U rar CIDka VPN-ka ciwaan IP dadweyne cusub: maxaad marka hore hubinaysaa
Beddelka goobta iyo kala-guurka barbaraha waxay ku jabaan meelo kala duwan. Baadh habaynta, NAT iyo shahaadooyinka, ka dib fiiri sida macmiil kasta u xalliyo magaca.
Cinwaan dib u qoondeyn waxay qaadataa hal daqiiqo. Toddobaadka xiga waa halka u raridda ku jabto, iyo marar dhif ah halka ay soo jeediso konsolka bixiyaha. IP dadweyne cusub waxaa lagu sheegay afar meelood: socketa uu daemonku dhageysto, xiriirka kalsoonida ee macmiiladu xaqiijiyaan, qaanuun kasta oo magacaabaya cinwaanka hore, iyo diiwaanka DNS ee isku xira. Laba u rarid waxay ka muuqdaan isku mid baannelka kontoroolka laakiin si kale ayay u dhaqmaan: cinwaanka dib u qoondeyn mashiinka aad maamusho, ama dhigashada endpoint labaad iyo macmiilada u rarid. Hubinta hoose waxay dhigtaa cilladaha jaban marka hore, qayb kastana waxay sheegtaa u rariddee ay khusayso.
Beddelka goobta iyo kala-guurka barbaraha waa shaqooyin kala duwan
Beddelka goobta wuxuu hayaa martigeliyaha, furayaasha, shaxda marinka iyo liiska isticmaalayaasha; cinwaanka oo keliya ayaa is beddela. Taasi waa waxa ay sameyso dib u qoondeynta IP sabaynaysa, iyo bixiyeyaal badan macmiilku waxba ma dareemo, sababtoo ah turjumaaddu waxay dhacdaa hortiisa tusaalaha. Dib u dhis ama dib u qoondeyn bixiye ayaa ka adag: martidu waxay aragtaa isbeddelka, iyo wax kasta oo qiimihii hore kaydiyay ayaa isla daqiiqadaas ogaada.
Endpoint barbaraha ah waa martigeliyaha labaad oo isla shaqada qabta. Dhis, hal profile ku tijaabi, oo kan hore u daa jawaabta ilaa kan cusub isku caddeeyo waddo dhab ah. Qiimaha waa xaalad. Iyada oo aan la wadaagin diiwaannada peer, tirtirka iyo diiwaangelinta, waxaad haysataa laba shabakadood oo si kadis ah u wadaaga magac.
| Question | In-place swap | Parallel endpoint |
|---|---|---|
| Rollback in one step? | Only if you can get the old address back | Point DNS back; old host still up |
| Blast radius | Every client at once | Only the clients you moved |
| Best when | The address is yours to reassign | The old address is gone for good |
Soo hel meel kasta oo cinwaanka hore ku qoran yahay
Ku bilow baaritaan qoraal, sababtoo ah faylasha habaynta waa qaybta fudud. Baadh habaynta daemonka, jajabyada dab-demiska, bartilmaameedka ilaalinta iyo wax kasta oo macmiil oo la abuuray oo diskiga ku yaal. Ku dar cinwaanka IPv6 haddii aad mid daabacdo; u rarid raacaya diiwaanka A oo keliya waxay macmiilada laba-stack ku reebtaa waddada hore.
OLD=203.0.113.10
grep -RIn -- "$OLD" /etc /root
ss -lunpt | grep -F "$OLD"
nft list ruleset | grep -F "$OLD"
iptables-save | grep -F "$OLD"
wg show all endpointsKadib baadh kernelka, sababtoo ah nidaam shaqaynaya wuxuu cinwaanka ku hayaa meelo aan faylna sheegin. Qaanuunka NAT isha oo taagan, gelinta ipset, cinwaanka bind iyo gelinta conntrack waxay ka sii noolaadaan beddelka habaynta ee ka saaray, qaarna waxay ka gudbaan dib u bilaabid sababtoo ah waxay ka soo noqdeen xirmo qaanuun la kaydiyay. Lakab ka sarreeya, kooxaha amniga bixiyaha, bartilmaameedyada isku dheelitirka culayska iyo hubinta ilaalinta gabi ahaan kama jiraan nidaamkaaga faylasha.
Qor liiska ka hor intaadan wax beddelin; waxay sidoo kale u shaqaysaa skript dib u noqosho.
Macmiilada magac marti waxay soo kabtaan; macmiilada IP qoraal ah way aamusaan
Haddii macmiiladu serverka ku gaaraan magac marti, kala-guurku waa inta badan dhibaato DNS, iyo TTL aad shalay dejisay ayaa go'aaminaya sida xun ay noqon doonto. Xaliyayaashu way kaydiyaan, stub xaliyayaashu mar kale way kaydiyaan, macmiilal badanna magaca waxay raadiyaan oo keliya xiriir cusub, sidaas darteed tunnel la aasaasay wuxuu hayaa cinwaankiisii bilowga.
Haddii endpointku cinwaan qoraal ah yahay, waxba dib looma xalliyo waxnana cabasho ma diiwaangeliso. WireGuard waxay kaydisaa cinwaan socket la xalliyay: Endpoint = vpn.example.net:51820 wuxuu noqdaa IP isla markii wg-quick up shaqeeyo wuxuuna ahaanayaa IP taas ilaa aad beddesho. OpenVPN way ka dulqaad badan tahay: waxay xallisaa magaca marti remote waqtiga xiriirka iyo, iyada oo resolv-retry infinite la socota, waxay mar kale isku daydaa DNS marka dib loo xiro. IP qoraal ah la siiyo, labaduba waxay wacaan mashiin aan hadda jirin.
