Ka xannib hal macmiil OpenVPN LAN-ka iyada oo aan tunnelyada la joojin

Hal macmiil oo ku yaal OpenVPN server-kaaga waa in uu lumiyaa gelitaanka LAN halka tunnelyada kale oo dhan ay shaqeynayaan. Haddii aad tan raadiso, jawaabta ugu fiican waxay badanaa tidhaahdaa daemon-ku ma karo, taas oo keliya nus run ah: OpenVPN ma laha dab-damis macmiil kasta, laakiin martigeliyaha tunnelyada dhammeeya ayaa horey u shaandheeya baakadaha. Labada go'aan ee muhiimka ah waa aqoonsiga aad xannibayso iyo booska qaanuunka. Si sax ah u samee labadan, isbeddelkuna wuxuu noqonayaa hal sadar oo aad tijaabin karto oo aad ka saari karto.

Ku dheji macmiilka ka hor inta aadan qorin qaanuunka

OpenVPN waxay kiraysaa cinwaanno tunnelyada barkad, sidaas darteed 10.8.0.6 waa boos, ma aha qof. Marka fadhigu dhammaado kirada way soo noqotaa oo waxaa la siin karaa xiriirka xiga, taas oo macnaheedu yahay qaanuunka ka soo horjeeda cinwaankaas wuxuu raacaa booska, ma aha isticmaalaha. Marka marka hore go'aanso waxa aad dhab ahaan xannibayso: cinwaan tijaabo gaaban, ama shahaado qof aad rabto inaad dibadda ku haysato.

Si aad cinwaanka ugu xirto shahaadda, samee fayl ku yaal galka client-config-dir magacaabay oo faylka si sax ah u sii common name shahaadda. Ku dhig hal tilmaan, ifconfig-push 10.8.0.6 255.255.255.0, macmiilkaasna wuxuu hayaa isla cinwaanka tunnelyada dib u xirnaanshaha. Laba dejinta waa in ay jiraan si tan ay u shaqeyso: client-config-dir waa in lagu dhawaaqo qaabeynta server-ka, cinwaanka la dirayo waa in uu ku yaal shabakad-hoosaad uu server-ku wado. Mid ka maqan yahay faylka waa la iska indhatiraa iyada oo aan khalad lahayn, taas oo tijaabada dab-damiska xigta khiyaano leh ka dhigta.

Xannib ku meel gaar ah wuxuu isticmaali karaa cinwaan barkad, haddii tikitku diiwaangeliyo fadhiga qabtay wakhtigaas.

Nidaamku wuxuu go'aamiyaa haddii tuurista ay socoto

Laga soo bilaabo iridda Linux ee u gudbisa tunnelyada iyo LAN, baakaduhu waxay dhex maraan silsiladda FORWARD. Akhri amarka hoose sida jumlad: geli madaxa FORWARD, isku-dhig taraafikada ka soo gasha tun0, oo ka yimid hal martigeliyahaas, oo ku jeeda shabakad-hoosaadka LAN, kadibna tuur.

iptables -I FORWARD -i tun0 -s 10.8.0.6/32 -d 192.168.1.0/24 -j DROP

-I ayaa qaanuunka socodsiiya. Marka lagu daro -A, waxay ku dhacdaa hoosta wax kasta oo ogolaansho ballaaran oo loogu talagalay shabakad-hoosaadka tunnelyada mana arko baakad. Hubi booska iptables -vnL FORWARD --line-numbers oo akhri tirakoobka sidoo kale: tuuris sare oo aan waxba tirinaynin waxay ka dhigan tahay taraafikadu waxay ka timaaddaa waddo kale.

Cinwaanka LAN-ka iridda lafteeda waa waddo kale. Baakadaha loo diro sanduuqa laftiisa waxay tagaan INPUT, ma aha FORWARD, sidaas darteed macmiil wuxuu lumin karaa martigeliyaha LAN oo wali furi kara bogga maamulka router-ka. Ku dar qaanuunka INPUT ee u dhigma marka taasi muhiim tahay.

