Qalab keliya oo VPN router ah ku mara wuxuu u baahan yahay saddex xeer, ma toggle

VPN router ma laha toggle qalab kasta; toggle-ka aad raadinayso waa gaaban oo kuu qoraya xeerarka jihaynta siyaasadda. Marka hal laptop, hal xadad port, hal liis cinwaan ama hal qayb LAN ay tahay inuu isticmaalo tunnel-ka inta inta kale oo dhan ku sii socoto WAN, waxaad dhisaysaa waddo siyaasad ee ma tihid inaad daaranayso shaqo. Shaqadu waxay leedahay saddex qaybood oo dhaqaaqa, mid kastana si kala duwan ayuu u guuldareystaa: shax calaamadsan oo aan waddo lahayn waxay u ekaanaysaa aamusnaan, calaamad lagu dhigay silsilad khaldan waxay u ekaanaysaa sida wax aan dhicin, iyo xeer NAT maqan waxay u ekaanaysaa tunnel isku xira oo waxba qaadi waaya. Laba qaybood oo kale ayaa lumma sababtoo ah waligood kama muuqdaan xeerka mangle, waana DNS iyo IPv6.

Halyeeyga: tunnel-ku waa dejinta macmiilka

Macmiilka VPN ee dhinaca router-ka wuxuu si fiican u qabtaa hal shay oo qallafsan: wuxuu 0.0.0.0/0 dhigaa shaxda jihaynta ugu weyn oo u jeediyaa tunnel-ka. WireGuard waxay taas ka soo qaadataa AllowedIPs, OpenVPN iyo redirect-gateway uu server-ku riixo, labaduba waxay beddelaan waddada host kasta oo ka dambeeya router-ka. AllowedIPs yaraynta ama route-nopull ku daridda waxay beddelaysaa waxa macmiilku rakibo. Ma beddelayso cidda rakistu khuseyso, sababtoo ah macmiilku waligiis ma arko qalab. Wuxuu arkaa oo kaliya baakadaha.

Doorashada isha ama meesha loo socdo waa go'aan jihayn, sidaas darteed waxay ka tirsan tahay lakabka siyaasadda router-ka: xeer mangle iyo shax labaad RouterOS, MARK iyo ip rule OpenWrt ama DD-WRT, ama xeer firewall oo gateway-giisu yahay tunnel-ka pfSense. Reseptiga macmiilka WireGuard ee Netgate waa tan la akhriyo ka hor inta aan la qiyaasin, sababtoo ah barahaas gateway-ga xeerka, qoondaynta interface-ka iyo gelitaanka NAT-ka baxa waa inay isku raacaan ka hor inta hal macmiil u isticmaalo tunnel-ka.

Qaybta labaad ee halyeeyga waa router-ka labaad. Iibsashada sanduuq kale, ama u raridda qalabka SSID martida, badanaa way shaqaysaa, sababtuna maaha hardware-ka: waxay qalabka dhigtaa subnet u gaar ah, taasoo ku siinaysa doorashada isha oo firmware-ku horey u fahmo. Haddii aad qaybtaas ku qeexi karto router-kaaga, sanduuqa dheeriga ah wuxuu xallinayaa dhibaato aadan lahayn.

Qaybta koowaad: tunnel aan ahayn waddada caadiga ah

RouterOS ku dar macmiilka waddo caadi ah la'aan oo tunnel-ka sii shax u gaar ah. Waddada koowaad waa caadiga calaamadsan; tan labaad waa qaybta guuldarrada.

/ip route add dst-address=0.0.0.0/0 gateway=VPN_GATEWAY_IP routing-mark=vpn distance=1
/ip route add dst-address=0.0.0.0/0 type=unreachable routing-mark=vpn distance=2

Waddada aan la gaari karin waa sababta shaxda calaamadsan ay ka adkaato liiska ka-reebista shaxda ugu weyn. Marka tunnel-ku dhaco, baakadaha calaamadsan waxay isla markiiba helaan aan-la-gaari-karin halkii ay aamusnaan ku noqon lahaayeen WAN, sidaas darteed ciladdu waxay ka muuqataa fariinta khaladka ee barnaamijka ee ma aha bogga juqraafiyeed ee aad saacad kadib eegto.

