Sida loo hawlgabtiyo adeegaha VPN adigoo aan marin ka tagin

Macmiilkaagu weli wuu isku xiraa maalinta tikitka hawlgabka furmo. Profiil barnaamijka dhex fadhiyaa, wuu wada hadlaa, tunneltiina kor buu u soo baxaa sidii waxba isbeddelin. Taasi waa daqiiqada aad ka shaqeyso jihada ka duwan sidii aad adeegga u dhistay: ka bilow liiska macmiillada, u soco dibadda ilaa dhegeystaha, ka dibna ilaa dab-damiska, oo ku dhammee aqoonsiyada ka sii noolaanaya dhammaantood. Demi adeegaha VM waa tallaabada ugu dambeysa, ma aha tan ugu horeysa. Hanuunkan wuxuu u malaynayaa in aad haysato gelitaanka konsolka martigeliyaha iyo awoodda wax ka beddelka diiwaannada macmiillada iyo DNS.

Marka hore dhex mar liiska macmiillada

Fur wax kasta oo profiilladaada qeeya oo akhri liiska ka hor inta aadan taaban server-ka. Diiwaan kastaa waa qalab u malaynaya in uu gelitaan haysto: telefoonno, laptop-yo, router laan ah, konteenar habeen kasta isku-dhigma. Liiskaas ku dhoofi tikitka, sababtoo ah marka martigeliyuhu tago ma jiro wg show oo kuu sheega cidda isku xirnayd.

Qalab kasta u kala saar goob beddel, aan loo baahnayn, ama aan la aqoon. Waaxda aan la aqoon ayaa muhiimka ah, waayo kuwaas waa profiillada qof ku heli doono khaanad bilo ka dib oo isku dayi doono. Ogeysiiska ku dir isla kanalka aad u isticmaasho codsiyada gelitaanka, oo ku qor taariikhda ay goobta hore joojin doonto ka jawaabista.

Tirtir aqoonsiga, ma aha kaliya faylka

Laba ficil oo kala duwan ayaa labadaba loo yaqaan tirtirid. WireGuard dhexdiisa, peer waxaa loo fasaxaa kaliya marka furaha guud uu ka soo muuqdo qayb peer ah oo leh diiwaan AllowedIPs, sidaas darteed tirtiridda faylka habeynta laptop-ka waxba kama beddesho server-ka. Ka saar qaybta peera oo faylka dib u dhaqangeli adigoon tuurin peerrada aad haysato, sidawg(8) sheegaya:

wg show
wg set wg0 peer <CLIENT_PUBLIC_KEY> remove
wg syncconf wg0 <(wg-quick strip wg0)

wg syncconf waa qaybta ku badbaadisa daaqad dayactir. Wuxuu isku-xirka ka dib u dhisaa faylka isla meesha, sidaas darteed peer hal ka saaridda ma burburiso tunnel-ka ay dhammaan kuwa kale isticmaalayaan. Haddii aad hawlgabtiyo martigeliyaha oo dhan halkii peer, nidaamku wali wuu muhiim yahay, waayo furayaashaas meel kale ayaa lagu kalsoonaan karaa.

Habeynta X.509, tallaabada tirtiriddu waa shahaadada, ma aha faylka: openssl ca -revoke client.crt ka dibna openssl ca -gencrl -out crl.pem. Taasi waxay saameyn kartaa kaliya halka hubiyuhu ka akhriyo, taas oo la micno ahOpenVPN server leh crl-verify oo la habeeyay oo dambe dib loo soo raray. Haddii albaabkani yahay isticmaalaha kaliya ee CA-daas, CRL ma aha mid muhiim ah maalinta uu dhinto; haddii isla CA-daas u saxeexdo albaab labaad, shahaado aad waligaa tirtirin ayaa halkaas ka sii shaqeynaysa.

Akoonnadu waa kiiska saddexaad iyo kan ugu badanaa la boodo. Markii albaabku ku xaqiijiyay RADIUS, LDAP ama bixiye aqoonsi oo martigeliyay, akoonku VPN ka baxsan buu ku nool yahay. Ka jooji buugga. Tirtiridda qayb isticmaale server-ka waxay ka tagtaa aqoonsi ansax ah oo goobta beddelka ay aqbali doonto isla marka ay u jeedsato isla buuggaas.

Xir dhegeystayaasha iyo waddooyinka u socda

Jooji adeegga si uu ka badbaado dib-u-kicinta, ka dibna ku xaqiiji liis sooket ah halkii aad ka xaqiijin lahayd xaaladda unit-ka. systemctl disable --now wg-quick@wg0 wuxuu joojiyaa isku-xirka oo wuxuu ka saaraa waddooyinka iyo xeerarka uu wg-quick ku daray; systemctl disable --now openvpn-server@server isla sidaas ayuu u sameeyaa OpenVPN tusaale ah. Mid kasta oo ka mid ah ku raac ss -lunp iyo ss -ltnp. Natiijada madhan ee dekadda hore waa caddaynta kaliya ee la tirinayo.

