Hal NIC ama laba? Go'aaminta habaynta isku-xirka server VPN

Hal adapter jidh ahaaneed ayaa ku filan serverro badan oo VPN ah, mana aha nashqad guud. Xiriirka sirta ah wuxuu yimaadaa adapter-kaas, habka VPN ayaa ka siibta sirta, ka dibna taraafikada gudaha waxay ka baxdaa isku-xir virtual ah ka hor inta aysan gaarin adeeg maxalli ah ama LAN la maro. In ay tani shaqayso waxay ku xiran tahay saddex shuruudood: halka ujeeddadu ku taal, in LAN uu leeyahay waddo ku noqosho oo ku socota kaydka macaamiisha, iyo in hal xiriir jidh ah oo la wadaago uu ku siinayo go'doominta aad sheeganayso. Ka jawaab saddexdan oo tirada adapter-yada way raacdaa.

Saddexda shuruudood ee tan go'aamisa

Shuruudda koowaad waa ujeeddada. Adeeg ku yaal server-ka VPN laftiisa waxaa laga gaaraa oo keliya isku-xirka tunnel-ka, halka server ku yaal LAN uu u baahan yahay gudbin iyo waddo ku noqosho. Shuruudda labaad waa waddadaas ku noqosho, sababtoo ah qalabka LAN waa inuu ogaadaa sida loo gaaro kaydka macaamiisha, ha ahaato maritaan ama tarjumaad ku taal server-ka.

Shuruudda saddexaad waa kala-soocidda. Hal adapter waxay ka dhigan tahay in packet kasta, sir ah ama maya, uu wadaago hal xiriir iyo badiyaa hal silsilad siyaasad ah, sidaas darteed sheegashada go'doomin oo ku tiirsan qalab gaar ah laguma buuxiyo hal isku-xir. Taasi waa xaqiiq ku saabsan waddada, ma aha sida nidaamka hawlgalka loo habeeyay. Weli waad shaandhayn kartaa taraafikada tunnel-ka, laakiin ma sheegan kartid xad aadan lahayn.

Midkoodna saddexda kama hadlayo tirada dekedaha ku yaal qalabka. Waxay ka hadlayaan maritaanka, lahaanshaha cinwaannada iyo inta nashqaddu ku tiirsan tahay kala-soocidda jidhka.

Laba adapter ayaa weli ah doorasho sharci ah marka aagagga jidhka, xiriirro kala duwan oo kor u kaca, wax-soo-saar ama waddo soo-kabasho oo ka baxsan xariiqda ay caddeeyaan. Kuwaasi waa shuruudo macquul ah, waana mudan in la sheego ka hor inta qof uusan dalban qalab.

Marka adeeggu ku shaqeeyo server-ka VPN

Kiiska ugu fudud uma baahna gudbin haba yaraatee. Daemon-ku wuxuu packet-yada macmiilka ka helaa isku-xirka tunnel-ka oo u gudbiyaa socket maxalli ah, jawaabtuna waxay ku soo noqotaa isla isku-xirkaas. Server-ka ahaan, cinwaanka kaydka macaamiisha waa cinwaan maxalli ah oo dhab ah.

Si kastaba ha ahaatee laba wax waa inay sax noqdaan: adeeggu waa inuu dhageystaa cinwaan uu tunnel-ku gaari karo, oo dab-damiska server-ku waa inuu aqbalaa taraafikada soo gala isku-xirka tunnel-ka. Labadaba waxaa lagu arkaa amarrada hoose.

ss -lntup | grep -E "5432|8080"
ip -brief addr show
ip route get 10.8.0.6 from 10.8.0.1

Adeegga ku xirid cinwaanka dadweynaha oo keliya, ama si khalad ah u shaandhaynta isku-xirka tunnel-ka, waxay abuurtaa xiriir gaara server-ka ka dibna dhinta. Taasi waxay u muuqataa cilad VPN, badiyaana waa go'aan socket ama dab-damis.

Marka ujeeddadu ku taal LAN

Halkan ayaa nashqadda hal adapter-ka ku kasbataa sumcad adag. Server-ku waa inuu u gudbiyaa packet-yada macmiilka dhanka LAN, qalabka LAN-na waa inuu jawaabaha ku celiyaa kaydka macaamiisha. Ama kaydkaas u qaado maritaan ahaan LAN, ama cinwaanka isha ku tarjun server-ka si jawaabahu server-ka laftiisa ugu soo noqdaan.

