Router LAN iyo macmiil VPN: laba qalab, laba shax oo waddooyin

Laba qalab ayaa baakadda gudbiya mid kastana wuxuu hayaa shaxiisa. Router-ka LAN wuu ogyahay in horgalaha fog uu leeyahay macmiilka VPN, macmiilka VPN-na wuu ogyahay sida loo gaaro horgalahaas isagoo maraya tunnel-kiisa. Ku habee shaxda kowaad oo keliya oo baakaddu waxay gaartaa mishiin aan lahayn waddo u dhiganta, sidaas darteed mar kale ayay ka baxdaa waddada caadiga. Taasi waa cilad-dhammaanteed, oo dhinaca LAN waxay u ekaanaysaa sida wareeg waddooyin, sababtoo ah waa sidaas uun.

Sawir labada bood ka hor intaadan taaban waddo

Qaado qaab tusaale ah: martigeliyayaasha LAN ee 192.168.50.0/24, router-ka caadiga ah ee 192.168.50.1, macmiil gaar ah oo 192.168.50.15 ah, iyo LAN fog oo 10.60.0.0/24 ah oo kaliya laga gaari karo tunnel-ka uu hayo macmiilkaas. Midkoodna labada xadood ee gaarka ah ma is-dulsaaro kan kale, tunnel-kuna wuxuu leeyahay qorshihiisa cinwaan.

Labada xadood ee gaarka ah labadaba way muhiim yihiin sababtoo ah waxay go'aan ka gaaraan qalabka jawaabi kara. Dhinaca fog wuxuu arki doonaa baakadda oo ka timid cinwaanka tunnel-ka macmiilka, jawaabtiisuna waa inay hesho waddo dib ugu noqota 192.168.50.0/24. Haddii kaliya jihada bixitaanka la habeeyay, codsigu wuu shaqayn karaa iyadoo jawaabtu libdhayso.

Tallaabo 1: u jeedi router-ka macmiilka, ee ha u jeedin tunnel-ka

Router-ka LAN, ku dar waddo gool ah oo boodkeeda xiga uu yahay cinwaanka LAN ee macmiilka:

ip route add 10.60.0.0/24 via 192.168.50.15
ip route get 10.60.0.55

Diiwaankaas wuxuu leeyahay “u gaarsii mishiinka tunnel sameyn kara”. Waxba kama sheegayo sida tunnel-ka loo dhiso, mana beddelo waddada macmiilka laftiisa. Router la maamulo, wax u dhigma waxay ku nooshahay bogga waddooyinka joogtada ah ee qalabka; router Linux, waxay ka tirsan tahay habaynta interface-ka leh LAN, ee ma aha shell aad xidhi doonto.

Hubi jawaabta amarka labaad. Haddii uu soo sheego macmiilka gateway iyo interface-ka LAN device, boodka kowaad waa sax oo shaqada hadhay waxay ku taal mishiinka kale.

Tallaabo 2: sii macmiilka waddo u gaar ah dhinaca tunnel-ka

Macmiilka hadda wuxuu helaa baakad loogu talagalay 10.60.0.0/24 oo wuxuu eegaa shaxiisa. Haddii habaynta tunnel-kiisu ay rakibtay waddo horgalahaas, baakaddu way sii socotaa iyadoo sir ah. Haddii kale, baakaddu waxay la mid tahay tan caadiga ah oo waxay ku noqotaa 192.168.50.1, kaas oo mar kale u dira macmiilka.

Eeg ka hor intaadan wax ku darin:

ip route show table all | grep -E "10\.60\.0\.0/24|default"
sysctl net.ipv4.ip_forward

Waddada horgalaha oo maqan shax kasta waa natiijada aad raadinayso. Ku dar iyada oo loo marayo habaynta tunnel-ka laftiisa, si isku-xirka xiga uu mar kale u rakibo; ip route add gacanta lagu sameeyay waxay la libdhaa fadhiga oo ciladdu waxay ku soo noqotaa waqtiga ugu habboonayn. Boodka xiga waa interface-ka tunnel-ka ama cinwaanka VPN u qoondeeyo sida lammaanihiisa, iyadoo ku xiran macmiilka, cinwaanka lammaanahana waa inuu ka yimaado borofaylka hadda ee ma aha qoraal duug ah.

