OpenVPN iroute iyo wadada kernel: kee baa maqan?

Baakad loogu talagalay 10.77.20.0/24 waxay qaadataa laba go’aan oo kala duwan serverka OpenVPN: nidaamka hawlgalku waa inuu u gudbiyo interface-ka VPN, iyo OpenVPN waa inuu ogaado macmiilka xiran ee leh horudhacaas. Waddada kernel oo maqan ayaa tufta ka hor tunnel-ka, waddada peer oo maqan ayaa tufta ka dib. Labada ciladba isku mid ayay ka muuqdaan LAN-ka fog, oo in la ogaado kee baa kaa haysta waxay u baahan tahay hal ammar dhinac kasta.

Wadada xogta caadiga ah ee qaybta isticmaalaha, waddada kernel waxay baakadda geyso habka tunnel-ka, iroute-na waxay u sheegtaa habkaas peer-ka ay tahay inuu qaato. Midkoodna ma beddelo kan kale, oo qaab-dhismeedka sidan kaliya mid ka mid ah waxa uu u muuqan doonaa mid macquul ah ilaa ping-ka ugu horreeya.

Laba go’aan, ma aha hal waddo

Ka fikir xiriir ka dhexeeya laba goob oo 10.77.20.0/24 uu ka dambeeyo hal macmiil. Waddada kernel ee serverka, tusaale ahaan ip route add 10.77.20.0/24 dev tun0, waxay u dirtaa baakadaha u dhigma qalabka tunnel-ka. Kadib OpenVPN wuxuu eegaa shaxdiisa gudaha ah, oo laga dhisay gelinta iroute ee ku jirta gal-diiwaanka qaabeynta macmiilka, si uu u go’aansado xiriirka peer-ka ee qaata. Waddada kernel la’aan baakaddu waligeed ma gaadho habka, waddada peer la’aanna waxay gaadhaa habka oo meelna ma tagto.

Kala qaybintaas waa sahlan tahay in la illoobo, sababtoo ah hal saf oo waddo ah oo ku jira borofaylka macmiilka wuxuu u ekaan karaa mid qabta labada shaqo. Ma qabto: waddada riixidda waxay u sheegtaa macmiiliinta waxa tunnel-ka loo maro, halka iroute uu serverka u sheegayo cidda leh baaxadda cinwaanka ee ka dambeysa macmiil. Waxay ku nool yihiin faylal kala duwan, dhinacyo kala duwan ayaa akhriya, oo jihooyin iska hor imanaya ayay ku guuldareystaan.

Xaggee iroute ku habboon yahay iyo waxa uu sheegayo

Gelinta waxay gashaa fayl macmiil kasta oo loogu magac daray common_name ee macmiilka, oo ku jira client-config-dir, sida iroute 10.77.20.0/24. Is waafajinta magaca faylku ma aha qurxin: OpenVPN wuxuu raadiyaa aqoonsiga la xaqiijiyay oo wuxuu akhriyaa faylka isla magacaas, sidaas darteed fayl la yiraahdo site-a wuxuu kaliya saameeyaa macmiil magaciisa guud yahay site-a. Ku dar ccd-exclusive haddii macmiiliinta aan lahayn faylkaas si buuxda loo diidi lahaa, taas oo ah dejinta saxda ah marka macmiil kastaa yahay irrid goob. Hayso hal fayl irrid kasta oo u magac dar mawduuca shahaadada aad runtii soo saarto.

Tijaabi gelinta serverka ka hor intaadan LAN-ka fog eedayn. Faylka xaaladdu wuxuu taxaa macmiiliinta xiran magacyadooda guud, serverkuna ku shaqeeya --verb 4 wuxuu diiwaangeliyaa rakibidda iroute marka peer-ku xirmo. Haddii xilliga xiritaanka waxba soo muuqan, faylku wuxuu ku jiraa gal-diiwaan khaldan ama wuxuu magacaabayaa aqoonsi khaldan.

Dabinka: faylka wuu jiraa, aqoonsiga waa khalad

iroute si sax ah u muuqda oo ku xiran peer khaldan wuxuu lumiyaa waqti ka badan fayl maqan, sababtoo ah wax walba oo disk-ka ku jira wax bay u muuqdaan sax. Magac-beddelka shahaadooyinka, magacyo guud oo labanlaabma, iyo username-as-common-name oo beddela aqoonsiga dhabta ah ayaa dhammaantood abuura. Hubi aqoonsiga serverku xaqiijiyay, ma aha kii aad filaysey: soo-saarka xaaladdu waa awood, halka magaca faylku uu yahay kaliya fure raadin.

Waddo waxay ka sii noolaan kartaa milkiilaheeda. Waddooyinka joogtada ah iyo gelinta iroute waxay qeexaan horudhac, ma aha dammaanad helitaan, sidaas darteed taraafikadu waxay sii wadi kartaa in loo jiheeyo peer hadda go’an.

Dhammaystir wadada peer-ka shishadiisa

Milkiilaha peer-ku waa badhtamaha wadada, ma aha dhammaadkeeda. Macmiilku waa inuu baakadaha ka gudbiyo tunnel-ka oo u guuriyo LAN-kiisa, taas oo macnaheedu yahay gudbinta IP ee ka shaqeeya hostkaas iyo qaanuun firewall oo ogolaada gudubka. Hostyada ku jira LAN-ka fog waxay u baahan yihiin waddo soo-noqod oo loogu talagalay cinwaanka tunnel-ka: ama waddo u jeedda irridka, ama nashqad NAT oo si ula kac ah loo sameeyay dhinaca macmiilka. Ku xaqiiji dejinta gudbinta macmiilka sysctl net.ipv4.ip_forward, halkii aad ka fikiri lahayd qiimaha caadiga ah ee qaybsiga.

Haddii macmiiliin kale oo VPN ah ay tahay inay gaaraan subnet-kaas, habayntu mar kale way kortaa: serverku wuxuu u baahan yahay client-to-client, macmiiliintaasna waa inay horudhaca ku maraan tunnel-ka. Midkoodna kama imaanayo shaxda waddooyinka serverka laftiisa.

Xaqiiji hal meel oo laga yimid isha dhabta ah halkii serverka laftiisa. Ping laga bilaabo host LAN oo aan xiriir la lahayn oo loo diro host ku jira peer-ka gadaashiisa wuxuu hal tallaabo ku tijaabiyaa waddada soo-noqodka, qaanuunka gudbinta iyo milkiilaha peer-ka, halka handshake guuleystay uu kaliya caddeeyo aqoonsiga. Kadib ka gooy peer-ka milkiilaha oo qor waxa waddadu qabanayso, sababtoo ah jawaabtaas waa habkaaga guuldarada.