tun horay loo abuuray gudaha OpenVPN: isbarbardhigga labada qaab ee lahaanshaha

Qof ayaa horay u abuuray tun1, profile-ku wuxuu leeyahay dev tun1, xiriirka weli ma xirmaan. Jiritaanka magaca martida wax badan ma sheego, sababtoo ah xirnaanshaha waxay ku xiran tahay booska magacyada, nooca qalabka, cidda leh xiriirka iyo waxa loo oggol yahay daemon-ka. Isticmaalka mar labaad qalabka waxay sidoo kale ku qasabtaa go'aan ay qarinayso habaynta caadiga ah: qaybtee qora ciwaannada iyo wadooyinka. Qaababka guuldarada labada habab aad bay uga duwan yihiin khadadka habaynta, markaa go'aan ka gaar ka hor intaadan tafatirin profile.

Magac ma aha xirnaansho

dev tun1 wuxuu OpenVPN ka codsanayaa interface-kaas magaca leh, waxaana dhismayaasha caadiga ah ee booska isticmaalaha ay isku dayi doonaan inay furaan. Haddii magacu uusan raacin qaabka caadiga ah ee tun ama tap, profile-ku wuxuu sidoo kale u baahan yahay dev-type u dhigma, sababtoo ah nooca marnaba lama soo saaro xarig. Qalabka TAP ma aha qalab TUN oo sumad kale leh: ku xiridda kan qaldan ama isla markiiba wuu guuldarraystaa, ama wuxuu abuuraa xiriir qaada firamyo aan cidna filanayn. Hubi nooca wax kasta ka hor, sababtoo ah baaritaan kasta oo dambe wuxuu u malaynayaa in labada dhinac ay ku heshiiyeen. Ka dib, xaqiiji in habsocodku dhab ahaan furi karo qalabka, ma aha oo keliya inuu arko.

dev tun1
dev-type tun

Interface-ka shabakada iyo /dev/net/tun waa waxyaabo kala duwan: mid waa xiriir ku dhex jira booska magacyada, kan kalena waa qalabka xarfaha ee barnaamijka booska isticmaalaha u isticmaalo xirnaanshaha. Dukumeentiga Linux TUN/TAP wuxuu sharraxayaa waddadaas xirnaanshaha iyo xeerarka lahaanshaha qalabka joogtada ah. Shell root oo geli kara ip link waxay caddaynaysaa oo keliya in shell-ku leeyahay awoodo, ma aha in daemon-ku leeyahay. Lahaanshaha noodhka qalabka, qaybta awoodaha adeegga iyo isticmaalaha uu ku shaqeeyo dhammaantood waa inay is waafaqaan ka hor inta furitaanku guulaysan.

Qalab jira oo aan furmi karin waa dhibaato lahaansho, ma aha dhibaato jiheyn. Sidaas u qaado markaad cilad-baarinayso, haddii kale duhurnimadu waxay ku lumaysaa akhrinta shaxda wadooyin aan marnaba dhibaatada ahayn.

Yaa habeeya xiriirka: laba qaab oo lahaansho

Qaabka koowaad OpenVPN waxay habeysaa ciwaannada iyo wadooyinka iyada oo qayb ka ah kor u qaadista xiriirka. Taasi waa hab-dhaqanka caadiga ah oo ugu fudud in lagu fikiro, sababtoo ah hal qayb ayaa abuurta xaaladda oo mar kale ka saarta. Qaabka labaad maamule dibadeed ayaa leh interface-ka, ifconfig-noexec-na wuxuu ka joojinayaa OpenVPN inuu fuliyo amarradiisa habaynta ciwaannada oo wuxuu u gudbiyaa halbeegyada qoraallada. Markaas maamuluhu waa inuu isagu ku dhaqmo habaynta gudaha iyo tan lammaanaha oo sax ah, taas oo ka badan shaqada magaca ikhtiyaarku tilmaamayo. Doorashada labada dhexdooda waa su'aal ku saabsan cidda beddeli karta xiriirka inta uu kor yahay.

ifconfig-noexec wuxuu daboolaa ciwaannada oo keliya: shaxda jiheynta lama taabto, habaynta wadooyinkana waxay ka tirsan tahay route-noexec. U qaado labada tilmaamood sida kontoroolooyin kala duwan oo leh milkiilayaal kala duwan, sababtoo ah mid dejinta iyo kan kalena qaadanista waa isha caadiga ah ee xiriirada nus-habaysan. Dooro mid milkiile ah si sax ah ma lakab kasta, ciwaannada hal meel iyo wadooyinka hal meel. Maamulaha shabakada iyo kaaliyaha VPN oo labaduba qora ciwaannada waa sida xiriirka go'itaanku u tirtiro xaalad ay dhinaca kale weli ku tiirsan yahay.

