pull-filter ee OpenVPN waxa uu la jaanqaadaa wax ka badan wadada aad u jeedday

Waxa aad ku darto hal sadar si aad u haysato wadadaada caadiga ah ee gudaha, ka dibna tunnel-ka ma gaaro server-ka DNS ee gudaha. Sadarkaasi wuxuu ahaa pull-filter ignore "route", taas oo aan macneheedu ahayn "iska indhatir wadadan". Waxay ka dhigan tahay "tuur ikhtiyaar kasta oo la riixay oo qoraalkiisu ku bilaabmo shanta xaraf", server caadi ahna waxaa ku jira route-gateway, route-metric iyo route-ipv6 oo ay la socdaan wadooyinka laftooda. Liiska hubinta ee hoose waa waxa aan maro ka hor inta aanan taaban profile ay tahay in qof kale isticmaalo.

Filter-ku waxa uu ku shaqeeyaa oo kaliya ikhtiyaarrada la riixay

pull-filter waxa uu ku shaqeeyaa oo kaliya sadarrada ikhtiyaarrada ee server-ku soo diro marka tunnel-ka la dhiso ka dib, iyo wax kale midna. Ikhtiyaarrada lagu qoray faylkaaga gudaha lagama saameeyo, sidoo kale taraafikada barnaamijyada. Haddii aad rajaynayay inaad ka hortagto in habsocod u isticmaalo tunnel-ka, kani waa aalad gebi ahaan qalad ah oo ma jiro isku-dar filter ah oo taas samayn doona.

Baaxaddaas waa faa'iido leh, sababtoo ah waxay ka dhigan tahay inaad ka tagi karto habaynta server-ka oo aad weli qayb ka mid ah ku diidi karto gudaha. Waa sidoo kale xaddidid mudan in lagu qoro tigidhka: filter-ku waxa uu beddelaa waxa macmiilkan aqbilo, ma aha waxa server-ku bixiyo. Ma leh wax saameyn ah isticmaalayaasha kale ee isla profile-ka. Sidoo kale ma sii noolaado marka loo guuro macmiil kale oo aan hirgelin ikhtiyaarka, taas oo mudan in la ogaado ka hor inta aanad ka dhisin qaab shaqo.

Hubi waxa server-ku dhab ahaan soo diro ka hor inta aanad qorin qaabka. Marka faahfaahin sare la gaaro macmiilku waxa uu daabacaa xarigga ikhtiyaarrada la riixay ee uu helay, oo taasi waa isha kaliya ee daacad ah ee qoraalka saxda ah ee aad la barbardhigayso:

sudo openvpn --config /etc/openvpn/corp.ovpn --verb 4
sudo grep -n 'pull-filter' /etc/openvpn/corp.ovpn

Akhri sadarka la riixay sidii liis ikhtiyaarro ah oo comma ku kala soocan, oo ogow in magacyada ikhtiyaarrada iyo doodahooda lagu kala sooco boos. Qoraalka filter-kaaga waxa lagu barbardhigaa qulqulkaas, taasina waa sababta boosasku u muhiim u yihiin tallaabada xigta.

Isku-dhacdu waa horgale, sidaas darteed boosasku waxa ay go'aamiyaan wax walba

Barbardhiggu waa horgale xarig ah, ma aha magac ikhtiyaar la falanqaystay. Sidaas darteed "route" waxa uu la mid yahay route-gateway 10.8.0.1, route-ipv6 2001:db8::/32 iyo route-metric 100. Hal boos oo dhammaadka lagu daro waxa uu ku yareeyaa qoyska aad u jeedday, horgalaha buuxaana waxa uu sii yareeyaa ilaa meel gaar ah.

Sadarka ugu dambeeya waa kan dadka qabta inta lagu guda jiro shaqada tunnel-ka kala qaybsan. Inaad haysato resolver-kaaga gaar ah waa doorasho sharci ah, waxayna ka dhigan tahay in magac kasta oo gudaha ah uu hadda ku tiirsan yahay resolver aan arki karin aagga gaarka ah. Taasi waa cawaaqib si ula kac ah loo aqbalo, ma aha saameyn dhinac ah oo laga helo wax soo saarka.

Isku-dhaca horgalaha waxa kale oo uu ka dhigan yahay in xeerku hadhow si aamusnaan ah u ballaadhi karo. Marka server-ku ku daro ikhtiyaar cusub oo ku bilaabma qoraalkaaga, filter-kaagu waxa uu bilaabaa in uu ku dhaqmo isaga iyada oo aan qofna wax ka beddelin profile-kaaga. Taasi waa habka guuldarrada ee ay tahay in loo naqshadeeyo, yarayntuna waa in la isku daro inta ugu badan ee ikhtiyaarka, ma aha inta ugu yar.

