Sababta jawaabta UDP ee OpenVPN uga baxdo ciwaanka khaldan

Macmiil OpenVPN wuxuu wacaa hal ciwaan, server-ku wuxuu ka jawaabaa mid kale, tunnellkuna waligiis ma kaco. Diiwaanka server-ka wuxuu muujinayaa baakaddu inay soo gasho, duubistuna waxay muujinaysaa jawaab baxaysa, sidaas darteed khaladka waxaa lagu eedeeyaa macmiilka. Server-ka leh dhowr interface, ama dhowr ciwaan oo hal interface ah, labada dhinac si fudud iskuma raacaan ciwaanka la isticmaalayo. Jawaabtu waa sax xagga IP, haddana macmiillo badan way tuuraan datagram-ka oo aan isha laga ahayn ciwaanka ay la xiriireen.

Waxa macmiilku arko marka isha isbeddesho

Socket UDP oo aan ku xidhnayn ciwaan maxalli ah oo gaar ah ma laha is madax-bannaan, sidaas darteed kernel-ku wuxuu doortaa mid marka la dirayo. Doorashadaas waxay ka timaaddaa raadinta waddo ee xagga ciwaanka macmiilka, ishuna waxay noqotaa ciwaanka interface-ka uu raadintu dooratay. Mashiin leh hal interface doorashadu waa mid aan la arkin; server leh ciwaan maamul, ciwaan dadweyne iyo ciwaan labaad oo isla kaarka shabakadda, waxay ku xidhan tahay cabbirrada waddada iyo siyaasadda. Waddo-marin ku salaysan siyaasad waxay is-waafajin la'aanta ka dhigtaa mid suurtogal badan halkii ay ka yareyn lahayd, sababtoo ah qaanuun ayaa dooran kara xiriir sare oo macmiilku waligiis aan gaarin. Waddo caadi ah oo laga bartay hal bixiye iyo qaanuun isha ah oo tilmaamaya mid kale ayaa ku filan inay taas abuurto.

Macmiillada shaandheeya jawaabaha, iyo dabagalka xiriirka ee filanaya afarta saxda ah iyo isha, waxay tuuri doonaan jawaabta iyada oo aan farriin faa'iido leh lahayn. Markaas tunnel-ku wuxuu dhacaa sida in aanay waxba soo gaarin, taasina waa sababta tan si khaldan loogu qaato dhibaato firewall-ka dhinaca macmiilka. Duubis lagu sameeyay server-ka oo keliya waxay xaqiijinaysaa khaladka halkii ay sharxi lahayd, sababtoo ah jawaabtu runtii way baxdaa. Isbarbardhig isha jawaabta iyo ciwaanka uu macmiilku wacay ka hor inta aadan wax kale beddelin.

Waxa xulashada multihome dhab ahaan qabato

Amarka waxaa lagu qoraa multihome ahaan faylka habaynta iyo --multihome ahaan khadka amarka, wuxuuna ku qasbaa server UDP inuu ka jawaabo ciwaanka uu baakadda macmiilku gaartay. Kernel-ku marka la helo wuxuu u gudbiyaa ciwaanka goobta asalka ah sida xog dheeraad ah, OpenVPN-na waxay isticmaashaa qiimaas isha jawaabta. Sidaas darteed server ku dhagaysanaya ciwaan guud, local 0.0.0.0 ee IPv4 ama midka u dhigma IPv6, wuxuu u dhaqmaa sidii in macmiil kastaa gaaray dhageyste gaar ah. Macmiillada ka soo galay ciwaanka dadweynaha waxay jawaabo ka helaan ciwaanka dadweynaha, macmiillada ciwaan gudaha ku suganna waxay ka helaan ciwaankaas. Wax kale oo ku jira waddada baakadda ma dhaqaaqo: waddada, qaanuunnada shaandhaynta iyo habaynta tunnel-ka waxay ahaanayaan sidii ay ahaayeen.

Sifadan ugu dambaysa ayaa ka dhigta xulashada mid ammaan ah in lagu daro server si kale u shaqeeya, waana sababta aysan u hagaajin karin shaandheyn u ogolaysa hal ciwaan oo keliya. Baakaddu wali waa in lagu aqbalo waddada ay marto, sidaas darteed sixitaanka ishu wuxuu beddelaa asalka jawaabta oo wax kale ma beddelo. Waxay sidoo kale u gaar tahay UDP: dhageyste TCP ma laha dhibaatadan isla qaabkaas, sababtoo ah xiriirka waxaa lagu gartaa afarta halkii lagu gartaa ciwaanka isha jawaabta.

