Macaamiisha OpenVPN ma arkaan midba midka kale: subnet mise net30?

Laba cilad oo aan xiriir lahayn ayaa soo saara isla cabasho. Midda koowaad macaamiil mid ma gaaro midka kale xitaa cinwaanka tunnel-ka, sababtoo ah cinwaannada kuma jiraan hal subnet ama server-ku ma gudbiyo taraafikada dhexda asxaabta. Midda labaad ping way shaqaysaa laakiin liiska qalabka abka ayaa madhan, sababtoo ah ogaanshaha wuxuu ku tiirsan yahay broadcast oo tunnel lakabka 3 aan qaadi karin. Hal ping ayaa kala sooca, waxaana hagaajinta mid kasta aysan haba yaraatee u ekaan tan kale.

Hal ping ayaa dhibka u kala qaada laba

Macaamiil mid ka mid ah, ping cinwaanka tunnel-ka macaamiisha kale, ma aha magaciisa iyo ma aha cinwaankiisa LAN. Haddii taasi guul-dhaesto, gudbinta ama cinwaanaynta ayaa dhibka ah oo ogaanshaha waxba kama jiraan ilaa la hagaajiyo. Haddii ay guulaysato, gudbintu horey ayay u shaqaysaa oo waxa hadhay waa broadcast ama xallinta magacyada.

ip addr show tun0

Marka hore akhri interface-ka macaamiisha, sababtoo ah netmask-ka ayaa magacaabaya topology-ga. /24 ama mask kale oo subnet ah macneheedu waa barkad la wadaago; /30 oo leh cinwaan asxaab macneheedu waa qaabkii hore ee dhibic-ilaa-dhibic, halkaas oo macaamiil kastaa uu leeyahay hal deris oo keliya, server-ka.

net30 iyo subnet, oo laga akhriyay dhinaca macaamiisha

net30 server-ku wuxuu siiyaa macaamiil kasta baloog yar, sidaas darteed waddo loo maro cinwaanka tunnel-ka macaamiil kale ma jirto ilaa server-ku gudbiyo. Subnet-ka barkadda oo dhan waa hal shabakad, macaamiil kastaa wuu la hadli karaa qof kasta oo kale, server-kuna wuxuu dhex gudbiyaa. Taasi waa sababta hal habayn server u ekaan karo mid caafimaad qaba halka ping-yada asxaabta ay guul-dhaadaan: waxba ma jaban, macaamiisha si fudud iskuma jiraan hal shabakad. Macaamiilku wuxuu arkaa xiriir shaqaynaya iyo cinwaan asxaab oo aan jawaabin, taas oo u akhranaysa sida firewall laakiin dhab ahaan waa qaab cinwaanayn.

Beddelidda tilmaanta waa tafatir dhinaca server-ka lagu sameeyo iyo dib u bilow, waxayna khusaysaa xiriirka xiga ee ma aha fadhiyada horey u furan. Dib u xidh macaamiisha ka hor intaadan qiimeyn beddelka. Haddii qalabku uu dib u soo saaro habaynta interface web, qor tilmaanta, faylka iyo taariikhda, oo tafatirka ku samee interface-ka marka uu jiro, sababtoo ah dib u dhisku wuxuu tirtiri doonaa tafatir gacan lagu sameeyay marka xigta ee la keydiyo.

client-to-client waa irid gaar ah

Xitaa gudaha hal subnet server-ku wuxuu tuuraa baakadaha ka yimaada macaamiil mid oo loo jeediyay mid kale haddii aan client-to-client la dejin. Eraygaas muhiimka ah wuxuu server-ka ka dhigaa gudbiye taraafikada asxaabta halkii uu ka ahaan lahaa barta ugu dambeysa ee kaliya qaadata. Waa shardiga labaad ee dadku seegaan ka dib marka ay hagaajiyaan topology-ga.

Tani kuma fidto broadcast. Dejinta waxay gudbisaa unicast dhexda macaamiisha; kama dhigto tunnel-ka qayb la wadaago, waxna qadar ah kama gaarsiin doonto weydiinta ogaanshaha multicast asxaab kasta.

TUN iyo TAP, iyo waxa mid kastaa qaadi karo

Buundooynta qalab tap gelinta LAN waxay macaamiisha fog gelisaa domain broadcast-ka xafiiska, taas oo ogaanshaha si buuxda u xallisa. Qiimaha waa platforms aan hirgelin TAP, buundo ay tahay inay server-ka ku taalato, iyo domain guul-dhaqan halkaas oo duufaan broadcast ah oo ku socota fiilka xafiiska uu gaaro laptop kasta oo fog.

Laba ama saddex shaqo-joog loo baahan yahay xallinta magacyada, gelinta hosts ama cinwaan unicast ayaa aad uga jaban buundo. U gurto TAP marka borotokool aadan beddeli karin uu ku tiirsan yahay ogaanshaha lakabka 2, ee ma aha ka hor.

Macaamiisha isla subnet oo aan buundo lahayn

Bixinta cinwaan ka yimid baaxadda LAN ma dhigto macaamiisha fiilka. Server-ku wuxuu maraa dhexda tunnel-ka iyo Ethernet, sidaas darteed ARP cinwaankaas wuxuu ku hakadaa interface-ka server-ka oo LAN-ka intiisa kale waligiis ma ogaado halka uu ku nool yahay.

ip neigh add proxy 10.50.1.250 dev eth0

Proxy ARP ayaa xidha godkaas, server-ku wuxuu uga jawaabaa macaamiisha. Baaxad ahaan parpd wuxuu maareeyaa gelinta marka macaamiisha yimaadaan oo tagaan, halka sysctl net.ipv4.conf.eth0.proxy_arp=1 uga jawaabo wax kasta oo loo maro meel kale, taas oo ku filan inay hal-abuurkeeda ku abuurto qayb mashquul ah.

Waddada aad dooratid, ka saar NAT dhexda tunnel-ka iyo fiilka. Qaanuunka MASQUERADE wuxuu qariyaa su'aasha cinwaanaynta ee aad isku dayeyso inaad ka jawaabto. Wuxuu kaloo qofka xiga uga tagaa topology uusan ka fikiri karin dhinaca macaamiisha.

Ka hor intaadan wax beddelin, server-ka ku qabta hal isku-day tcpdump -ni tun0 oo xaqiiji in baakadda asxaabta ay timaado. Imaansho iyo tuurid waxay tilmaamaysaa client-to-client; weligeed iman la'aan waxay tilmaamaysaa topology ama marin. Buug-gacmeedka OpenVPN 2.6 wuxuu diiwaangeliyaa labada eray muhiim ah iyo topology-ga caadiga ah, taas oo mudan in lala barbardhigo noocaaga ka hor intaadan khad ka koobiyeysan post forum.

• Interface-ka tun wuxuu muujiyaa mask barkad halkii uu ahaan lahaa lammaane asxaab /30.
• Ping toos ah oo cinwaanka tunnel-ka kale ayaa guulaysata ka hor intaadan tijaabin ogaanshaha.
• Habaynta server-ku waxay ka kooban tahay client-to-client mar kasta oo asxaabtu ay baakado is-weydaarsadaan.
• Magacaab borotokoolka ogaanshaha aad tijaabinayso halkii aad dhahdo abku wuu guul-dhaadaa.
• Isticmaal TAP kaliya haddii platform kasta oo macaamiil oo kooxda ku jira uu taageero.
• Ka fogee NAT waddada u dhaxaysa tunnel-ka iyo LAN marka gaaritaanka gudaha isla subnet uu muhiim yahay.