Gateway-ga wuxuu martigeliyaa boggiisa maamulkiisa: cinwaan gudaha ah ama mid dadweyne

Bog maamul ayaa ka jawaaba taleefanka xogta mobaylka oo waqti ka baxa laptop ku biiray VPN-ga. Waxba kama qaldana tunnel-ka, sababtoo ah codsiga marnaba ma galo. Magaca host-ku wuxuu u rogmadaa cinwaanka dadweynaha ee gateway-ga, cinwaankaasna waxaa laga gaari karaa oo kaliya bannaanka tunnel-ka uu dhammeeyo. Tan hagaajinteedu waxay la macno tahay in adeegga la siiyo gelitaan gaar ah, ma aha in la raro barta dhammaadka dibadda.

Boggu wuxuu ka soo rarayaa dibadda ee ma aha tunnel-ka

Laba codsi oo kala duwan ayaa la barbardhigayaa. Xogta mobaylka browser-ku si toos ah ayuu u gaaraa cinwaanka dadweynaha. Gudaha tunnel-ka isla magacaas wuxuu u rogmadaa isla cinwaanka dadweynaha, oo packet-ku hadda waa inuu ka baxaa tunnel-ka si uu u gaaro cinwaan ku yaal dhinaca fog ee tunnel-ka laftiisa. Isla magac, isla cinwaan, laba boos oo aad u kala duwan.

Wadada u socodka ayaa doorata cinwaan, ma aha port. Waxba ku jira shaxda wadada ma oga in port 443 uu yahay maamulka iyo port 1194 uu yahay gaadiidka, sidaas darteed labadaba waxaa loo arkaa isla meel.

Taasi waa sababta boggu mararka qaar u shaqeeyo oo mararka qaar uusan u shaqeyn, iyadoo ku xiran magaca iyo shabakadda uu macmiilku isticmaalay. Tani waa dhibaato waddo, ma aha dhibaato xaqiijin. Labada macmiilba si fiican ayay u xaqiijiyaan.

Hayso barta dhammaadka dibadda oo la gaari karo

Borofaylada tunnel-ka buuxa waxay u baahan yihiin waddo ka-reeb ah barta dhammaadka VPN, iyo doorashada redirect-gateway ee OpenVPN waxay diiwaangelisaa si sax ah taas: barta dhammaadka fog waxay haysataa waddo dhex mara gateway-ga hore u jiray si tunnel-ku uusan u wadin dhexdiisa. Ka saar ka-reebkaas oo gaadiidka sirta ah wuxuu raacaa tunnel-ka, taasoo kalfadhi ku dhammeysa wareeg. Ka-reebkaas ayaa sabab u ah in cinwaanka barta dhammaadka uu weli laga gaari karo gudaha tunnel-ka.

Natiijadu waa in cinwaanka dadweynaha uu weli laga gaari karo macmiilka, taasina waa sababta codsiga browser-ka ee cinwaankaas uu sidoo kale raaci karo isla ka-reebka oo uu u bixi karo isagoon tunnel-ka gelin. Ka-reebku shaqadiisa wuu qabanayaa, magacana waa kan waxyeelada keena.

Ka hor intaadan wax beddelin, akhri go'aanka wadada ee ma aha liiska interface-ka. Amarrada hoose waxay daabacaan go'aanka ee ma aha liiska alaabta. Ka socodsii macmiilka fashilmay.

ip -4 route get 203.0.113.77
ip -4 rule show
ip -4 route show table all

Haddii baaritaanku muujiyo wadada barta dhammaadka oo dhex marta gateway-ga jireed, dhaqanku waa sax oo bogga maamulka si fudud ayaa loo diraa waddo khaldan. Halkaas ayaa xallinta magacyada noqotaa hagaajinta.

