LAN ka dambeeya hal fadhi AWS Client VPN: waxa loo gudbiyo

Laptop-ku wuxuu ku xirmaa barta ugu dambeysa ee AWS Client VPN, wuxuu gaaraa shabakadda hoose ee gaarka ah, wax walbana way caafimaad qabaan u muuqdaan. Desktop-ka isla LAN-kaas kuma gaaro wax, inkastoo host-ka Linux-ku sidoo kale leeyahay interface buundada oo labada mishiinba isku fiilo ay yihiin. Waxba khalad kuma qabin tunnel-ka; qaybta maqan waa dariiqa, buundaduna waa calaamad khiyaano leh.

Fadhiga Client VPN ku fidinta LAN waa doorka irridda. Ma aha qayb Ethernet lagu fidiyay adeeg la maareeyo.

Host-ku wuu shaqeeyaa LAN-kuna ma shaqeeyo

Interface-ka tunnel-ka ee mishiinka Linux wuxuu leeyahay cinwaan ku dhex jira CIDR-ka macmiilka Client VPN, barta ugu dambeysana waxay riixday dariiqooyin loogu talagalay xadka VPC. Codsiga lagu sameeyo mishiinkaas waa taraafik gudaha lagu soo saaray: wuxuu doortaa dariiq, wuxuu ka baxaa tunnel-ka oo jawaab helaa. Waddadaas waligeed ma taabato koodhka gudbinta, interface-ka LAN ama qaanuun kasta oo dab-demiseed oo maamula gudbinta.

Taraafikga ka imanaya qalab kale oo LAN ah waa qulqul kale. Wuxuu yimaadaa interface-ka LAN, wuxuu u baahan yahay dariiq tilmaamaya tunnel-ka, wuxuu u baahan yahay gudbin firfircoon, wuxuu u baahan yahay dab-demis oggolaanaya, jawaabtuna waa inay ku soo noqoto isla host-kaas. Afar shuruudood, imtixaanka laptop-ka shaqeeyana midkoodna ma caddeeyo. Desktop-ka khaladku wuu yaab leh yahay: tunnel-ku wuu shaqeeyaa, aqoonsiga waa sax, meesha loo socdona waligeed ma jawaabto. Ciladdu waxay ku taal gudaha waddada gudbinta irridda, ma aha adeegga.

Ma aha macmiil kastaa inuu noqdo irrid

AWS waxay sheegaysaa in barnaamijkeeda desktop-ka Client VPN uusan taageerin gudbinta IP, macmiillada kalena laga yaabo inay taageeraan. Xaddidaaddaas waxay go'aamisaa qaab-dhismeedka ka hor inta aan amar la qorin. Haddii macmiilka kaliya ee la heli karo uu yahay barnaamijka rasmiga ah ee desktop-ka, irridda Linux ee LAN-ka u gudbisa ma aha habayn aad dhammayn karto, masquerading badanna ma beddelo taas.

Macmiilka beddelka waa inuu sidoo kale waafaqsanaadaa habka aqoonsiga barta ugu dambeysa iyo siyaasadda aad damacsan tahay inaad dhaqangeliso. Barta ugu dambeysa ee ku saleysan shahaadooyinka, buugga hagaha iyo SAML ma aqbalaan isla habaynta macmiilka, macmiilka dhinac saddexaad oo aqoonsada laakiin iska indhatira dariiqooyinka la riixday ma aha horumar.

U qaado doorashada macmiilka qayb ka mid ah dib-u-eegista naqshadeynta. Waxay go'aamisaa haddii qaabka gudbinta LAN uu gabi ahaanba diyaar yahay, waxayna go'aamisaa aqoonsiga barta ugu dambeysa u aragto qalab kasta oo ka dambeeya irridda. Diiwaangeli macmiilka iyo habaynta barta ugu dambeysa ee lagu tijaabiyay. Beddelka macmiilka lix bilood ka dib wuxuu si aamusnaan ah uga saari karaa awoodda naqshadeyntu u qabatay.

U jiheeyso LAN-ka tunnel-ka oo turjun

Marka macmiil la taageeray uu meesha yaallo, inta kale waa shaqo irrid caadi ah. Qalabka LAN waxay u baahan yihiin dariiq loogu talagalay xadka VPC oo u jeedda host-ka Linux, host-kuna wuxuu u baahan yahay gudbin firfircoon. Haddii aad rabto in VPC-gu taraafikga u arko sida macmiilka ku xiran oo aan ahayn cinwaan LAN aan loo baahnayn, turjun isha markaad baxaysid.

