Pi oo ah macmiil VPN: hal maareeye ama skript u gaar ah?

Raspberry Pi oo u baahan inuu ilaaliyo oo keliya taraafikadiisa baxa ayaa leh laba naqshad oo dhab ah: u ogolow maareeyaha shabakadda inuu yeesho tunnel-ka, ama hay skript leh. Labaduba waxay qaadi karaan taraafik. Waxay ku guuldareystaan meelo kala duwan, guuldarrada aad kaga heli karto ogaanshaha fog ee labada habeenimo ayaa ah tan mudan in la doorto. Isbarbar dhig iyaga oo ku saabsan lahaanshaha, waxa tunnel buuxa u macneeyo marka IPv6 iyo DNS ku biiraan, iyo waxa dhaca daqiiqadda tunnel-ku dhaco.

Laba mulkiile hal tunnel

Naqshadda A waa profile ku jira maareeyaha shabakadda nidaamka: profile OpenVPN la soo dejiyay ama xiriirka WireGuard asalka ah, oo laga hawlgeliyo bilowga adeegga isla kan kor u qaada Ethernet iyo Wi-Fi. Naqshadda B waa unug aad leedahay oo si toos ah u socodsiiya macmiilka, wax ka beddela qaabeynta xalliyaha oo rakibaadda waddooyinkiisa iyo xeerarkiisa dab-damiska. Labaduba waa naqshado sharci ah; waxay ku kala duwan yihiin cidda loo ogol yahay inay beddesho shaxda waddooyinka.

Guuldarrooyinku way kala duwan yihiin sababtoo ah mulkiilayaashu way kala duwan yihiin. A, profile aan hawlgelin wuxuu ka tagaa interface-ka kor iyo tunnel-ka hoos, log-yada maareeyahana waxay sheegaan sababta. B, skript badh ku guuleysta wuxuu ka tagaa waddooyin ka badbaada geeddi-socodkii abuuray. Labadaba wadasho waa natiijada ugu xun: laba geeddi-socod qoraya waddada caadiga ah, laba wax-ka-beddel xalliyaha oo tartamaya bilowga, iyo laba kooxood oo sir ah oo la rogrogo.

Dooro hal mulkiile tunnel kasta oo jooji kan kale ka hor inta aadan wax tijaabin. Laba mulkiile sidoo kale macneheedu waa laba meelood oo la eego marka tunnel-ku kor yahay oo wax aan la xallin. Hal xeerkani wuxuu ka hortagaa inta badan xaaladaha qalafsannaanta ah ee lagu sharraxay doodaha Pi VPN.

Waxa soo dejintu abuurto, iyo waxa aanay abuurin

Raspberry Pi OS Bookworm iyo kuwa dambe, qalabka caadiga ah ee qaabeynta shabakadda waa NetworkManager, sidaas darteed profile waa guriga dabiiciga ah ee tunnel macmiil. Soo dejintu waxay u baahan tahay rakibaadda plugin-ka ku habboon; la'aanteed soo dejintu waxay ku guuldareysataa fariin ku saabsan nooca xiriirka aan la taageerin, taas oo ah calaamadda daacadnimada ah in la istaago oo plugin-ka la rakibo.

nmcli connection import type openvpn file ./provider.ovpn
nmcli connection show
nmcli --ask connection up id provider-name

Soo dejintu waxay kaydisaa profile. Ma caddaynayso in dhinaca kale la gaari karo, lamana dammaanad qaadayso in digreet kasta oo ku jira faylka uu ka badbaaday beddelka. Dib u akhri xiriirka soo baxay oo hubi qaybaha qaada aqoonsiga iyo kalsoonida: shahaadada, martigeliyaha fog iyo dekedda, iyo haddii sir la weydiiyo ama la kaydiyo.

Hawlgelinta --ask waxay ka hayaa weedha sirta ah taariikhda shell-ka mishiinka la wadaago. Pi aan la ilaalin, ugu dambeyntii waxaad rabi doontaa in profile-ku kor u kaco bilowga, taas oo ah go'aan ka duwan in hal mar gacan lagu qaado.

