Macaamilka OpenVPN wuxuu gaaraa serverka laakiin ma gaaro martigeliyaha LAN: liiska hubinta

Macaamilku wuxuu leeyahay wuu xiran yahay, cinwaanka tunnelka wuxuu ka jawaabaa ping, waxbana LAN-ka xafiiska kama jawaabaan. Tan waxaan arkaa ku dhowaad kasta oo cusboonaysiinta macaamilka ka dib, oo dareenka ugu horreeya waa in la furo dab-demiska, taas oo inta badan tallaabo khaldan tahay: tunnelka wuu fiican yahay, jabkuna wuxuu ku yaal mid ka mid ah saddexda bood oo xirmadu ay tahay inay dhaafto. Raac wadada sida ay xirmadu u socoto, marka hore wadada macaamilka, ka dib gudbinta serverka, ka dib safarka soo noqodka, oo waxaad heli doontaa milkiilaha cilladda dhowr daqiiqo gudahood.

Tallaabada koowaad: fiiri go'aanka wadada macaamilka

Ka hor intaadan taaban serverka, caddee in macaamilku xirmada u diro tunnelka. Weydii kernel-ka interface-ka uu isticmaali lahaa hal martigeliyaha LAN oo gaar ah, halkii aad akhrin lahayd shaxda oo dhan:

ip route get 192.168.50.10

Haddii jawaabtu sheegto adapterkaaga jireed iyo iridda xafiiska, wax isbeddel ah oo dhinaca serverka ah ma caawin karo. OpenVPN wuxuu qaybiyaa wadooyin kaliya marka serverku riixo, sidaas darteed ka raadi push "route 192.168.50.0 255.255.255.0" habaynta serverka, ka dibna dib u xidh macaamilka. Inta badan macaamiladu waxay dalbadaan wadooyinka la riixay marka la xidhayo, ma aha marka aad dib u soo rarto profile-ka.

Windows-ka su'aalaha isku mid ah waxay leeyihiin amar kale. Find-NetRoute -RemoteIPAddress 192.168.50.10 wuxuu daabacaa interface-ka iyo boodka xiga ee stack-ku dooran lahaa, route print -4 wuxuuna muujinayaa haddii prefix-ka la riixay uu jiro gabi ahaanba.

Tallaabada labaad: xaqiiji in serverku xirmada gudbin doono

Haddii wadada macaamilku saxan tahay, xirmadu waxay gaartaa serverka oo serverku waa inuu ogolaado inuu gudbiyo. Furaha kernel-ka waa iridda koowaad, sysctl net.ipv4.ip_forward waa inuu soo celiyaa 1. Dejinta echo 1 > /proc/sys/net/ipv4/ip_forward waxay shaqaysaa ilaa dib u kicinta xigta, sababtaas darteedna isla cabashada ayaa soo noqota toddobaadyo ka dib.

Ku qor meel ka badbaadda dib u kicinta:

echo 'net.ipv4.ip_forward = 1' > /etc/sysctl.d/99-openvpn-forward.conf
sysctl --system

Irirda labaad waa shaxda shaandhaynta. Martigeliyaha Docker ku rakiban wuxuu inta badan qaataa siyaasadda FORWARD oo DROP ah, tunnelkuna wuxuu dhaxlaa go'aankaas. iptables -L FORWARD -v -n wuxuu muujinayaa siyaasadda iyo tirsadaha xirmadaba; haddii siyaasaddu DROP tahay, gudbintu waxay u baahan tahay fasax cad oo jihada tunnel ilaa LAN ah iyo mid kale oo jawaabta ah.

Tallaabada saddexaad: raac xirmada ilaa LAN oo raadi jawaabta

Fiiri labada dhinac ee serverka isla mar. Qabo tunnelka iyo interface-ka LAN, oo ku shaandhee hal macaamil iyo hal martigeliye si wax soo saarku u ahaado mid la akhriyi karo:

tcpdump -ni tun0 host 192.168.50.10
tcpdump -ni eth0 host 192.168.50.10

Codsiyada ka muuqda tun0 iyo mar kale eth0 oo leh isha 10.8.0.x, oo ay ku xigto aamusnaan, waxay ka dhigan tahay in xirmadu timi oo jawaabtu meel kale tagtay. Martigeliyaha LAN wuxuu ka jawaabaa iriddiisa caadiga ah, iriddaas ma laha wado loogu talagalay barkada VPN, jawaabtuna waxay ku dhimataa router-ka LAN. In serverka laga ping-gareeyo martigeliyaha LAN waxba kama caddeyso wadadan, sababtoo ah gaadiidkaas waligiis ma gudbo tunnelka.

Tallaabada afaraad: dooro mid ka mid ah turjumaadda iyo wado soo noqod

Laba hagaajin ayaa xidha daloolka, doorashaduna waxay leedahay saameyn ka baxsan haddii ping shaqeeyo. Turjumaadda isha waxay serverka ka dhigtaa diraha muuqda:

iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -o eth0 -j MASQUERADE

Ku xaddid qaanuunka barkada iyo interface-ka LAN, ka dibna ka dhig mid joogto ah, haddii kale dib u raridda dab-demiska ee xigta ayaa si aamusan u tirtiraya hagaajintaada. Qiimuhu waa aqoonsi: macaamil kastaa wuxuu u eg yahay serverka VPN diiwaannada LAN iyo qaanuunnada gelitaanka, iyo per-client policy becomes guesswork.

Wado joogto ah oo loogu talagalay 10.8.0.0/24 oo ku taal router-ka LAN, oo u jeedda serverka VPN, waxay ilaalisaa cinwaannada macaamilka oo muuqda waana jawaabta muddada dheer ee ka wanaagsan marka routerkaas uu adiga kuu yahay. Goobo badan ayaa labadaba shaqeeya muddo, NAT hagaajinta degdegga ah iyo wadada marka siyaasadda dab-demiska la qoro. Haddii serverku yahay lammaane goob-ilaa-goob ee aan ahayn barkad, dhinaca serverkana wuxuu u baahan yahay iroute oo loogu talagalay subnetka fog, haddii kale wadada lammaanku way jirtaa laakiin gaadiidka macaamilka marnaba lama xidhiidho iyada.

Tallaabada shanaad: ka xaqiiji macaamilka oo qor waxa isbeddelay

Wareegga ka xidh macaamilka, ma aha serverka. Ku xidh adeeg dhab ah oo ku yaal martigeliyaha LAN, ka dibna xaqiiji in tirsadaha turjumaaddu ay guureen iptables -t nat -L POSTROUTING -v -n, sababtoo ah qaanuunka eber xirmadood waa qaanuun aan waligiis is waafajin. Marka aad u baahan tahay caddayn in jihada soo noqodka la socdo, conntrack -L -s 10.8.0.5 wuxuu muujinayaa qulqulka iyo xaaladdiisa.

Kaga tag qoraal habaynta serverka: subnetkee, interface-kee, qaanuunkee, iyo haddii router-ka LAN uu leeyahay wado soo noqod. Marka xigta ee cusboonaysiinta macaamilku tirtirto wado la riixay, qoraalkaas wuxuu kulan dab-damis ah u beddelaa hagaajin hal sadar ah.