Labada jawaaboodba waa sharci oo waxay ku guuldareystaan siyaabo kala duwan. Waddada ku noqosho waxay cinwaanka macmiilka asalka ah uga dhigtaa mid ujeeddada aragto, taas oo wanaagsan diiwaannada oo xun xeerarka dab-damiska ee u qaata cinwaannada LAN. Tarjumaaddu waxay LAN ka dhigtaa mid fudud oo qarinaysa aqoonsiga macmiilka ujeeddada.

sysctl net.ipv4.ip_forward
nft list ruleset | grep -A4 'chain forward'
ip route show table main | grep 10.8.0

Waddo aan sinnayn waa calaamadda caadiga ah: codsiga macmiilka wuu yimaadaa, jawaabtu waxay ka baxdaa router kale, xiriirkaana wuu dhamaadaa isagoo aan khalad ku lahayn labada daraf. Ka qabso taraafikada labada dhinac ka hor inta aadan wax ku soo gabagabayn tunnel-ka.

Sababta alias uusan u abuurin aag labaad

Ku darista cinwaan labaad isla adapter-kaas, ama abuurista isku-xir dummy ah oo dayactira deked labaad, wax aad u yar ayay beddeshaa. Packet-yadu weli waxay ka baxaan isla xiriirka jidhka, isla dekedda switch-ka iyo badiyaa isla silsiladda dab-damiska, sidaas darteed xad cusub oo dhexdooda ah ma abuurmo. Taasi waa fududaan habayn, ma aha qaybin. U qaadashada xad aag ahaan waa habka sheegashada go'doomintu ay ku noolaato warqad oo keliya.

Aag gaar ah wuxuu u baahan yahay kala-soocid dhab ah oo ku taal waddada, taasna waa shuruudda uu buuxiyo adapter labaad. Haddii xeerku ku xiran yahay in taraafikada dhanka VPN uusan waligii la wadaagin domain baahin taraafikada dhanka LAN, hal cable ma bixin karo hantidaas, si kasta oo server-ka loo cinwaameeyay.

Halka badeecad ay u diiwaangeliso topoloji isku-xir badan oo loogu talagalay qaab gaar ah, raac dukumeentiga badeecadaas halkii aad hindisayso xal wareeg ah. Iibiyayaashu waxay sidoo kale beddelaan topolojiga la taageeray inta u dhaxaysa noocyada, taas oo sabab kale u ah in la akhriyo hagaha hadda jira halkii sawirka shaashadda ee saaxir hore.

Hubi habaynta marka la eego taraafikada aad ogolaatay

Taxliil qaybaha taraafikada ee server-ku qaadinayo: macmiil ilaa server, macmiil ilaa LAN, server ilaa LAN, iyo xiriirka dibadda ee sirta ah. Qayb kastaa waxay leedahay isha, ujeeddada iyo isku-xirka, habayntuna waa inay buuxisaa afartaas isla mar. Nashqad maareysa saddex ka mid ah ayaa badiyaa ah tan soo saarta tikitada.

Kadib xaqiiji isku-xirrada dhabta ah iyo qabashada dhabta ah, ma aha jaantuska ku yaal dukumeentiga nashqadda. Amarrada hoose waxay daabacaan labada aragtida.

ip -brief addr
ip route
tcpdump -ni any udp port 51820 -c 5
tcpdump -ni tun0 -c 5

Haddii qabashada dibadda ay muujiso taraafikada sirta ah oo qabashada gudaha ay muujiso taraafikada sirta laga siibay ee isku-xirka tunnel-ka, halka adapter-ka jidhku qaadinayo labadaba, hal NIC ayaa shaqaynaya. Haddii qabashada gudaha ay madhan tahay, dhibaatadu waxay ku jirtaa tunnel-ka ama xeerarka gudbinta, ma aha tirada adapter-yada. Go'aami topolojiga labadaas qabasho iyo shaxda maritaanka, isbeddelka xigana wuxuu heli doonaa wax lala barbardhigo.