Wixii wg-quick ku daray, wg-quick ayaa saaraa. Wixii aad gacanta ku dartay way sii hadhaan: xeer NAT joogto ah, fasax dab-damis, gudbin deked router-ka, xeer soo-galitaan koox amni ee daruuraha, dhegeyste miisaan-qaade. Kuwaas waxay u baahan yihiin saarid cad, sidoo kale diiwaanka DNS, taas oo la micno ah A, AAAA iyo CNAME kasta oo magaca u jeeda. Magac ku xallima martigeliye dhintay si kale ayuu u guuldareystaa marka loo eego magac aan xallimin, farqiinaas qof galab buu qaadan doonaa.

Nuqulka aad ilowdo waa isku-duubka. Snapshot ama VM laga soo celiyay kayd taageer ah wali wuxuu hayaa furayaasha martigeliyaha iyo liiska peer hore, haddii wax ku soo celiyaan isla cinwaankaas, macmiilladu waxay dib ugu xirmaan adeeg aad u malaynayso in la hawlgabtiyay. Kayska taageerada u calaamadee mid ka tirsan adeeg la hawlgabtiyay oo ka fogee waddooyinka soo-celinta otomaatiga ah.

Dabagso wixii wali u jeeda goobta hore

Profiillada keydka ah way ka sii noolaadaan DNS. Habeyn la kaydiyay oo leh cinwaan tiro ah wali way wacaysaa ka dib markii diiwaanku tago, macmiil had iyo jeer shidan ayaa mar kasta oo shabakaddu isbeddesho dib u isku dayaa. Taasi waa buuq, ma aha gelitaan, sababtoo ah dhegeystaha waa xiran yahay, laakiin ogaanshaha midka aad eegto ayaa go'aamiya sida aad tikitka uga jawaabto.

Ka dibna xaaq ku-tiirsanaanta aan qofna ku diiwaan gelin VPN: hubinta uptime ee dekedda baadha, shaqooyinka kaydka ee ka soo jiiday habeynta martigeliyaha, aqoonsiyada otomaatiga ee loo isticmaalo push diiwaannada peer, akoonnada soo-kabashada ee loo sameeyay kaliya goobtan. Mid kastaa waa waddo gelitaan leh cimrigiisa iyo mulkiilihiisa, sidaas darteed mid kastaa wuxuu helaa go'aan halkii si aamusnaan ah loo tirtiri lahaa.

Hubi, ka dibna qor

Hawlgabku wuu dhammaadaa marka imtixaan dibadda ah uu ku guuldareysto sidii aad filaysay. Shabakad aadan maamulin, kusoo xir cinwaanka hore iyo dekedda. Natiijada la sifeeyay ama la diiday waa kiiska guusha. Barnaamijka macmiilka, xaqiiji in profiilka la saaray halkii la damiyay, iyo in aan profiil maamul si aamusnaan ah dib ugu darin.

Ka dibna qor wixii aad samaysay: goobta, taariikhda, furayaasha iyo shahaadooyinka la tirtiray, akoonnada la damiyay, halka kaydka taageeradu yaallaan. Qof kasta oo marka xigga hela habeyn hore waa inuu ka jawaabaa in la tirtiray ama kaliya la saaray, isagoon mala-awaalin, shax yar oo tikitka ku yaal ayaa taas sameeya.

Ka hor inta aan tikitka la xirin:

• profiillada macmiillada la saaray ama la beddelay, qalabka aan la aqoon la xalliyay
• peerrada la saaray oo habeynta dib loo dhaqangeliyay, ama shahaadooyinka la tirtiray oo CRL la daabacay
• akoonnada buugga la damiyay, ma aha kaliya faylasha maxalliga ah la saaray
• adeegga la damiyay, dhegeyste aan dekadda hore kaga harin
• dab-damiska, gudbinta dekadda, kooxda amniga iyo diiwaannada DNS la saaray
• kaydka taageerada la calaamadeeyay, snapshot laga reebay waddooyinka soo-celinta
• aqoonsiyada kormeerka iyo otomaatiga la hawlgabtiyay

Goobta beddelka si gooni ah u hubi, macmiil aan waligiis haysan profiilka hore. Imtixaankaas kelidii wuxuu kuu sheegayaa in aad adeeg hawlgabtisay ama kaliya dhibaatada magac beddeshay.