RouterOS 7 waxay kala saartaa waxa 6.x wada haystay: shaxda waxaad ku dhawaaqdaa /routing table add name=vpn fib, kadibna magac ayaad ku tixraacdaa waddada iyo xeerka mangle. Qayb 6.x oo qoraysa routing-mark iyada oo aan shaxda qeexin ayaa si nadiif ah u rartaa oo waxna lama taaagto. Midka kale ee caanka ah waa laba qaybood 0.0.0.0/1, ama laba caadi oo isku masaafo ku jira hal shax: kernel-ku mid ayuu doortaa, hab-dhaqankuna wuu is beddeli karaa dib u bilow kadib.

Qaybta labaad: calaamadee ka hor raadinta waddada

Doorashadu waxay go'aamisaa baakadaha galaya shaxdaas. RouterOS badanaa wuxuu ku bilaabmaa liis cinwaanno ah oo loogu talagalay siyaasadda meesha loo socdo, ama cinwaan isha ah oo loogu talagalay siyaasadda qalabka:

/ip firewall mangle add chain=prerouting src-address=192.168.88.50 action=mark-routing new-routing-mark=vpn
/ip firewall mangle add chain=prerouting dst-address-list=via-vpn action=mark-routing new-routing-mark=vpn
/ip firewall address-list add list=via-vpn address=203.0.113.10

Firmware-ka Linux waxay isla waxaas ku qabtaa calaamad netfilter iyo xeer u jeediya baakadaha calaamadsan shax aad buuxisay:

iptables -t mangle -A PREROUTING -p tcp --dport 27000:27050 -j MARK --set-mark 0x200
ip route add default dev tun0 table 100
ip rule add fwmark 0x200 table 100

Silsiladdu maaha doorasho qaab. Marka baakadku gaaro FORWARD raadinta waddada horey ayaa dhacday, sidaas darteed MARK ama DROP halkaas waxay ogaan kartaa inay dib u qorto ama tuurto. Calaamaddu waa inay ku dhacdaa PREROUTING oo loogu talagalay taraafikada la gudbiyo iyo OUTPUT oo loogu talagalay taraafikada router-ku isagu abuurado, halkaas oo DNS, NTP iyo hubinta cusboonaysiinta router-ku ku nool yihiin. Waddadaas baxa waa sababta caadiga ah ee dejinta si buuxda tunnel-ka loo geliyay ay wali ka jawaabto ISP resolver-ka imtixaanka qulqulka.

Siyaasadda qalabku waxay u baahan tahay isku-dhac aan simbiriirixan. DHCP ku kaydi cinwaanka, ama interface u dhig qayb gaar ah; cinwaan hadhow u guura qalab kale ayaa aamusnaan tunnel-ka ku dabaqaya macmiilka qaldan. Buundo SSID kasta oo subnet u gaar ah leh waa nooca adkaysiga badan ee isla fikradda, waxayna IPv6 xeerarkiina siinaysaa meel ay ku noolaadaan.

Qaybta saddexaad: NAT, DNS iyo ka-reebista LAN

Taraafikada tunnel-ka ka baxa waxay u baahan tahay cinwaan isha ah oo dhinaca kale ka jawaabi doono. Ku xaddid turjumaadda interface-ka tunnel-ka: out-interface=VPN_NAME RouterOS, -o tun0 Linux, gelitaan NAT baxa oo u dhigma pfSense. Xeer masquerade oo aan xaddidnaan ayaa dib u qoraya taraafik aad uga tagtay inaad kaligeed ka tagto, calaamadduna waa qalabka tunnel-ka la'aantiis lumiya cinwaankiisa guud.