Adeegga sii magac gaar ah

Adeeggu wuxuu u baahan yahay magac gudaha tunnel-ka u rogmada cinwaanka gateway-ga, isla markaana ilaaliya macnaha shahaadada iyo magaca host-ka ee uu codsaduhu filayo. Diiwaanka aagga gaarka ah ee magaca maamulka ayaa ah jawaabta caadiga ah, wuuna ka tagaa magaca gaadiidka isagoon taaban.

Ha u leexan magaca gaadiidka cinwaanka gudaha, sababtoo ah dhismaha tunnel-ka xiga wuxuu isku dayi doonaa inuu gaaro cinwaan ku jira oo kaliya gudaha tunnel. Khaladkaas wuxuu soo saaraa VPN shaqeeya hal mar oo sax ah.

Sidoo kale hubi labada qoys ee cinwaanka, sababtoo ah diiwaan AAAA oo hadhay ayaa browser-ka u diri kara meel uusan qorshaha gaarka ah waligiis gaarin.

dig +short admin.hq.internal
dig +short -t AAAA admin.hq.internal
curl -sS -o /dev/null -w '%{http_code} %{remote_ip}\n' https://admin.hq.internal/

La jaanqaad siyaasadda meesha uu habsocodku ka shaqeeyo

Habsocodka asalka ah ee gateway-ga wax ka dhegeysta waxaa lagu gaaraa wadada gelitaanka maxalliga ah, sidaas darteed silsiladda gelitaanka iyo xidhitaanka socket-ka ayaa go'aamiya in codsiga la aqbalo. Xeerarka gudbinta iyo gudbinta IP ma keenaan in dhageyste maxalli ah uu ka jawaabo. Oggolow isha tunnel-ka ee siyaasadda gelitaanka oo xaqiiji in habsocodku ku xidhan yahay cinwaan uu tunnel-ku gaari karo.

Konteynar lagu daabacay port host-ka wuxuu raacaa waddo kale, sababtoo ah packet-ka waxaa loo tarjumaa goobta oo la gudbiyaa. Codsigaas wuxuu la kulmaa siyaasadda gudbinta host-ka iyo xeerarka Docker laftiisa, sidaas darteed dhageyste asalka ah oo shaqeeya wuxuu la wadaagi karaa konteynar diida isla port-ka.

Nidaamka bilowga ayaa muhiim u ah labada xaalad, sababtoo ah xidhitaan cinwaan ku soo baxa oo kaliya ka dib marka tunnel-ku kaco ayaa si aamusan u fashilma bilowga.

Hubi gelitaanka gaarka ah iyo waddo dadweyne oo la diiday

Samee codsi cusub oo magac leh oo ka yimaada macmiil loo fasaxay iyadoo hubinta aqoonsiga codsaduhu ay tahay mid aan dhaqaaqin. Kadib isku day isla adeegga bannaanka tunnel-ka oo xaqiiji inuusan ka jawaabin. Magac gaar ah waa fududaan ee ma aha xaddidid, dhageyste weli ku xidhan cinwaanka dadweynaha ayaa weli bannaan. Hubintaas ugu dambaysa ayaa ah tan inta badan dib u eegista seegto.

Akhri xidhitaannada iyo xaaladda shaandhada ee ma aha magaca host-ka la siiyay isticmaalayaasha. Soo-gaadhista waa sifo socket-ka ee ma aha magaca. Kala duwanaanshahaas wuxuu ka badbaadaa isbeddel kasta oo DNS ah.

ss -lntp | grep ':443'
nft list ruleset | grep -n 443
curl -sS -m 5 -o /dev/null -w '%{http_code}\n' https://203.0.113.77/

Marka codsiga gudaha uu boggaga soo celiyo oo codsiga dibadda uu waqti ka baxo, adeeggu wuxuu leeyahay hal waddo gaar ah oo ula kac ah oo gaadiidku weli la gaari karo. Marka codsiga dibadda uu weli ka jawaabo, dhageystaha ama gelitaanka konteynar la daabacay waa in la cidhiidhiyo ka hor inta qof uusan adeegga u tilmaamin mid gudaha oo kaliya.