Waxa shaandhuhu aan arki karin

Shaandhayntu waxay dhacdaa marka baakad la qiimeeyo, sidaas darteed fadhi TCP oo horey u dhismay wuu sii socon karaa ilaa la xiro ama dib loo dejiyo. Haddii xannibaaddu tahay in ay isla markiiba qaniinto, nadiifi qulqulka la raadraacay ee ishaas conntrack -D -s 10.8.0.6 ka dib marka qaanuunka la geliyo. Haddii dhowr ilbiriqsi oo is-dulsaar ah la aqbali karo, diiwaangeli doorashadaas halkii aad ka tagi lahayd mid dadban. Si kasta, qofka xiga waa in uu ogaadaa haddii qaanuunku joojiyo taraafikada nool ama kaliya xiriirka cusub.

Taraafikada dhexmarta asxaabta waligeed ma taabato dab-damiska martigeliyaha. Marka client-to-client daaran yahay, OpenVPN waxay baakadahaas ku gudbisaa daemon-ka gudihiisa, sidaas darteed FORWARD ama INPUT ma arkaan. Xalka kaliya waa in la damiyo client-to-client ama la aqbalo in asxaabtu ay gaadhi karaan midba midka kale; qaanuunka iptables ma arki doono taraafikadaas.

IPv6, firmware iyo ka-badbaadinta dib u kicinta kadib

Qaanuunka IPv4 waxba kama sheego IPv6. Haddii tunnelyada iyo LAN-ku ay qaadaan labada qoys, qaanuunka u dhigma waa in uu ku jiraa ip6tables, ama jaangooyada qaanuunnada nftables ee leh siyaasadda martigeliyahaas. Firmware-ka router-ku badanaa wuxuu netfilter ku qariyaa ka-hor-imashadiisa, sidaas darteed qaab-dhismeedka iyo magacyada shaxda laga soo guuriyay gole waa laga yaabaa in aanay khuseyn.

OpenWrt, waddada la diiwaangeliyay waa gelitaan qaabeynta dab-damiska ma aha sadar iptables gacan lagu qoray, sadarka gacan lagu qorayna wuu lumin karaa marka dab-damisku dib u soo rarto. Qaybaha kale waxay soo celiyaan qaanuunnada iyada oo loo marayo netfilter-persistent, unug boot ama bakhaar iibiyaha, hababkaasna lama beddeli karo. Caddee tan aad dooratay dib u kicin, sababtoo ah dib u rariddu waxay tababartaa waddo kale.

Hubi waddo kasta, kadib si nadiif ah u soo celi

Tijaabi waddo kasta si gooni ah, sababtoo ah hal hubin oo guulaysta ayaa qarinaya kuwa kale. Macmiilka la xannibay waa in uu wali gaadho internet-ka tunnelyada laakiin ku guuldareysto martigeliyaha LAN, macmiilka labaadna waa in uu gaadho isla martigeliyahaas, cinwaanka iridda iyo waddada asxaabtuna mid kastaa wuxuu u baahan yahay indho-indhayn u gaar ah. Ku qor natiijooyinka qaanuunka agtiisa si isbeddelka xiga uu sal u yeesho. Shaxda hoose waa kooxda mudan in lagu hayo tikitka.

Soo celinta waa tirtirid sida qeexitaanku qabo, ma aha flush: iptables -D FORWARD -i tun0 -s 10.8.0.6/32 -d 192.168.1.0/24 -j DROP waxay ka saartaa isla gelitaankaas oo waxay ka tagtaa silsiladda intiisa kale iyada oo aan la taaban. Ka saar isla sadarkaas fayl kasta oo soo celiya qaanuunnada boot-ka, dib u soo rari, kadibna xaqiiji in macmiilku mar kale gaadho martigeliyaha LAN. Flush FORWARD wuxuu sidoo kale baajin lahaa qaanuunnada aadan qorin, taas oo soo celinta ka dhigaysa shil labaad.

Ka hor inta aadan xirfin tikitka, xaqiiji saddex waxyaabood: cinwaanka la dhejiyay wuxuu waafaqsan yahay shahaadda, qaanuunku wuxuu ka sarreeyaa ogolaanshaha isagoo tirakoobku aanu eber ahayn, iyo faylka joogtayntu wuxuu ka kooban yahay isla qaanuunka aad tijaabisay. Haddii mid ka mid ah maqan yahay, xannibaaddu waa dhalanteed ku jira fadhi shell.