Waxa route-nopull ee OpenVPN run ahaantii ka joojiyo serverka inuu riixo

Waxaad route-nopull gelisay borofaylka macmiilka si aad uga joojiso tunnel-ka inuu liqo waddadaada caadiga ah, haddana subnet-ka xafiiska waa aan la gaari karin iyadoo macmiilku weli leeyahay wuu xiran yahay. Labada aragtiba waa run, waxna ma dhicin. Calanku wuxuu macmiilka ku yiraahdaa inuu boodo waddooyinka iyo gelitaanka DHCP ee serverku riixo, taas oo ah tilmaan cidhiidhi ah marka la barbardhigo waxa dadka badankiisu filan yihiin marka ay ku daraan. Waxa hadhay waa tunnel shaqeeya oo aan ra'yi ka lahayn goobaha ay tahay inuu isticmaalo.

Farqigaas waa go'aanka dhan ee maqaalkani ka hadlayo. Ama serverku wuxuu qeexaa shabakadda, ama macmiilku, calankuna shaqadaas wuxuu u dhiibaa macmiilka isagoo wax ka mid ah adiga kugu sameynin.

Waxa calanku damiyo marka la xirmayo

Macmiilka OpenVPN ee jiidaya wuxuu caadi ahaan ka qaataa serverka xirmo kadib xaqiijinta: waddooyin, leexin gateway-ga caadiga ah, serverro DNS, iyo dhowr tilmaamood oo hagaajin. Marka route-nopull uu shaqeynayo macmiilku weli wuu aqbalaa kulanka, weli wuu xaqiijiyaa shahaadooyinka, weli wuu ka wada hadlaa sirta iyo keepalive, welina wuu kor u qaadaa interface-ka. Waxa uu tuuraa waa adeegsiga sadarrada route ee la riixay iyo sadarrada dhcp-option ee la riixay, oo ay ku jirto DNS.

Jahawareerku wuxuu ka yimaadaa tilmaame cagaaran oo ag taagan barnaamij dhintay. Tunnel-ku wuu jiraa; isku-xirka goobaha iyo tunnel-kaas ma jiro. Waxba kuma jiraan guddiga heerka macmiilka ee kala sooca «xiran oo waddo maraya» iyo «xiran oo aan shaqeyn», sababtoo ah aragtida tunnel-ka labaduba isku hal ayay yihiin.

Sababta tunnel nool uusan weli wax u mari karin

Interface-ku wuxuu la soo baxaa ciwaankiisa, oo xiriirka dhibic-ilaa-dhibic badanaa waxba kama sii gaar ah yahay waddada martida ilaa lammaanaha. Shabakad hoose oo gaar ah waxay noqotaa mid la gaari karo kaliya marka waddo qaar leh prefix sax ah ay u tilmaanto interface-kaas, oo marka riixintu damisan tahay waddadaas waligeed ma timaado. Borofaylka la soo dejiyay sidoo kale caadi ahaan ma caawin karo, sababtoo ah waxaa lagu qoray malo ah in serverku bixin doono macluumaadkan si sax ah. Taasi waa sababta interface-ku u ekaan karo mid caafimaad qaba iyadoo shabakada hoose ay mugdi ku sii jirto.

Sidaas darteed akhrinta borofaylku wax yar bay caddeynaysaa. Taa beddelkeeda akhri xaaladda socota, mishiinka xiran:

ip addr show tun0
ip route show dev tun0
ip route get 10.20.5.10

Cinwaan aan lahayn waddada shabakada hoose ee amarka labaad waa saxeexa dhibaatadan. Amarka saddexaad markaas wuxuu ka jawaabaa su'aasha ay isticmaalayaashu runtii danaynayaan, sababtoo ah wuxuu soo sheegaa interface-ka kernel-ku dooran lahaa goob gaar ah halkii uu ka ahaan lahaa liiska aad rajada ka qabtay inuu isticmaalo. Haddii uu ka jawaabo xiriirkaaga jireed, tunnel-ku waddada kuma jiro haba yaraatee.

Xallinta magacyadu waxay ku guuldareysataa sabab la xiriirta, ma aha mid gooni ah. Gelitaanka dhcp-option DNS ee la riixay waxaa boodaa isla calankaas, sidaas darteed weydiimaha martida gudaha waxay u tagaan xalliyaha kasta oo shabakadda maxalliga ah ay bixisay. Xalliyahaas ma laha aag xafiiska, sidaas darteed weydiintu way guuldareysataa ama waxay soo celisaa jawaab dadweyne, guuldareystana waxay u egtahay dhibaato server halka ay tahay dhibaato habaynta macmiilka. Cinwaan ka hor magac ayaa kala sooca labada.