Tunnel buuxa, lagu barbardhigay labada naqshad

Tunnel buuxa waa sheegasho ku saabsan waddooyinka, ma aha wax ku saabsan niyadda, labada naqshadna si kala duwan ayay u sheegaan. Habka profile-ku wuxuu maareeyaha ka codsadaa inuu rakibo waddada caadiga ah iyo dhiggiisa xalliyaha; habka skript-ku wuxuu sameeyaa waxa skript-ku sheego, oo ay ku jirto waxba. Midkoodna ma daboolo IPv6 ilaa la yiraahdo, waddada caadiga ah ee IPv6 oo aan la taaban ayaa si farxad leh u qaadi doonta taraafik ka baxsan tunnel-ka inta IPv4 fiican u eg yahay.

ip -4 route get 198.51.100.23
ip -6 route show default
resolvectl query example.org

Isticmaal ciwaanka dukumeentiga raadinta waddada oo ku beddel martigeliye la ogolaaday inaad baarto. Amarka koowaad wuxuu muujinayaa interface-ka Pi u isticmaali lahaa meel caadi ah; kan labaad wuxuu muujinayaa haddii waddada caadiga ah ee IPv6 ay weli jirto; kan saddexaad wuxuu caddeeyaa xalliye kee jawaabay. Akhri saddexda ka hor inta aadan rumaysan wax sheegasho ah oo ku saabsan tunnel buuxa.

Haddii tilmaamaha bixiyuhu ballan qaadaan tunnel buuxa laakiin waddada caadiga ah ee IPv6 ay sii jirto, Pi wuu daadanayaa. Jooji IPv6 xiriirka sare ama ka codso profile-ka inuu sheegto, oo si miyir leh u go'aanso halkii aad ka ogaan lahayd mar dambe.

Guuldarro furan oo ka soo horjeedda mid xiran

Marka tunnel-ku dhaco, shaxda waddooyinka oo lumisa waddadeeda caadiga ah waxay si fudud ugu noqotaa xiriirka jirka ee sare, taraafikuna si furan ayuu u sii socdaa. Taasi waa guuldarro furan, waana habdhaqanka caadiga ah ee labada naqshad haddii aan wax ka hortagin. Inta badan dadku waxay ogaadaan toddobaadyo ka dib iyagoo akhrinaya log dab-damis.

Guuldarro xiran waxay kuu lumisaa gelitaanka fog marka tunnel-ku hoos yahay, sidaas darteed waxay u baahan tahay ka-reeb miyir leh oo loogu talagalay waddada maamulka. Hal dariiqa waa xeer u oggolaanaya oo keliya ciwaanka saaxiibka VPN oo ka baxsan tunnel-ka:

sudo nft add table inet vpnkill
sudo nft 'add chain inet vpnkill out { type filter hook output priority 0; policy accept; }'
sudo nft add rule inet vpnkill out oifname != "tun0" ip daddr != 203.0.113.24 reject

Isbarbar dhig kharashka hawlgalka si daacad ah. Profile caadi ahaan ma sheegi karo xeerkan, sidaas darteed guuldarro xiran waxay kugu riixaysaa naqshadda skript-ka ama unug yar oo xeerka u rakibaya si ka madax banaan tunnel-ka. Si kastaba ha ahaatee, diiwaangeli diidmada toddobaad: diidmo aamusan waxay u egtahay sidii adeeg jabay, oo waxaad u baahan doontaa tiriyaha marka isticmaale soo sheego in hal goob ay joojisay soo dejinta.

Doorashada Pi aan shaashad lahayn

Haddii sawirku horey u socodsiiyo NetworkManager, tunnel-ku uusan u baahnayn wax yaab leh, oo aad rabto inuu si otomaatig ah u raaco xiriirka sare, qaado profile-ka. Haddii aad u baahan tahay waddooyin siyaasad, dhowr tunnel oo loo doorto meel kasta, ama xeer guuldarro xiran oo qasab ah inuu jiro ka hor inta tunnel-ku kaco, qaado skript-ka oo hantiyi qayb kasta, oo ay ku jiraan nidaamka bilowga iyo nadiifinta. Labada naqshad isku qasid waxay ka qaalisan tahay mid kasta oo keligiis ah.

U guuritaanka dhexdooda inta badan waa arrin nidaam ah: jooji mulkiilihii hore, xaqiiji in aanay sii jirin waddo duug ah ama gelitaan xalliye, ka dib hawlgeliso kan cusub oo laba jeer dib u bilow. Hal dib-u-bilow ayaa qarin kara tartan uu kan labaad daaha ka qaado. Ku dhammee tijaabinta Pi halkii tunnel-ka: xalli magac, soo qaado wax IPv4, soo qaado IPv6 haddii aad haysato, ka dib tu tunnel-ka oo xaqiiji in habdhaqanka aad dooratay uu dhab ahaan dhaco. Interface ku jira ip link waa bilowga tijaabada, ma aha dhammaadkeeda.