Saddex fal, saddex natiijo oo kala duwan

accept, ignore iyo reject ma aha saddex higgaadin oo isku fikrad ah. Waxa ay ku kala duwan yihiin waxa macmiilku ku sameeyo isku-dhac iyo haddii qof uu ogaado.

ignore waxa uu aamusnaan u tuuraa ikhtiyaarka isku dhaca, taas oo aad rabto dejinta aad si ula kac ah u beddeshay. reject waxa uu tuuraa oo macmiilka ka dhigaa mid cabanaya, taas oo aad rabto marka maqnaanshihiisu ay tahay in lagu arko log halkii laga ogaan lahaa hadhow. accept waa qaabka togan, waxa la isticmaalaa marka aad dhisayso liis ogolaansho halkii aad ka saari lahayd ikhtiyaarro gaar ah.

Falka kasta oo aad isticmaasho, filter-yadu waxa ay ku dhaqmaan sida ay u kala horreeyaan, sidaas darteed laba xeer oo is-dulsa waxa ay bixiyaan natiijo ku tiirsan nidaamka oo aad u adag in dib loo eego. Hayso hal xeer iyo hal ujeeddo oo qoraalka ugu gaarka ah geli mid kasta. Haddii aad u baahan tahay liis ogolaansho, dooro xeerar yar oo accept ah halkii aad ka dooran lahayd tuulmo xeerar ignore ah oo isku geynaya isla waxaas. Markaas dib-u-eegayaashu waxa ay akhriyi karaan faylka kor ilaa hoos oo ay saadaalin karaan natiijada, taasina waa imtixaanka kaliya ee miisaanka qaata.

Hubi wadada iyo resolver-ka la dabaqay, ma aha profile-ka

Filter-ka faylka ku eg mid sax ah wali waxa uu kaa tagi karaa tunnel aan wax faa'iido leh u marin. Hubi saameynta nidaamka socda, halkaas oo ikhtiyaarrada la riixay horey loo dabaqay ama loo tuuray:

ip route show default
ip route show | grep -c 'proto static'
resolvectl status | grep -A4 'Link.*tun0'
curl -sS -o /dev/null -w '%{http_code}\n' --max-time 5 https://intranet.example.internal/

Labada sadar ee ugu horreeya waxa ay kuu sheegayaan hadii wadada caadiga ah ee la riixay ay timid iyo inta gelis oo joogto ah oo badbaaday. Su'aasha resolver-ka waxa ay tusaysaa server-ka ay interface tunnel-ku dhab ahaan isticmaalayso, oo inta badan halkaas ayaa layaabka DNS ka soo muuqdaa. Sadarka ugu dambeeya waxa uu ka jawaabaa su'aasha kaliya ee muhiim u ah isticmaalaha.

Isku day labada jiho inta aad halkaas joogto. Xeerka ilaalinaya in internet-kaaga gudaha uu shaqeeyo laakiin si aamusnaan ah u jebiya xallinta magacyada gudaha waxa uu dhaafaa hubin sare oo ku guuldareysta shaqada dhabta ah ee ugu horreysa, sidaas darteed ku dar hal kheyraad gudaha ah iyo hal shabakad dadweyne isla imtixaankaas.

Diiwaangeli ka reebista iyo cidda iska leh

Filter-ku waa ka reebis naqshadda hawl-wadeenka, sidaas darteed qor sabab iyo bar dib-u-eegis. "Iska indhatiraya wadooyinka la riixay si uu u hayo caadiga gudaha" waa dib loo eegi karaa; sadar qaawan oo profile ku jira ma aha, oo qofka xiga waxa uu tirtiri doonaa ama ku ballaarin doonaa qiyaas.

Noocuna halkan sidoo kale wuu muhiim yahay. Hab-dhaqanka isku-dhaca iyo qaab-dhismeedka saxda ah ee la aqbalay waxa lagu hagaajiyay OpenVPN 2.4, 2.5 iyo 2.6, sidaas darteed hubi qaabka buug-gacmeedka build-ka aad dirtay, ma aha qoraal madal ku saabsan nooc hore. Buug-gacmeedka OpenVPN 2.6 waxa uu diiwaangelinayaa ikhtiyaarkan iyo xeerka isku-dhaca.

Ugu dambayntii, ku heshii ka reebista qofka maamula server-ka. Filter-ka dhinaca macmiilka ee ka soo horjeeda siyaasadda server-ka ee ula kac ah waa dhacdo taageero oo sugaysa hantidhawrka xiga, oo aad bay uga jaban tahay in la xalliyo ka hor inta aan profile-ka la dirin, halkii laga xallin lahaa ka dib marka qof uu ogaado in wadooyinku maqan yihiin.