Waxa dadka khiyaaneeya waa sawirka muraayadda. Macmiil hore u jeediyay cinwaanka cusub, inta dhagaystaha hore wali jawaabayo, wuxuu ka gudbaa baaritaan kasta oo aad miiskaaga ka sameyso. Anigana taas ayaa i khiyaanay: endpointka cusub wuxuu telefoonka ku soo baxay isku daygii ugu horeeyay, macmiil profayl duugoobay lahaana wuxuu soo muuqday oo keliya markii dhagaystaha hore aad u dambeeyay la damiyay.
Kalsoonidu la socoto cinwaanka ma tahay
WireGuard waxay kala soocdaa aqoonsiga iyo gaaritaanka, taas oo u raridda cinwaanka ka dhigtaa mid bilaash ah. Peer-yada waxaa lagu gartaa fure dadweyne, endpointkuna waa oo keliya halka baakaduhu hadda tagaan; martigeliyuhu wuxuu cusboonaysiiyaa endpointka peer-ka cinwaanka isha baakadka ugu dambeeyay ee la xaqiijiyay. Peer aan firfircoonayn wali wuxuu u baahan yahay sabab uu kala hadlo meesha cusub, cinwaankana wuxuu bartaa oo keliya marka kulankiisu duugoobo oo isku dayada handshake ku guuldareystaan meel muuqata. Bilowga degdega WireGuard wuxuu daboolaa goobta endpoint.
Serverada ku salaysan TLS waa kiiska ka soo horjeeda. Shahaadadu waxay ku xiran tahay magac, macmiilka cinwaanka garaacuna wuxuu barbar dhigaa waxa uu garaacay iyo magacyada beddelka mawduuca. Ku xir IP shahaado sita SAN DNS oo keliya oo xaqiijintu way guuldareysataa: magaca macmiilku isticmaalay kuma jiro shahaadada. Dib u soo saarid SAN IP leh waxay hagaajisaa xiriirkaas keliya waxayna ka dhigtaa u raridda xigta mid ka sii xun. Magac marti ku haynta profaylka iyo ka tagista verify-x509-name meeshiisa waxay hubinta ku haysaa mid adag inta cinwaanka hoostiisu is beddelayo.
Kadib hubi waxa daemonku ku xiran yahay; socket cinwaanka hore ku dheggan si aamusnaan ah ayuu u guuldareystaa. Server OpenVPN lagu bilaabay local 203.0.113.10 wuu diidaa inuu soo baxo isla markii cinwaankaas tago, halka dhagayste ku yaal 0.0.0.0 uu isbeddelka bilaash ku raaco. NAT sidoo kale ayuu u kala qaybsamaa: MASQUERADE wuxuu raacaa cinwaan kasta oo mashiinku hadda leeyahay, iyo SNAT --to-source 203.0.113.10 taagan wali wuxuu u qoraa cinwaan aanad lahayn, sidaas darteed taraafikada soo noqota way lumaysaa. Haddii cinwaanka cusub la yimaado gateway upstream kale, hubi rp_filter: shaandhaynta waddada gadaal waxay tuurtaa taraafikada soo noqota ee yimaada interface kernelku aanu filaynin.
Nidaamka kala-guurka iyo caddaynta inuu shaqeeyay
Hoos u dhig TTL maalin ka hor, dhis dhagaystaha cusub, oo ku caddee profayl keliya adiga kuu yaal. Imtixaan ka yimaada gudaha isla shabakadda waxba caddeyn maayo, sidaas darteed isticmaal telefoon ku yaal shabakad mobil ah oo tijaabi wax tunnelku qaadayo halkii aad ping ku samayn lahayd endpointka.
La soco labada cinwaan inta lagu jiro daaqadda. wg show all latest-handshakes martigeliyaha cusub, ama faylka xaaladda OpenVPN, wuxuu kuu sheegaa inta peer si dhab ah u rartay. Marka endpointka cusub leeyahay peer-yadii aad filaysay kuna hore ku hadhi kara oo keliya kuwa dib u haray, hawlgab dhagaystaha hore, ka saar qaanuunka NAT duugoobay oo cinwaanka ka saar dab-demiska bixiyaha. Ka saarista dhagaystaha hore waa tallaabada la boodo, waxayna xirtaa farqiga uu profayl duugoobay wali ku gaaro shabakadda hore.
Qor kicinta dib u noqosho qoraal ahaan ka hor intaadan bilaabin: haddii endpointka cusub uusan helin handshake macmiil dhab ah kadib daaqadda la isku raacay, soo celi cinwaanka hore oo jooji qaybinta profaylada. Kadib mar kale socodsii baaritaanka oo xaqiiji in aanay dhagayste ku xirnayn cinwaan hawlgab ah. Laba wax ayaa u gudba u raridda xigta: magac marti profaylka macmiilka si isbeddelka xiga uu noqdo tafatir DNS, iyo liiska lagu kaydiyay agteeda qoraallada soo kabashada serverka.