Hayso waddooyinka gaarka ah oo ka tag leexinta: tunnel qaybsan OpenVPN
Tunnel loogu talagalay shabakadaha gaarka ah oo keliya wuxuu u baahan yahay laba sharci: horgalayaasha gaarka ah way dhex maraan, daawashada caadiga ah waxay haysataa waddadeeda maxalliga ah. Tirtiridda waddo caadi ah ma aha siyaasad.
Tunnel-ku wuu soo baxaa, abka wuu soo rarmaa, ka dibna wax kasta oo kale oo laptop-ka ku yaal waxay bilaabaan inay si la yaab leh u dhaqmaan. Tani waa qaabka caadiga ah ee siyaasad gaar ah oo kaliya oo lagu hirgeliyay tirtiridda hal sadar. Ka saaridda waddo caadi ah oo la riixay runtii waxay beddeshaa halka taraafikadu tagto, laakiin ma sheegto halka taraafikadu tahay inuu tago beddelkeeda, oo waxba kama qabanayo xallinta magacyada. Siyaasaddu waxay u baahan tahay laba qaybood oo togan ka hor inta aan la tijaabin.
Tirtiridda leexinta waa kala bar isbeddelka oo keliya
Leexinta tunnel buuxa iyo siyaasadda gaarka ah oo kaliya waxay ku kala duwan yihiin waxa ay ka sheegaan adduunka. Leexintu waxay sheeganeysaa meel kasta oo loo socdo, halka siyaasadda gaarku ay sheeganeysa liis oo ay inta kale u dhaafo. Tirtiridda sheegashada iyada oo aan liiska la qorin waxay soo saartaa macmiil aan meelna ka gaarin bannaanka shabakadda maxalliga ah, taas oo u eg fashilid waddo-maris ah halkii ay ka ahaan lahayd god ku yimid siyaasadda. Qor liiska ka hor inta aadan ka saarin sheegashada, ka dibna nidaamka labadaas tallaabo ma aha mid muhiim ah.
Labada qaybood waa shuruudo ma aha caadi. Horgalayaasha gaarku waa inay galaan tunnel-ka, oo meelaha caadiga ah waa inay hayaan waddadii ay lahaayeen ka hor xiriirka.
Haddii ururku uu waajibiyo tunnel buuxa, wax ka mid ah tan ma khuseeyo. Naqshadda gaarka ah oo kaliya waxay ka tirsan tahay hirgelinta halka waddo-marinta qaybsan la ansixiyay.
pull-filter waa isbarbardhig, ma aha furaha
Amarka pull-filter wuxuu ka saaraa xulashooyinka la riixay ee magacyadoodu la jaanqaadaan horgale, oo taasi waa waxa keliya ee uu sameeyo. Iska indhatirka leexinta waxay ka tagtaa xulasho kasta oo kale oo la riixay meesheeda, taas oo badanaa tahay waxa aad rabto: waddooyinka, dejinta DNS iyo qiimaha iridda waddada dhammaantood way yimaadaan. Sidoo kale ma ka saari karto amar ku qoran borofilka maxalliga ah, sababtoo ah shaandhayntu waxay khuseysaa waxa server-ku riixo.
Ka hortag soo jiidashada ah inaad iska indhatirto xulasho kasta oo ka bilaabma route. Qaabkaas wuxuu sidoo kale tuuraa waddooyinka gaarka ah ee xiriirku u baahan yahay, oo wuxuu lumin karaa macluumaadka iridda ee tunnel-ku ku tiirsan yahay.
route-nopull waa go'aan ka ballaaran inta la arko. Waxay ka hor istaagtaa macmiilka inuu aqbalo waddooyinka la riixay iyo xulashooyinka nooca DHCP oo koox ahaan, taas oo ka duwan siyaasadda shaandhaynta hal xulasho.
Qor liiska waddooyinka laga bilaabo abka ilaa bannaanka
Ka bilow waxa isticmaaluhu runtii furo, ka dibna ku dar qaybaha taageerada. Ab ku yaal 10.60.20.15 wuxuu tilmaamayaa shabakaddiisa hoose 10.60.0.0/16, magac gaar ahna wuxuu tilmaamayaa xalliyaha ka jawaaba. Sidaas darteed isticmaale codsaday hal ab wuxuu u baahan yahay laba meelood iyo hal go'aan DNS. Wax kasta oo ka baxsan liiskaas waa ka baxsan baaxadda dhismaha, oo taasi waa waxa siyaasadda u ilaalinaya mid la dib u eegi karo.
Server iskaashi sameeya waxay noqdaan laba waddo oo la riixay, oo midkoodna ma aha leexin. Hayso topolojiyada tunnel-ka iyo qiimaha iridda waddada ee adeegga jira bixiyo.
Marka kaliya qaar ka mid ah isticmaalayaashu u baahan yihiin siyaasaddan, ku dabaq macmiil kasta ama koox kasta. Beddelidda waddo-marinta qof walba si loo hagaajiyo baahida hal koox waa habka tunnel qaybsan uu u noqdo carqalad.
| Destination | Intended path |
|---|---|
10.60.0.0/16 | Tunnel, for the approved application services |
10.61.0.53/32 | Tunnel, to reach the internal resolver |
corp.example queries | Internal resolver, selected per namespace |
| Everything else | Local path and local resolver |
U daa DNS inuu raaco isla waddada
Waddada xalliyaha ma aha siyaasad xalliye. Macmiilka systemd-resolved natiijada macnaha waa domain waddo-marin oo loogu talagalay booska magaca gaarka ah oo tilmaamaya xalliyaha gudaha, oo taas ayaa sabab u ah in kaliya magacyadaas ay isticmaalaan. Macmiilka Windows wuxuu u baahan yahay beddelkeeda farsamadiisa siyaasadda booska magaca. Sadarka server-ka DNS ee borofilka kaligiis ma rakibo midkoodna.
Hubi waxa nidaamka hawlgalku doortay halkii aad ka hubin lahayd waxa borofilku codsaday. Linux resolvectl status wuxuu muujinayaa domain-ka iyo server-ka xiriir kasta; Windows shaxda siyaasadda booska magaca waa caddaynta u dhiganta.
Hayso xalliyaha la gaari karo tunnel-ka, haddii kale siyaasaddu waxay tilmaamaysaa cinwaan aan la weydiin karin. Cinwaanka xalliyaha oo tunnel-ku aanu gaarin wuxuu siyaasad shaqeynaysa u beddelaa waqti dhaaf.
Xaqiiji labada qaybood marka dib loo xiriiro
Dib u xiriir macmiilka isbeddelka ka dib oo baadh waddada wax ku oolka ah ee cinwaan gaar ah iyo mid dadweyne. Ka dib xalli magac gaar ah iyo magac dadweyne oo xaqiiji in mid kastaa isticmaalay xalliyaha loogu talagalay. Bogga dadweynaha oo soo rar-ma wuxuu caddeeyaa qaybta labaad oo keliya, oo badanaa qaybtaas ayaa si shil ah u shaqeysa.
Diiwaangeli siyaasadda dhammaatay hal jumlad: horgalayaashan iyo magacyadan waxay isticmaalaan xiriirkan, wax kasta oo kale waxay raacaan waddada maxalliga ah. Ka dib ku hay borofilka halkii aad ka hagaajin lahayd dejinta adapter-ka gelitaan kasta ka dib.