Sida loo xaddido gelitaanka u dhexeeya laba xafiis oo VPN ku xiran
Tunel-ka goob-ilaa-goob ma aha kalsooni laba-geesood ah. Samee shaxda isha, meesha iyo adeegga, ku dhaqangeliso taraafikada la furey, oo sidoo kale caddee diidmo.
Tunel-ka goob-ilaa-goob wuxuu ka jawaabaa hal su'aal, in labada xafiis ay is-weydaarsan karaan baakadaha, wuxuuna furan ka reebaa tan muhiimka ah: qalabka laanta kee ayaa gaari kara adeegga dhexe kee. U qaadashada tunel-ka kalsooni laba-geesood ah waa dariiqa kombuyuutar marti uu ku dhamaado isla wadada server-ka maaliyadda. Xalku ma aha tunel wanaagsan, laakiin liis cad oo fasax ah oo la dhaqangeliya kadib furitaanka. Hagahan wuxuu liiskaas ka qaadayaa qeexid ilaa diidmo la caddeeyay.
Ku shaqee nidaamkan, oo ha ballaarin wadada tunel-ka ilaa tallaabooyinka siyaasadda ee hoose ay gudbaan.
Qor shaxda ka hor inta aanad taaban albaabka
Sadar faa'iido leh waxay sheegtaa saddex waxyaabood: kooxda isha, martigeliyaha ama shabakadda adeegga loo socdo, iyo borotokoolka iyo dekedda ay codsigu dhab ahaan isticmaalo. Laanta iyo xarunta xogta ma aha gelitaanno. DNS gaar ah iyo adeegyada xaqiijinta waxay leeyihiin sadarro u gaar ah kaliya marka codsigu aanu ka shaqayn karin la'aanteed.
Koox isha u kala saar doorka halkii ay ka ahaan lahayd fududaynta shabakada hoose: shaqaalaha, martida, maamulka. Marka saddexda ay wadaagaan hal LAN fidsan, albaabku kuma kala garto heerka shabakada, sidaas darteed kontoroolka aqoonsiga ama qaybinta waa inuu hor yimaado. Kadib shaxda qoraal ahaan dhig, iyadoo sadar kastaa leeyahay milkiile iyo taariikh dib-u-eegis.
| Isha | Meesha | Adeegga | Go'aanka |
|---|---|---|---|
| shaqaalaha laanta | codsiga ballansashada 10.10.5.10 | TCP 443 | fasax albaabka fureya |
| shaqaalaha laanta | VLAN maamulka server-ka | wax kasta | diidmo qarsoodi ah |
| Wi-Fi martida | wax kasta oo xad dhexe ah | wax kasta | diid ka hor tunel-ka |
| martigeliyaha boodhka maamulka | VLAN server-ka | TCP 22 iyo 3389 | fasax MFA, dab-damiska martigeliyaha ayaa sii cidhiidhiya |
Ku dhaqangeliso meesha baakadaha lagu furo
Xeerarka fasaxa IKE iyo ESP waxay kaliya dhisaan tunel-ka dibadda. Taraafikada gudaha waxay u timaadaa si furan interface-ka tunel-ka, oo halkaas ayaa liiska fasaxa ku habboon yahay: silsilad gudbin oo ku taal qalabka fureya, tuurista caadiga ah, hal xeer sadar kasta oo shaxda ah. Albaabada Linux taas macnaheedu waa gudbin firfircoon iyo xeerar shaandhayn oo ku yaal qalabka tunel-ka, ma aha xiriirka jirka, sida uu sharraxayo hagaha gudbinta strongSwan.
Doorashada taraafikada waa go'aan waddo-marin, ma aha go'aan fasax. Doorasho ballaadhan oo daboola labada shabakadood ayaa laga yaabaa inay sax tahay waddo-marinta halka dab-damiska uu weli fasaxayo kaliya TCP 443 oo u socda hal martigeliyaha. Doorashada waxaa loo gorgortamaa tunel-ka waxayna sharraxdaa waxa geli kara, ma aha waxa qalab gaar ah isticmaali karo. Waligaa ha ballaarin xeerka dab-damiska sababtoo ah doorashada way ballaadhan tahay.
iptables -A FORWARD -i tun0 -s 10.20.0.0/24 -d 10.10.5.10 -p tcp --dport 443 -j ACCEPT
iptables -A FORWARD -i tun0 -j DROPNAT iyo shabakadaha is-dulsa waxay beddelaan xeerarka
Marka albaabka laantu ka hor tunel-ka u tarjumo martigeliyaha kasta hal cinwaan, sadar kasta oo ku salaysan isha wuxuu ku dumaa hal cinwaankaas. Ama jooji tarjumaadda taraafikada tunel-ka, ama aqbal in xeerarku ay ku tiirsanaadaan wax kale, sida cinwaanka isha asalka ah ee la diiwaangeliyay ka hor tarjumaadda. Dhinaca fog waxay leeyihiin isla dhibaatada, sababtoo ah martigeliyaha meeshu wuxuu arkaa cinwaanka NAT kadib ee ma aha kii asalka ahaa.
Xadadka is-dulsa waa dabin kale. Laba xafiis oo labaduba isticmaala 192.168.1.0/24 laguma sharraxan karo hal shax siyaasadeed iyada oo aan dhinac la khariidadin, khariidadintuna ma beddelo cinwaan-qaadasho aan isku dhicin. Hagaaji qorshaha ka hor inta aanad qorin xeerar aad mar dambe furfurto.
Caddee diidmo, ma aha kaliya guul
Tijaabinta kaliya codsiga la fasaxay wax yar bay caddaynaysaa, sababtoo ah xeer dabacsan oo meel sare yaalla ayaa isla natiijada keenaya.
Qalab caadi ah oo laanta ka mid ah, gaar adeegga loogu talagalay oo xaqiiji in kulanku dhan uu shaqeeyo. Kadib isku day meel ay tahay inay xiran sii ahaato, sida deked maamul oo ku taal server-ka aan laanta waxba ka qabin, oo akhri tiriyaha ama diiwaanka log-ga ee tuuray. Daminta xeerarka si aad u eegto inay shaqeeyaan waxay burinaysaa tijaabada waxayna albaabka u reebaysaa furan inta aad eegayso.
Liiska si nool u hay
Codsigu way guuraan, xeerka ka cimri dheer codsigooda wuxuu noqdaa dalool aan cidna lahaan. Ku dheji taariikhda dib-u-eegista sadar, oo beddel baaxadda doorashada iyo xeerka dab-damiska isla tallaabada dayactirka marka adeeggu cinwaan beddelo.
Xaddidaadaha heerka martigeliyaha ayaa weli muhiim ah gadaasha tunel-ka: dab-damiska server-ka laftiisa waa inuu aqbalaa xadka laanta kaliya adeegga uu daabacayo. Laba lakab oo isku raacsan ayaa ka fudud in la hantiyo mid keliya oo si buuxda loo aamino.