Ka-reebista LAN waxay abuurtaa mawduucyo taageero badan marka loo eego tunnel-ka laftiisa. Haddii shaxda calaamadsan ay hayso oo kaliya waddo caadi ah, meesha printer ama NAS ee qalabka la doortay ayaa u dhiganta caadigaas oo ku lumma tunnel-ka. Ku dar waddada LAN isla shaxdaas, ama ka reeb subnet-ka maxalliga doorashada; labaduba way shaqeeyaan, ka-reebistuna way fudud tahay in si sax ah loo hayo markaad VLAN-yo ku darto mar dambe.

DNS wuxuu qaataa waddo gaar ah. Weydiimaha router-ku gudbiyo waxay ka soo jeedaan router-ka oo raacaan OUTPUT, ma aha calaamadda la gudbiyay, sidaas darteed laptop si buuxda tunnel-ka loo geliyay wali wuxuu magacyo ku xallin karaa ISP. Macmiilada u jeedi resolver laga gaari karo tunnel-ka, ama calaamadee taraafikada port-53 ee router-ka laftiisa, kadib hubi cinwaanka la xalliyay halkii aad ka fikiri lahayd in jawaabtu la safratay codsiga web-ka.

Marka xeerku u dhigmaan laakiin barnaamijku wali isticmaalo WAN

Liisaska meelaha loo socdo si xun ayay u duqoobaan. Magac wuxuu u xallimaa cinwaan aan liiska ku jirin, sidaas darteed codsigu wuxuu qaataa WAN inta tijaabo kasta oo aad ku samaysay cinwaanka liiska ku qoran ay shaqeynayeen. Cusboonaysii liiska isla resolver-ka macmiilku isticmaalo, oo dooro doorasho ku salaysan isha markaad run ahaantii rabto dhammaan taraafikada hal qalab.

IPv6 waa dhuumasho aamusan. Qalabku waxay leedahay qoys cinwaan labaad oo waddo caadi iyo xeerar u gaar ah leh, isku-dhigidda kaliya cinwaanka IPv4 waa kala badh siyaasadda. Isticmaal isla doorashada ip6tables ama nftables u dhigma, ama IPv6 ku dami qaybtaas si ula kac ah ee ma aha si shil ah.

Xiriirrada la aasaasay iyaguna muhiim. Gelitaan conntrack oo la abuuray ka hor isbeddelka ayaa sii raaca waddada hore ilaa uu dhacayo, sidaas darteed browser-ka furmay inta lagu jiray tafatirka wuxuu u eg yahay si sax ah xeer aan waligiis la dabaqin. Fur xiriir cusub, ama nadiifi xaaladda, ka hor inta aad qiimeyso siyaasadda.

Ku xaqiiji laba qalab iyo dib u bilow

Tijaabi qalabka tunnel-ka ku jiri lahaa iyo qalabka aan ku jiri lahayn, oo isbarbardhig boodhka labaad halkii lambarka xawaaraha. Traceroute mid kastaa wuxuu boodhka labaad ku tusaa gateway-ga tunnel-ka ama gateway-ga ISP; haddii labaduba isku mid u muuqdaan, calaamadda ama shaxdu ma samaynayso waxa xeerku sheegayo. Tijaabada isticmaal xiriirro cusub.

Kadib dib u bilow. Nidaamka bilaabista waa meesha siyaasad shaqeynaysa u xumaato, sababtoo ah macmiilku waa inuu sare joogaa ka hor inta waddada aan la gaari karin la rakibo, oo sawir kaydsan oo soo celiya xeerarkii hore ayaa shaxdaada dul qoraya. Hubi in xeer kastaa uu ku jiro qaabeynta kaydsan iyo in caadiga calaamadsan uu jiro bilaabista kadib, ma aha oo kaliya markaad qortay.

Haddii wax guuldareysto, marka hore ka saar calaamadda oo eeg in taraafikada caadiga ah soo noqoto, kadib ka saar shaxda. Nidaamkaas wuxuu kuu sheegayaa haddii aad eryanayso dhibaato jihayn ama tii firewall, wuxuuna qoyska uga tagaa printer shaqeeya inta aad shaqada dhammaynayso.