Goorma ciwaan maxalli ah oo go'an uu yahay caadi khaldan

Ka hor inta aadan u gudbin xulashada, hubi in server-ku xidho hal ciwaan maxalli ah oo gaar ah, sababtoo ah dhageyste xidhan wuxuu had iyo jeer ka jawaabaa ciwaankaas. Taasi waa sax ku wajahan hirgelin hal interface ah, waana khalad isla marka macmiilladu si sharci ah u isticmaalaan in ka badan hal ciwaan. Haddii xidhnaantu ula kac ahayd, go'aanso in server-ku waa inuu aqbalo taraafikada ciwaannada dheeraadka ah. Xidhnaanta ka saarista waxay kordhisaa soo-gaadhista, sidaas darteed interface-yada iyo shabakadaha isha ee la oggol yahay waa in ay dhaqan galiyaan adeegga iyo shaandhaha, ma aha oo keliya ciwaanka xidhnaanta.

Tixraaca OpenVPN wuxuu xaddidaa xulashada server-yada UDP, wuxuu xusaa habaynta dheeraadka ah ee waddada baakadda, wuxuuna diiwaangeliyaa platform-yada taageera. Xaqiiji tan nooca la rakibay ka hor inta aadan ku qorshayn. Meesha aan la taageerin, xidhista ciwaanka gaar ah ama hagaajinta waddada soo noqoshada ayaa ah beddelka, labaduba waa isbeddelo ka cidhiidhi badan sidii marka hore loo arki karo. Dhagaysiga ciwaan guud waxay sidoo kale leedahay saameyn ka baxsan jawaabaha: server ku yaal dhammaan ciwaannada waa laga gaari karaa shabakad kasta oo server-ku ku xiran yahay, taasina waxaa laga yaabaa in aanay ahayn soo-gaadhista qofku u jeedday.

Caddee isha jawaabta dibadda

Tijaabi dibadda server-ka, oo qor ciwaanka iyo gaadiidka saxda ah ee macmiilku isticmaalay ka hor inta aadan wax duubin. Saddexda baaritaan ee hoose waxay ka jawaabaan saddex su'aalood oo kala duwan, nidaamkuna waa muhiim.

tcpdump -ni any udp port 1194
ss -lunp 'sport = :1194'
ip route get 203.0.113.10 from 198.51.100.20

Duubistu waxay muujinaysaa ciwaanka isha ee jawaabta, taasina waa xaqiiqada maqaalku dhan ku tiirsan yahay. Liiska socket-ka wuxuu muujinayaa waxa server-ku runtii xidhay, sababtoo ah dhageyste guud iyo mid gaar ah waxay isku mid uga muuqdaan faylka habaynta wayna kala dhaqmaan shabakadda. Raadinta waddadu waxay muujinaysaa isha uu kernel-ku dooran lahaa socodkaas, taasina waxay sharraxaysaa duubista ka hor inta aadan wax beddelin. Saddexda oo dhan ku celi IPv4 iyo IPv6 si gooni ah, sababtoo ah waa dhageysteyaal gooni ah iyo raadinno gooni ah, gelinta guud ee hal qoys wax kama sheegto tan kale.

Waddo-marinta, ogaanshaha iyo shaandhaynta way kala gooni noqdaan

Ilaalinta isha jawaabtu ma rakibto waddo baxaysa, ma cusboonaysiiso DNS firfircoon, lamana sameyso qoys ciwaan inuu aqbalo kan kale. Server leh dhowr xiriir sare, waddada soo noqoshada ee isha kastaa waa in si ula kac ah loo heshiiyaa, haddii kale jawaabuhu waxay ka baxaan interface aan shaandhaha macmiilku waligiis oggolayn. Sidoo kale, ciwaan cusub ka dib isbeddel horgale waa inuu gaaraa macmiillada iyada oo loo marayo ogaanshaha iyo socodka dib-u-xirka la taageeray, ma aha diiwaanka hore.

Ka tag baaritaannada aqoonsiga server-ka iyo xaqiijinta shahaadooyinka sida ay yihiin, sababtoo ah ciwaan isbeddelay ma caddeeyo aqbalidda lammaane aan la xaqiijin. Haddii jawaabtu hadda ka baxdo isha loogu talagalay tunnel-kuna wali guuldareesto, u qaado dhibaatada isha mid la xalliyay oo horay u soco. Khaladka xiga ee la arko waxaa leh waddo-marinta, shaandhaynta ama aqoonsiga, beddelka dhageystaha mar labaadna ma gaaro. Ku qor isha jawaabta tikit-ka dhinaca ciwaanka uu macmiilku wacay, si qofka xiga uu isla xaqiiqadaas ugu hubin karo hal amar.