Ma isticmaali karaa qoraalka jillaabka OpenVPN tunnel-ka uu hadda dhisay?

In qoraalka jillaabku gaaro dhinaca kale ee tunnel-ka waxay ku xiran tahay saddex shuruudood: dhacdada uu ku xiran yahay, haddii OpenVPN uu weli ku jiro taxanaha bilawgiisa marka qoraalku socdo, iyo haddii shaqada laga soocay taxanahaas. Qoraallada badidood waxay ku guuldareystaan tan saddexaad. Ku darista hurdo waxay u qaadataa dhibaatada wareegga nolosha sida dhibaatada waqtiga, waxayna u shaqaysaa inta ku filan inay marin habaabiso.

Marka hore go'aanso dhacdada, ka dib habka dib u dhigista shaqada, ka dib goobta shaqada dib loo dhigay ay ku socoto. Saddexdan go'aannada way madaxbannaan yihiin, isku darkooduna waa sida jillaab laba sadar ah uu noqdo galab dhan.

Sababta jillaabku u sugayo tunnel isaga sugaya

OpenVPN wuxuu jillaabyadiisa u wacaa si isku mid ah, gudaha isla habka baakadaha dhaqaajiya. up wuxuu shaqeeyaa marka qalabka tun ama tap uu jiro laakiin ka hor inta aan la darin waddo kasta, route-up wuxuuna shaqeeyaa waddooyinka ka dib; midkoodna ma ballanqaado in dhinaca kale uu jawaabi doono. Inta qoraal ka mid ah jillaabyada uu weli socdo, daemon-ku ma gudbiyo, sidaas darteed amarka filaya in taraafikadu tunnel-ka dhex marto wuxuu sugayaa tunnel amarkaas sugaya. Sugitaankan wareegsan waa sababta aan orodka gacanta lagu sameeyo u gudbo jillaabkuna waqtigiisu dhammaado.

Daboolka cad, oo ah hurdo dhowr ilbiriqsi ah, mararka qaarkood wuu shaqeeyaa sababtoo ah dhinaca fog iskiis kor buu u kacay, ma aha in hurdadu wax hagaajisay. Kaaliye weydiiya diyaargarowga waa jawaab kale: jillaabku wuu soo noqdaa, gudbintu way bilaabataa, kaaliyuhuna wuxuu helaa wixii uu u baahan yahay marka uu run ahaantii jiro.

Dooro jillaabka dhacdada, ma aha fudaydka

Ku xir up shaqada kaliya u baahan qalabka, route-up shaqada u baahan waddooyin, oo hay client-connect iyo client-disconnect shaqooyinka macmiil kasta dhinaca server-ka. Nadiifinta goorta la gooyo waa inay u adkaysato in laba jeer la socodsiiyo, sababtoo ah dib u xidhka interface joogto ah kuma raaco isla taxanaha bilawga buuxa. Server-ka, client-connect wuxuu shaqeeyaa marka macmiilku is xaqiijiyo ee ma aha marka daemon-ku bilaabo, taas oo mudan in la xaqiijiyo ka hor inta aan macquulka loo raro halkaas. Haddii shaqadu ka tirsan tahay wareegga nolosha adeegga ee aan ahayn hal xiriir, unug systemd ayaa ka fiican guri kasta oo jillaab.

Amarrada jillaabka waxaa si toos ah u fuliya daemon-ka, iyada oo aan qol dhexe jirin, sidaas darteed ifconfig_remote oo ku jira sadarka up wuxuu yimaadaa sida qoraal macno ahaan ah. Ku duub amarka qol cad, ama ku hay macquulka qoraal akhrinaya deegaanka. ipchange waa hal tilmaam oo ku daraya doodihiisa: wuxuu amarka siinayaa cinwaanka iyo dekedda, sidaas darteed qoraal loo qoray midna ma arko laba lama filaan ah.

Saddex siyaabood oo loo kala sooco shaqada

Xulashada kowaad waa in kaaliyaha loo diro gadaal gudaha jillaabka: ku bilow setsid ama systemd-run --scope, xir sharraxaadaha la dhaxlay, oo isla markiiba ku bax eber. Tan labaad waa in jillaabku qoro fayl yar oo xaalad ah oo timer systemd ama unug waddo uu ku shaqeeyo, taas oo jillaabka ka dhigta mid fudud oo siyaasadda dib u dayashada dhigta meel logs leh. Tan saddexaad waa in jillaabka gabi ahaan loo tago oo shaqada loo raro unug ka dambeeya adeegga VPN, taas oo ah jawaabta saxda ah marka shaqadu aanay haba yaraatee mid kasta oo xiriir ahayn. Saddexda waxay wadaagaan hal sharci: jillaabku waa inuu soo noqdaa ka hor inta uusan u baahnayn tunnel-ka.

Wax kasta oo aad dooratid, kaaliyaha ka dhig mid isku mid ah oo la fiirin karo. Laba wicitaan oo is dulsaaran waa in aanay isla fal aan laga noqon karin laba jeer fulin, kaaliyaha guuldarraystaana waa inuu ka tago wax ay dadku akhrin karaan.

Kala sooc guuldarrooyinka sandbox-ka iyo guuldarrooyinka wareegga nolosha

Marka qoraal ka socdo root prompt oo uu ku guuldarraysto adeeg ahaan, sababtu badanaa waa sandbox ee ma aha shabakadda. ProtectHome xaddidan, ProtectSystem akhris-kaliya, ama galka shaqada oo aan jirin waxay ka dhigi karaan qoraalka ama xogtiisa mid aan la gaari karin, iyo martigeliyaha SELinux faylku wuxuu u baahan yahay macne oo ogolaada fulinta. Akhri unugga systemctl cat openvpn-server@server iyo joornaalka journalctl -u openvpn-server@server -n 80, ka dib raadi khalad fasax ama macne halkii waqti xiriir dhaqaaq. Daminta sandbox-ka waa inay noqotaa tallaabada ugu dambaysa, ma aha tan kowaad.

Guuldarrada wareegga nolosha ayaa u muuqata si kale: jillaabku wuu bilaabmaa, kaaliyuhu wuu socdaa, socket-kuna wali halkaas ma joogo. Qor sadar leh shaabad waqti ah oo ka timaadda jillaabka laftiisa, goo oo dib u xidh, oo akhri dhacdooyinka si kala horumarsan. Marka kaaliyuhu run ahaantii u baahan yahay tunnel-ka, u oggolow inuu weydiiyo diyaargarowga halkii uu muddo go'an seexan lahaa.

Saddex goobood ayaa warbixinta xigta faa'iido leh ka dhigaya: jillaabkee socday, akoonkee la isticmaalay, iyo halkee uu joogsaday. Iyaga la'aan baaritaan kasta oo dambe wuxuu ka bilaabmaa bilow.