Qalabka ka baar booska magacyada muhiimka ah

Qalabka ka baar booska magacyada uu habsocodka VPN ku shaqeeyo, ma aha kan uu shell-kaagu si kadis ah ugu jiro. Labada amar ee hoose waxay ka jawaabaan su'aalo kala duwan, farqiguna wuxuu muuqdaa marka martidu aragto interface aan konteynerku arkin. Ku socodsii amarka la bixiyay, sababtoo ah kan labaad wuxuu macne leeyahay oo keliya markaad ogaato in xiriirku jiro iyo in kale.

ip -details link show dev tun1
ip tuntap show

Amarka koowaad wuxuu daabacaa xiriirka sida kernel-ku u arko, oo ay ku jiraan calaamadaha iyo nooca interface-ka, sidaasna waad xaqiijinaysaa in tani tahay qalabkii aad ula jeeday. Kan labaad wuxuu taxaa gelitaannada tun/tap ee joogtada ah, kuwaas oo jira iyada oo aan habsocod uun haysan. Interface sugaya milkiilihiisa loo qoondeeyay waa xaalad ka duwan tunnel nool oo ku xiran VPN kale, kan labaad oo keliya ayaa sharraxaya sababta xirnaanshahaaga uu u guuldarraysto. Ka hel habsocodka haysta qalabka ka hor intaadan wax beddelin, sababtoo ah gelitaan joogto ah iyo interface mashquul ah waxay leeyihiin xalal kala duwan.

Taageerada safafka badan waa habayn gaar ah oo darawalka leh oo leh shuruudihiisa, ma aha fasax loo ogolaado habsocodyo aan xiriir la lahayn inay wadaagaan hal interface. Fadhi nool oo milkiile kale waa dhibaato isku-dubbarid, waxna tafatirka profile ma xalliyo.

Laba nooc oo joogtegnimo

Joogtegnimada kernel-ka iyo persist-tun waxay sharraxaan cimriyo ay fududahay in la isku qaldo oo qaali ku ah in la khaldo. Qalab joogto ah wuxuu u jiraa si ka madax bannaan habsocod kasta, markaa wuu ka badbaadaa joojinta oo bilowga xiga ayaa mar kale isticmaali kara. persist-tun wuxuu hayaa kheyraadka inta lagu jiro dib-u-dejinta jilicsan ee la taageeray gudaha hal habsocod OpenVPN, oo aad uga gaaban. Midkoodna ma ballan qaado in joojinta adeeggu ay wadooyinka iyo ciwaannada meeshooda ku reebto, interface-ka muuqdaana ma aha caddayn fadhi sir ah oo shaqeeya.

Xaqiiji backend-ka sidoo kale, sababtoo ah interface horay loo abuuray wax ma sheego ku saabsan qaybtee fulinta ay furi doonto. Dhismayaasha bulshada ee leh waddada xogta tooska ah waxay isku dayi doonaan inay isticmaalaan haddii nashqaddu si kale u sheegto. Meesha nooca uu taageero furaha, disable-dco wuxuu dooranayaa waddada booska isticmaalaha; injinno hore iyo macaamiil kale ma laha tilmaam sidan oo kale, markaa shuruudda nooca ku hay meel ikhtiyaarka agtiisa, ha u qaadan inay khusayso.

Maxaa jabaa marka bilowga oo keliya la tijaabiyo

Heshiiska lahaanshaha wuxuu ka gudbi karaa tijaabada koowaad oo ku guuldarraysta kan ugu dambeeya, taas oo bilowga kaliya ka dhigaysa hubin liita. Halkii, fiiri laba kala-guur: dib-u-dejin jilicsan, iyo joojin buuxda oo bilow ku xiga.

systemctl status openvpn-client@lab
ip -details link show dev tun1

Bilowgu waa xaaladda fudud: unuggu wuu soo baxaa, xiriirku wuu muuqdaa, munaasibaduna waxay magacaabtaa profile-ka la raray. Xirnaanshuhu waa daqiiqadda uu daemon-ku furayo qalabka, markaa socodsii hubinta xiriirka ka dib marka unuggu soo sheego inuu firfircoon yahay, ee ma aha ka hor. Haddii xiriirku jiro inta xaaladdu weli firfircoonayso, waxaad eegaysaa qalab joogto ah oo aan cidna weli ku xirmin, ma aha tunnel shaqeeya. Ka hor intaadan sii gudbin, mari taraafik dhab ah xiriirka, sababtoo ah interface ku xiran oo aan lahayn waddo la isticmaali karo wali waa guuldarro.

kill -SIGHUP $(pidof openvpn)
journalctl -u openvpn-client@lab -n 40
systemctl stop openvpn-client@lab
ip -details link show dev tun1

Dib-u-dejin jilicsan waa inay fadhiga ka tagto mid la isticmaali karo oo kheyraadka aan waxyeello lahayn, waana taas shaqada uu persist-tun qabto. Joojinta buuxda waa meesha maamule dibadeed uu is muujiyo: haddii xiriirka ama ciwaannadiisu ka badbaadaan joojinta, qof kale ayaa leh, taasna waa xaaladda aad diiwaangelisay ama khaladka aad hadda heshay. Qor labada indho-indheyn profile-ka agtiisa, si isbeddelka xiga uu uga bilaabmo caddayn oo uusan ka bilaabmin jaantus.