxay daba galayaan marinka iyo shahaadooyinka.

Jawaabtaas oo ku jirta /etc/hosts waxay dhaxashaa isla waqtigaas iyadoo leh dhibaato dheeraad ah. Diiwaanka hosts wuxuu ka badbaadaa dib-u-kicinta, dib-u-dhoofin iyo hagaajinta 'dib u rakib macmiilka', sidaas darteed guuldaradu way soo noqotaa mar kasta oo cinwaanku dhaqaaqo. Waxaan arkay mid toddobaadyo waxyeello la'aan ah jiifay, ka dibna shaqada ka joojiyey mishiin kasta oo qaadayay, halka rakibaad cusub si caadi ah u xirmayeen. Kala qaybintaas, koox guuldareysata iyo mid kale oo isla akoonka ku fiican, waa tilmaanta ugu jaban ee aad hesho.

Si sax ah u xaddid baaxadda randomaynta. Waxay dhacdaa isku day kasta oo isku xirnaan ah. Tunnel la aasaasay dib uma xalliyo barta, badmaaxiisa kama beddelo badhtamaha fadhiga, iyo codsiyada barnaamijka ee gaarka ah mid kasta ma doorto martigeliyaha VPN cusub. Kaliya isku dayga xiga ayaa dib u xalliya, sidaas darteed fadhi galabta oo dhan shaqeeya wax kama sheegto berri subax.

Waxa adeeggu hubiyo marka tunnel-ku soo kaco

Client VPN wuxuu dalbanayaa in cinwaanka aad ku xiran tahay uu la mid noqdo cinwaan loo xalliyey magaca DNS ee barta. Shardadaas kaliya waxay sharraxdaa dhowr guuldarrood oo u muuqda kuwo aan xiriir lahayn: diiwaan DNS gaar ah oo meel kale tilmaamaya, frontend gaar ah oo u gudbinaya cinwaanka dhabta ah ee barta, iyo profile lagu qoray cinwaan ceyriin ah. AWS wuxuu diiwaangeliyaa isku-dhafka diiwaanka gaarka ah iyo gudbinta sida guuldarro ku timaadda macmiillada cusub ee AWS. Hubintu waa cidhiidhi; maaha xukun ah in magac-kasta la mamnuucay.

Sidoo kale maaha qaanuun guud oo ku saabsan borotokoolka VPN. remote tiro ahaan waa ansax buuxa hirgelinta caadiga ah ee OpenVPN, qaar badanna sidaas ayay u shaqeeyaan. Xaddidnaantu waxay ka timaaddaa habaynta la maamulo, ee kama timaaddo borotokoolka hoose.

Taasina waxay ka dhigaysaa dabacsanaanta hubinta shahaadada falcelin khaldan. Haddii profile ku guuldareysto ka dib beddelka cinwaanka, daminta hubinta server-ka waxay u rartaa khaladka halkii ay hagaajin lahayd xallinta ama shardada iswaafajinta cinwaanka, waxayna ka tagtaa macmiil wax kasta aamini doona. Hay CA-da la dhoofiyey, hubinta server-ka iyo dejinta aqoonsiga labada dhinac sida ay yimaadeen.

Liisaska ogolaanshaha, bixidda iyo DNS gaar ah waa saddex dhibaato oo gooni ah

Qaanuunka firewall-ka ee qasabka ah inuu oggolaado meel loo socdo ka hor inta laptop-ku xirmo waxay khuseeyaa dhageystaha dibadda. Sii milkiilaha shabakadda magaca barta, gaadiidka iyo dekedda la habeeyey, ka dibna weydii haddii kontorolkoodu raaci karo habdhaqanka DNS ee adeegga. Qaanuun haysta hal cinwaan la qabtay waa sawir leh waqti-dhicid aan qornayn. Haddii kontorolku aqbalo kaliya meelo aan isbeddelin, xalli farqigaas ka hor keenista halkii aad si aamusnaan ah u codeyn lahayd jawaab.

Lammaane u baahan cinwaan isha go'an codsiyada ka dib marka tunnel-ku kaco waxay leeyihiin shardi kale: bixidda. Waxa ay websaytku aragto waxay ku xiran tahay marinka barnaamijka iyo siyaasadda tunnel-ka qaybsan, ma aha cinwaanka uu macmiilku ku xirmay. Taraafikga tunnel-ka qaybsan ayaa laga yaabaa inuusan AWS taaban gabi ahaanba.

DNS-ka gaarka ah ee tunnel-ka dhexdiisa waa lakabka saddexaad. Xalliyaha la siiyo macmiillada wuxuu ka jawaabaa magacyada gudaha ka dib isku xirnaanta; ma xallin karo barta dadweynaha ka hor inta uusan tunnel-ku jirin. Guuldarada xallinta barta iyo guuldarada xallinta barnaamijka gudaha waxay dhacaan marxalado kala duwan, isku darkooduna wuxuu kuu horseedaa log khaldan.

Qoyska cinwaanku wuxuu ku jiraa isla liiska. Jawaabta IPv4 wax kama sheegto marinka la ogolyahay ee barta IPv6 ama laba-stack, sidaas darteed sawir laga qaaday hal qoys maaha caddayn qoyska kale.

Hubi isku xirnaan adigoon wax xajin

Ka bilow profile-ka sida la dhoofiyey oo akhri waxa uu dhab ahaan dalbanayo:

grep -nE '^remote|remote-random-hostname' profile.ovpn
dig +short cvpn-endpoint-ID.prod.clientvpn.REGION.amazonaws.com
ss -tnp | grep -E ':(443|1194)'

Ka dib isbarbar dhig saddex shay: magaca barta ee profile-ku hayo, cinwaanka macmiilku soo sheegayo isku day cusub, iyo waxa magacu hadda u xallinayo. Magac xalliya wuxuu kaliya caddeeyaa in diiwaanku jawaabayo; gaadiidka iyo aqoonsigu gooni ayay yihiin, bartana looma baahna inay ping ka jawaabto. Log-ga macmiilka laftiisu waa isha kaliya ee shayga dhexe, sidaas darteed qabo inta isku daygu socdo ee ma aha ka dib.

Cinwaan maanta jawaaba waa caddayn ku saabsan maanta; magacu waa waxa adeeggu ansax ku haya. Qor indho-indhaynta, u dir qofka leh barta, oo u daa profile-ka inuu magaca tilmaamo.

Laba caado oo laga tago: daminta hubinta shahaadada si loo gudbo handshake istaagay, iyo calaamado hor yaal magaca barta oo la rajaynayo in mid ku dhago. Calaamad waxaa lagu xalliyaa diiwaanka wildcard ama dhibaatadu meel kale ayay ku taal. Haddii profile si sax ah loo habeeyey weli guuldareysto, soo dir su'aasha saxda ah iyo dhacdada isku xirnaanta, ee ma aha magac martigeliye dheer.

Ka hor inta aadan xirmin: profile-ku weli wuxuu qaadayaa magaca barta la dhoofiyey, ma jiro fayl hosts oo xajiya cinwaanka, remote-ka log-ga macmiilku wuxuu la jaanqaadayaa xallin hadda jirta, iyo qaanuunka firewall-ku wuxuu magacaabayaa barta ee ma aha cinwaan. Taasina waa xaaladda loo gudbinayo qofka xiga.