Hal hub OpenVPN, saddex LAN: qorshaha cinwaannada iyo faylalka iroute

Saddex LAN oo gaar ah waxay ku kulmi karaan hal hub iyada oo aan goobna u baahnayn inay ogaato qaabka gudaha ee kuwa kale, oo naqshadda oo dhan waxay ku tiirsan tahay afar go'aan oo gaaban oo konfigureshin ah. Waxa ka shaqeeya ma aha sifo protocol oo qalaad, balse qorshe cinwaan oo aan cidna u baahnayn inay qiyaastaan, iyo route qayb kasta oo u sheegaya hubka qaybtee leedahay prefixkee. Haddii mid ka mid ah khaldan yahay, tunnel-ka si kastaba wuu soo baxaa, taasina waa waxa guuldarada ka dhigaya mid jahawareer leh.

Tallaabooyinka uga soco si isku xigta. Tallaabo kastaa waxay ku tiirsan tahay qorshaha tallaabada hore, oo midkoodna uma baahna hay'ad shahaado cusub.

Ku bilow qorshe aan cidna u baahnayn inay qiyaastaan

Qor afar prefix oo kala soocan ka hor inta aadan taaban faylal konfigureshin: LAN-ka hubka laftiisa, LAN-ka qayb kasta, iyo barka la siiyo macaamiisha guurguura. Kala soocnaantu waa waxa wax kasta oo kale ka dhigaya mid fudud, maxaa yeelay xaddiga is-dulsaarka ah waxay jihaynta ka dhigaan halxiraale is-waafajin dheer oo aan konfigureshin macmiil kasta wax ka beddeli karin. Kadib xaqiiji aaladda noocee ah ay tahay gateway-ga caadiga ah ee LAN kasta, maxaa yeelay router-ka qaybta oo aan ahayn gateway-ga LAN-keeda wuxuu u baahan yahay inuu route-ka fog meel kale gebi ahaanba dhigto. Ugu dambayn, dhig magacyada la xaqiijiyay ee aqoonsada qayb kasta, maxaa yeelay magacyadaas waa furayaasha faylalka macmiil kasta lagu raadiyo.

Qorshe tusaale ah ayaa barka ka fogeynaya saddexda LAN. Kaaga wuu ka duwanaan doonaa, oo qaanuunka kaliya ee adag waa in aan laba xaddi is-dulsanaan.

Hub LAN        172.20.0.0/24
Branch A LAN   172.21.0.0/24
Branch B LAN   172.22.0.0/24
VPN pool       10.77.0.0/24

identity branch-a owns 172.21.0.0/24
identity branch-b owns 172.22.0.0/24

U sheeg kernel-ka hubka halka ay qaybaha joogaan

Hubka wuxuu u baahan yahay laba macluumaad qayb kasta: kernel route oo prefix-ka u dira qalabka tunnel-ka, iyo galitaan iroute oo u sheegta habka OpenVPN macmiilkee leeyahay. Kernel route oo kaliya ayaa baakadaha gaarsiiya tunnel-ka oo halkaas ku istaaga, maxaa yeelay daemon-ku weli waa inuu go'aansado peer-kee qaadanaya. Galitaan iroute oo kaliya ayaa baakadahaas ku reeba kernel-ka iyada oo aan jid la raaco. Labada sadarba waxay ka tirsan yihiin konfigureshinka daemon-ku dhab ahaan rarto, taasina waa mid mudan in la xaqiijiyo ka hor inta aan wax kale la baarin.

dev tun
topology subnet
server 10.77.0.0 255.255.255.0
disable-dco

route 172.21.0.0 255.255.255.0
push "route 172.20.0.0 255.255.255.0"
client-config-dir /etc/openvpn/ccd
route 172.22.0.0 255.255.255.0

Ka dhig client-to-client dami marka kernel-ku yahay goobta fulinta qaanuunka. Ikhtiyaarkaas wuxuu taraafikada u dhexeeya peer-yada ku gudbiyaa daemon-ka gudihiisa, taas oo fudud oo sidoo kale macnaheedu yahay in qaanuunkaada gudbinta aanay waligood arkin socodka. Wax kasta oo hoos yaalla waxay u malaynayaan in kernel-ku arko baakad kasta oo u dhexeeya qaybaha.

Siin qayb kasta route-ka ay u baahan tahay

Qayb kastaa waxay u baahan tahay route-ka qaybaha kale iyo LAN-ka hubka, oo uma baahna mid LAN-keeda ku xiran. Prefix-yada fog ka riix hubka halkii aad ka dhejin lahayd router kasta, sidaas darteed goobta afraad mar dambe waxay ku macnayn doontaa hal fayl cusub oo macmiil kasta halkii afar wax-ka-beddel. Faylka macmiil kastaa wuxuu sidoo kale qaadaa sadarka iroute, kaas oo milkiilaha iyo xayeysiinta isku meel ku haya. Ka dhig galka iyo faylalkiisa kuwo la akhriyi karo sida moodalka mudnaanta server-ka, haddii kale raadintu waxay ku guuldareysanaysaa iyada oo aan fariin lahayn.

# /etc/openvpn/ccd/branch-a
iroute 172.21.0.0 255.255.255.0
push "route 172.22.0.0 255.255.255.0"

Goobta afraad waxay raacdaa isla qaabkaas: magac la xaqiijiyay oo gaar ah, prefix la leeyahay, kernel route hubka, galitaan iroute, iyo xayeysiin loo diro oo kaliya goobaha loo ogolaaday inay gaaraan.

Tijaabi labada jiho ka hor inta aadan dhammaystiran sheegin

Daar gudbinta IPv4 saddexda router, kadibna xaqiiji in firewall-ku u ogolaado socodka loogu talagalay labada jiho, maxaa yeelay tijaabada hal-jiho ah waxay ku gudbaa dariiqa soo-noqodka oo jaban inta badan wax ka badan inta qof walba filayo. Goobaha dhexdooda lama baahna turjumaad cinwaanka isha, oo ilaalinta isha asalka ah waa waxa u oggolaanaya qayb kasta inay siyaasadeeda ku dabaqdo codsi.

Ka tijaabi host ku yaal LAN qayb mid ah ilaa adeeg ku yaal tan kale, kadib u rog jihada, kadib ka tijaabi qayb ilaa LAN-ka hubka. Saddexdaas natiijo waa caddaymo kala duwan, oo midkoodna ma tilmaamayo kuwa kale. Haddii router-ka qaybtu aanu ahayn gateway-ga caadiga ah ee LAN-keeda, ku rakib prefix-yada fog gateway-ga dhabta ah oo ku dar barka sidoo kale marka macaamiisha tunnel-ku u baahan yihiin inay bilaabaan isku xirka LAN-kaas.

Diiwaangeli qorshaha, faylalka macmiil kasta iyo qaanuunka firewall-ka sidii hal dukumenti, maxaa yeelay ku-darka goobta xigta waxaa lagu qiimeyn doonaa iyaga.

Naqshaddu way isku haysaa maxaa yeelay lakab kastaa wuxuu leeyahay hal shaqo: qorshuhu wuxuu prefix-yada ka dhigaa kuwo gaar ah, kernel route-ku wuxuu dhaqaajiyaa baakadaha, iroute wuxuu magacaabaa milkiilaha, firewall-kuna wuxuu go'aamiyaa waxa la ogol yahay. Marka wax jabto, liiskaas ayaa sidoo kale ah nidaamka la hubinayo.