pfSense oo ah server iyo macmiil VPN: laba waddo, hal router

Hal qalab ayaa isku mar laba jihada u eegi kara: isticmaalayaasha socdaalku way soo galaan gudaha, isla sanduuqaasna wuxuu u baxaa dibadda ilaa bixiye bax ah si taraafikada la doortay ay uga baxdo shabakad kale. Labada adeeg oo la shido waxay qaataan daqiiqado; inay wada noolaadaan waxay u baahan tahay naqshad, sababtoo ah doorka labaad wuxuu dib u qoraa shaxda waddooyinka oo kan koowaad ku tiirsan yahay. Saddex shuruud ayaa go'aamiya in qaabkaani shaqeeyo, taas oo ah in adeegga soo-gala uu haysto waddadiisa soo-noqodka, in tunnelka baxa uu weli gaaro lammaanihiisa, iyo in taraafikada aad doonayso inaad gudbiso loo doorto baxa. Hal khalad oo aad sameyso waxaad helaysaa laba tunnel oo labaduba sheegaan xiriir inta aan wax faa'iido leh ka gudbin. Hubinta hoose waxay dejinaysaa shuruud kasta sida ay u kala horreeyaan guuldarradu caadi ahaan u muuqdaan.

U magacaab labada door ka hor inta aadan taaban wax dejinta ah

Qor afar xaqiiqo oo tusaale kasta: lammaanihiisa fog, maaddada xaqiijinta, barkada cinwaannada uu qaybiyo, iyo shabakadaha ka dambeeya. Labada tusaale waa walxo gooni ah oo qalabka ku yaal waana inay gooni ku sii ahaadaan qoraalladaadana. Badanaa calaamad kasta oo jahawareer leh oo dambe waxay ka timaaddaa isku-darka qiimayaashooda, laba tusaale oo wadaaga hal qoraal-naqshadna waa sida barkadda khaldan ay ku dhacdo goobta khaldan.

Adeegga soo-gala wuxuu u baahan yahay shabakad tunnel ah oo aanan is-dul-saarayn cinwaannada tunnelka baxa ama shabakad gaar ah oo qalabku waddo. Is-dul-saarku waa khaladka kaliya ee isku mar calaamado ku abuura labada door, oo warqad korkeeda qabashadiisu aad bay uga jaban tahay. Isbarbar dhig labada barkadood iyo shabakad kasta oo gaar ah oo la waddo hal meel ka hor inta aadan habayn mid ka mid ah adeegyada.

Qalab la wadaago macneheedu maaha aqoonsi la wadaago, oo shahaadada macmiilka ee ka timaadda barkadda gelitaanka fog waa inaanay ku shaqayn karin bixiye baxa. Maaddo gooni ah ayaa sidoo kale burrinta ka dhigta go'aan maxalli ah halkii ay ahaan lahayd dhacdo dhammaan kooxda.

Jawaabaha serverka ku hay waddada WAN

Jawaabaha uu qalabku isagu abuuro waa ugaarsadaha ugu horreeya ee waddo caadi ah oo dayacan. Marka baakadda la duubay ee isticmaale socdaal ay timaaddo, jawaabtu waa taraafiko maxalli ah oo waa inuu ka baxaa is-dhexgalka uu isticmaalahaas ka soo galay. Haddii macmiilka baxa uu rakibay waddo caadi ah oo qabta, jawaabtu waxay gashaa tunnel khaldan oo kulanku wuu istaagaa inta adeeggu weli caafimaad qaba u muuqdo.

Ma jiro hal sanduuq calaamadeed oo tan xalliya, sababtoo ah go'aanku wuxuu ku saabsan yahay taraafikada macmiilka baxa qaban karo. Ama ha jiidin waddooyin oo kaliya hag waxa aad dooratay, ama jiid waddooyin oo ku dar ka-reebista ilaaliso adeegyada qalabka laftiisa inay shaqeeyaan. Qor doorashada dhinaca tusaalaha, haddii kale qofka xiga wuxuu u qaadan doonaa tan kale.

netstat -rn | head -20
pfctl -sr | grep -i vpn
ifconfig | grep -A3 ovpn

Akhri shaxda waddooyinka iyadoo la raacayo is-waafajinta ugu dheer, ma aha sida aad wax u habaysay. Su'aashu waa qoraa kee guuleysta cinwaanka lammaanaha baxa iyo qoraa kee guuleysta jawaabta adeegga soo-gala, labada jawaabna way kala duwanaan karaan.

Ha u oggolaan tunnelka baxa inuu cuno bartana ugu dambeeya

Macmiilka baxa waa inuu gaaro cinwaanka dadweynaha ee lammaanihiisa si uu tunnel u sameeyo. Haddii cinwaankaas laftiisu tunnelka lagu waddo, macmiilku wuxuu eryanayaa dabadiisa: gaadiidku waligiis soo kacaa, ama wuu soo kacaa oo wuu dhacaa isla marka waddada la rakibo. Diiwaanku wuxuu u eg yahay dhammaadka waqtiga xaqiijinta ee ma aha cillad waddo, taas aawadeed waddadu mudan tahay hubinta koowaad.