Wareegtu, marka ay dhacdo, ficil ahaan ma aha mid aan dhammaad lahayn: TTL way hoos u dhacdaa mar kasta oo la maro oo baakaddu waxay ku dhimataa fariin waqti dhaafay. Taasi waa sababta traceroute soo noqnoqda uu u soo jeedin karo wareeg, halka macmiil aan gudbin uu isla baakaddaas aamusnaan u tuuro.

Tallaabo 3: ogolow gudbinta oo dooro waddada dib u noqoshada

Helitaanka iyo gudbintu waa fasaxyo kala duwan. net.ipv4.ip_forward=1 macmiilka wuxuu ogolaanayaa gudbinta heerka kernel, oo qaybta firewall waa inay weli u ogolaato inta u dhaxaysa interface-ka LAN iyo tunnel-ka. Qaybta u ogolaata gelitaanka bogga maamulka macmiilka laftiisa ma ogolaan doonto gudbinta LAN fog, farqigaasna way fududahay in la seego marka isla martigeliyaha uu ping uga jawaabo gudaha.

Dhinaca fog wuxuu leeyahay dhibaatada muraayadda. Waa inuu ogaadaa in 192.168.50.0/24 laga gaari karo macmiilkan la xaqiijiyay. La OpenVPN tani badanaa waxay ka dhigan tahay waddo macmiil kasta oo ay riixdo habaynta server-ka, ama fayl u gaar ah macmiilka oo server-ka ku yaal oo ku dhawaaqa LAN-ka ka dambeeya macmiilka. La'aanteed, LAN foga ama waxay tuuraa jawaabta ama waxay u diraa gateway-keeda caadiga ah, taas oo ah internet-ka.

Turjumaadda isha waa beddelka marka horgalaha LAN aan la dhawaaqi karin. Qayb masquerade oo xaddidan oo macmiilka ku taal waxay dib u qortaa isha cinwaanka tunnel-ka, jawaabahana si dabiici ah ayay u soo noqdaan. Waxay kaloo qarinaysaa martigeliyaha LAN ee codsiga sameeyay, oo iyadu keligeed ma ogolaanayso dhinaca fog inuu bilaabo xiriiryo gudaha. Si ula kac ah u dooro heshiiskan, halka aad ku darto masquerade guud oo aad ka dib ogaato saameynta dhinaca.

Tallaabo 4: ka dhig labada go'aan mid joogto ah, ka dibna tijaabi waddada dhabta ah

Waddo kastaa waxay leedahay milkiile, milkiiluhuna waa habaynta dib u soo noqota marka la bilaabo ama marka dib loo isku xiro. Router-ka waxay noqon kartaa diiwaan waddo joogto ah; macmiilka waxay noqon kartaa borofaylka VPN, NetworkManager ama systemd-networkd. Hubi adigoo dib u isku xiraya tunnel-ka oo dib u bilaabaya macmiilka, ka dibna mar kale akhri shaxda halkii aad ku kalsoonaan lahayd wax ka beddelka.

Ka tag waddada caadiga ah ee qaada xiriirka dibadda ee tunnel-ka iyadoo aan la taaban. Beddelkeeda si loo “fududeeyo” habaynta wuxuu jebiyaa waddada sirta ah ka hor inta aan wax taraafik gudaha ah isticmaalin, calaamaduna waa tunnel aan marnaba dib u soo noqon karin beddelka ka dib.

Ka tijaabi martigeliyahaa LAN caadi ah, ee ma aha macmiilka, sababtoo ah codsi ka yimaada macmiilka marnaba ma isticmaalo boodka kowaad ee router-ka. Soo qaado adeeg kaliya ku jira LAN foga oo xaqiiji jirka jawaabta, ka dibna eeg tiriyayaasha ama diiwaannada macmiilka si aad u aragto gudbinta. traceroute gudaha ah oo muujinaya boodo gaar ah wuxuu caddeeyaa gudbinta, ee ma aha sirta: waddada dibadda waa goob gooni ah, oo kaliya tiriyayaasha interface-ka tunnel-ka laftiisa ayaa muujinaya waxa ka soo baxay.