Doorashada u dhaxaysa calanka iyo shaandhada prefix

Labada xulasho waxay xalliyaan qaabab kala duwan oo isla cabashadaas ah, doorashada xunna waa tan abuurta xaaladda xiran-laakiin-aan-faa'iido lahayn. Mid wuxuu beddelaa siyaasadda la riixay gebi ahaan, kan kalena wuxuu ku tafatiraa prefix ahaan. Jadwalku wuxuu bixiyaa nooca gaaban, cutubka ka dambeeyaana wuxuu daboolaa qaybta dadka qabata.

pull-filter waa isbarbar-dhigga prefix oo leh saddex fal, sidaas darteed wuxuu aqbali karaa qoys sadarro ah, si aamusan uga indhatiri karaa, ama gebi ahaan u diidi karaa isku-xirka marka prefix soo baxo. Dhaqanka dambe ayaa mudan in la ogaado: qaanuunka diidmada wuxuu khilaafka siyaasadda u beddelaa gacan-qaadis guuldareystay halkii uu ahaan lahaa baaq aamusan. Buug-gacmeedka OpenVPN 2.6 wuxuu taxaa prefix-yada la aqbalay iyo macnaha saxda ah ee fal kasta.

Jid dhexdhexaad ah oo caadi ah ayaa ah in la diido kaliya redirect-gateway oo waddooyinka xafiiska iyo DNS loo daayo inay yimaadaan sida loogu talagalay. Taasi waxay riixinta ka shaqaysiisaa qaybaha serverku kaaga fahmo wanaagsan, isla markaana ka hortagtaa sadarka kaliya ee la wareegi lahaa waddadaada caadiga ah.

Ku darista waddooyin iyo xalliye gacan

Haddii aad haysato calanka, borofaylku waa inuu yiraahdaa waxa serverku odhan lahaa. Tilmaamaha route ee dhinaca macmiilka waxaa lagu dabaqaa kadib marka xiriirku dhismay, sidaas darteed waxay la shaqeeyaan calanka halkii ay ka xirmi lahaayeen isaga. Ku dhig borofaylka, ma aha safka amarka isdhexgalka, haddii kale isku-xirka xiga ma soo saari doono xaaladda shaqeysa.

route-nopull
route 10.20.0.0 255.255.0.0
dhcp-option DNS 10.20.0.53

Sadarka DNS wuxuu ku jiraa meel aan raaxo lahayn: waa tilmaan dhinaca macmiilka, laakiin macmiillyada qaarkood waxay ku dabaqaan kaliya isku-xirka DNS ee madal, kaas oo laga yaabo inuu ka sarreeyo marka xiriirku is beddelo. Martigeliyaha systemd, in xalliyaha si toos ah loogu dhigto interface-ka tunnel-ka ayaa ka saadaalin kara in la rajeeyo in macmiilku ku guuleysan doono tartanka mudnaanta:

resolvectl dns tun0 10.20.0.53
resolvectl domain tun0 ~corp.example.com

Domain-ka waddo-marinta wuxuu muhiim u yahay sida cinwaanka. Isaga la'aantiis, weydiimaha magacyada dadweynaha waxaa sidoo kale loo diri karaa xalliyaha gudaha, xalliye kasta oo gudaha ah oo diida dib-u-celinta wuxuu jebin doonaa baaritaanka isagoo aagga gaarka ah ka shaqeynayo. Isaga la joogo, kaliya magacyada hoos yimaada suffix-kaas ayaa loo waddo-mariyaa xalliyaha tunnel-ka oo wax kasta oo kale waxay raacaan xiriirka jireed.

Hubinta natiijada: cinwaan, magac iyo waddada dibadda

Saddex tijaabo ayaa kala sooca guuldareysyada suurtagalka ah. Soo qaado cinwaanka gaarka ah IP ahaan, ka dib martida isla magac ahaan, ka dib bog dadweyne caadi ah. IP shaqeeya oo magac guuldareystay waxay tilmaamaysaa xalliyaha; IP guuldareystay oo magac shaqeeya waxay tilmaamaysaa waddo-marinta; labaduba guuldareystaan caadi ahaan waxay ka dhigan tahay tunnel-ku waddada kuma jiro.

Ka dib fiiri dibadda halkii aad ka fiiri lahayd gudaha. Waddada dhibicda ugu dambeysa ee tunnel-ka lafteeda waa inay ka gudubtaa isbeddelka, guuldareyste kasta oo xannibtaana waa in lagu koobaa tunnel-ka iyada oo aan la qaban dhibicda ugu dambeysa. Macmiilka sii wada baaritaanka kadib marka tunnel-ku dhaco waa dhibaato siyaasadeed, ma aha mid waddo-marineed, mana soo bixi doonto mid ka mid ah saddexda tijaabo ee kor ku xusan.

Ku qor liiska ugu dambeeya dukumentiyada borofaylka: waddooyinka, xalliyaha, domain-yada iyo sababta mid kastaa u jiro. Isku-xirnaanta soo saarta isla shaxdaas ayaa ah caddaynta kaliya ee ah in siyaasadda maxalliga ah ay dhamaystiran tahay. Haddii barnaamijyadu weli guuldareystaan iyadoo tunnel-ku kor yahay oo saddexda tijaabo dhammaantood gudbeen, meesha xigta ee la fiiriyo waa qaybta dhibaatooyinka xiran-laakiin-offline, ma aha shahaadooyinka horey loo xaqiijiyay.