Hubi waddada ka hor aqoonsiga iyo mar kale ka dib marka tunnelku soo kaco, sababtoo ah qoraanku wuxuu sax noqon karaa bilowga oo khaldan daqiiqad ka dib. Cinwaanka lammaanuhu waa inuu u tilmaamo waddada caadiga ah ee WAN, waligiis ma aha qalabka tunnelka. Marka gaadiidku xasilloonaado, su'aasha xiisaha leh waxay u gudubtaa taraafikada la gudbiyay, taas oo ah go'aanka xiga.

netstat -rn | grep -F '198.51.100.10'
traceroute -n 198.51.100.10

Dooro isticmaalayaasha hela baxa

Siyaasadda isha waxay ku deelan tahay iridda taraafikadu qalabka ka gasho, markaa dooro barkadda gelitaanka fog ama aqoonsiyo cidhiidhi ah oo ku dhex jira. Ilaali meelaha gaarka ah iyo ka-reebista maamulka oo aan waligood baxa loo dirin, oo qaabkaas qawaaniinta ka hor dhig tan ballaaran. Markaas waddada baxa waxay u baahan tahay tarjumaaddeeda ama habayn soo-noqod la waddo, taas oo naqshadaha badankood macneheedu yahay NAT baxa oo ku yaal is-dhexgalka baxa oo daboola barkadda. Tarjumaad ma doorato bax; waxay kaliya dib u qoraa waxa hore u baxay, markaa qaanuun NAT oo ku yaal WAN aan xiriir lahayn waxba kama beddelo doorashada.

Xaqiiji in dhinaca fog uu oggol yahay taraafikada laga gudbiyo naqshaddan, sababtoo ah bixiyeyaasha qaarkood way oggol yihiin qaarkoodna maya. Farqigu wuxuu u muuqdaa tunnel xirmo oo waxba qaadin, taas oo sahlan in loo akhriyo cillad maxalli ah. Saddexda qulqul gooni gooni u tijaabi, sababtoo ah si madax-bannaan ayay u guuldarraystaan, saddexda labana waa naqshad badh dhisan.

openvpn --config user07.ovpn
curl -sS https://ifconfig.me
curl --interface 10.10.10.1 -sS https://intranet.corp.example/health

Amarka koowaad waa xiriirka dibadda ee isticmaalaha socdaalka, wuxuuna shaqeeyaa marka macmiilku soo sheego in taxanaha bilowgu dhammaaday. Kan labaad, oo laga shideeyay laptopkaas xiran, waa inuu soo sheegaa cinwaanka bixiye baxa halkii uu ka sheegi lahaa cinwaankaaga WAN. Kan saddexaad wuxuu ku socdaa qalabka isagoo ku xiran cinwaan barkadda, wuxuuna tijaabiyaa siyaasadda isha taraafikada la gudbiyay isagoo aan haba yaraatee ku lug lahayn isticmaale fog. Haddii uu ka jawaabo WAN halkii, siyaasaddu ma waafaqsan, oo wax tafatir NAT ah ma hagaajiyo dhibaatada doorashada.

Go'aami waxa dhaca marka baxu guuldarraysto

Qor habdhaqanka guuldarrada ka hor inta aysan dhicin: marka tunnelka baxa dhaco, isticmaalayaashu ma ku noqdaan WAN caadi ah mise waa la xannibaa ilaa baxu soo noqdo? Labada jawaabba waa la difaaci karaa, qalabkuna kaa dooran maayo. Waddo la saaray ama siyaasad u tilmaamaysa irid dhintay si otomaatig ah ma soo saaraan natiijo xannibaad buuxda. Haddii aad rabto xannibaad, siyaasaddu waa inay taas si cad u sheegto, waana in lagu tijaabiyaa in baxa la saaro halkii laga fikiri lahaa. Haddii aad rabto soo-noqod, isticmaalayaasha u sheeg, sababtoo ah taraafikada si aamusnaan u qaata waddada caadiga ah waa sax taraafikada qof u maleeyay in la daboolay.

Demi tusaalaha macmiilka, fiiri waxa isticmaale xiran weli gaari karo, ka dibna mar kale bilow. Codsi waqtigiisu dhammaado waa natiijada xannibaad buuxda ee aad codsatay; kan ku jawaaba cinwaanka WAN waa soo-noqodka aadan dokumenteyn. Ku celi hubinta IPv6 iyo DNS, sababtoo ah siyaasad loo qoray IPv4 waxba kama sheegto taraafikada AAAA oo xalliyaha tunnel kasta riixo wuxuu ka jawaabaa halka su'aashu dhab ahaan ka baxdo.

pfSsh.php playback svc stop openvpn client 2
curl --max-time 6 -sS https://ifconfig.me
pfSsh.php playback svc start openvpn client 2

Cuntada Netgate ee OpenVPN la waddo waxay tusinaysaa sida siyaasadda isha, qoondaynta is-dhexgalka iyo tarjumaadda baxu ay isu waafajiyaan, waana baaxaddeeda goob-ilaa-goob qaybta aan si buuxda loo koobi karin. Waxa aanay kuu sheegi doonin waa saddexda shuruudood ee kore kee ay naqshaddaadu hore u jebisay.