LAN: 10.24.11.0/24
Linux LAN gateway: 10.24.11.15
VPN interface: tun0
Target VPC range: 10.2.0.0/16

iptables -t nat -A POSTROUTING -s 10.24.11.0/24 -d 10.2.0.0/16 -o tun0 -j MASQUERADE

Ku xaddid qaanuunka interface-ka tunnel-ka iyo xadka VPC, sida kor ku xusan, halkii aad masquerade ka dhigi lahayd wax kasta oo host-ku gudbiyo. Qaanuunka cidhiidhiga ah waa sahlan tahay in laga fikiro, mana si aamusnaan ah u beddelo taraafikka loo baahnaa inuu haysto cinwaankiisii asalka ahaa.

U ogolow dariiqa LAN inuu si otomaatig ah u yimaado haddii aad kartid: doorasho DHCP, ogeysiis router ama dariiq taagan oo uu riixo waxa maamula LAN-ka. Dariiq ku jira kaliya hal mishiin tijaabo ah wuxuu naqshadeynta ka dhigi doonaa mid jaban marka qof kale uu isku dayo.

Jawaabtuna waddo bay u baahan tahay

Marka codsigu gaaro VPC, jawaabtu waa inay ku soo noqoto isla xaaladaha tarjumaadda oo ay ka hesho dariiqa LAN irridda. Qaybtaas inta badan way shaqaysaa marka qaanuunka masquerade uu meesha yaallo, sababtoo ah khariidayntu waxay ku nooshahay host-kii sameeyay. Way jabtaa marka dhinaca VPC uu leeyahay dariiq jawaabta meel kale u diraya, taasina waa sababta dariiqa CIDR-ka macmiilka iyo isku-xirka subnet-ka ee barta ugu dambeysa labaduba muhiim u yihiin.

Fiiri tirakoobka, ma aha oo kaliya ping. Qaanuunka masquerade ee eber baakadood wuxuu kuu sheegayaa in codsigu waligiis aanu gaarin interface-ka tunnel-ka, taasoo u jeedda dariiqa LAN ama shaxda dariiqa macmiilka laftiisa. Qaanuunka leh baakado laakiin aan lahayn jawaabo wuxuu u jeedaa dhinaca VPC, qaanuunada oggolaanshaha ama koox ammaan oo aan aqbalin isha la turjumay. Akhri labada jiho ka hor inta aanad wax beddelin, sababtoo ah tiro ku korodha hal dhinac oo keliya waa dariiq hal jiho ah, ma aha mid gaabis ah.

Xusuusnow in barta ugu dambeysa ay tahay adeeg la maareeyo. Ma jiro fayl habaynta server la tafatirto iyo tilmaame client-config lagu daro, sidaas darteed tilmaamaha loo qoray server OpenVPN is-maamula oo leh dariiqooyin subnet macmiil gaar ah ma gudbaan. AWS gudaheed, kabaallayaasha waa isku-xirka subnet-ka, qaanuunada oggolaanshaha iyo shaxda dariiqa VPC.

Aqoonsiga la wadaago waa qaybta siyaasaddu tahay inay ka jawaabto

Qalab kasta oo ka dambeeya irridda wuxuu isticmaalaa fadhiga VPN ee irridda. Qaanuunada oggolaanshaha barta ugu dambeysa waxay gelitaan siinayaan isticmaale ama koox, adeegga aragtidiisana waxaa jira si sax ah hal isticmaale fadhigaas. Gudbinta gudaha kuma dhufto aqoonsigaas aqoonsi qalab kasta, waxayna u fidin maayso hubinta xaaladda qalabka ilaa daabacaadda geeska ku taal.

Taasi waxay noqon kartaa mid la aqbali karo, ama waxay noqon kartaa sababta naqshadeynta loo diido. Waxay ku xiran tahay waxa kheyraadka VPC u qaataan cidda wacaysa. Aqoonsi la wadaago oo ku habboon qaabka oggolaanshaha waa sax; mid si aamusnaan ah u beddela hal fadhi la aqoonsaday gelitaan LAN oo dhan waa natiijo sugaysa in la qoro.

Haddii shuruuddu runtii tahay in goob dhan lagu xiro VPC, isbarbardhig naqshad goob-ilaa-goob la taageeray ka hor inta aanad fidin macmiilka gelitaanka fog. Micnuhu wuu duwan yahay, fadhiga macmiilka ee NAT-ka ahna waa beddelka liita ee xiriirka goobta marka VPC-gu u baahan yahay inuu xiriirrada ka bilaabo LAN-ka.

Go'aanso macmiilka, dariiqa, tarjumaadda iyo sheekada aqoonsiga isla nidaamkaas. Mid kastaa wuxuu xaddidaa kan xiga, nidaamkuna wuxuu sharraxayaa sababta host-ku u shaqeeyo halka LAN-ku uusan shaqeyn.