Isticmaalayaasha fog ma gaaraan goobta labaad iyada oo loo marayo xarunta VPN

Isticmaale fog wuxuu ku xidhaa xarunta, wuxuu gaaraa serverka faylka ee LAN-ka xarunta lafteeda, wax walbana way caafimaad qabaan. Ka dib wuxuu furaa qaybinta 10.20.0.50 ee xafiiska weyn, taas oo xaruntu ku gaarto tunnel goob-ilaa-goob oo gaar ah, waqtiguna wuu dhamaadaa. Labada tunnelba way shaqeeyaan oo labada tiriba way kordhaan, sidaas darteed ma jiro tunnel jabay. Gudbinta xarunta waa saddex go'aan oo dariiqa ah oo ku saabsan saddex qalab, iyo tunnel wuxuu qaadaa oo kaliya horgalaha loo dhisay. Waa kan nidaamka aan ku hubiyo, iyo amarka muujinaya in tallaabo kastaa run tahay.

Gudbintu waxay u baahan tahay saddex raadin, ma aha hal tunnel

Qalab kastaa wuxuu sameeyaa isbarbardhiggiisa horgalaha ugu dheer kadibna wuu illoobaa. Laptop-ku waa inuu 10.20.0.50 u diraa tunnelka halkii uu u diri lahaa routerka maxalliga ah. Xaruntu waa inay qaaddaa packet soo galay interface-ka gelitaanka fog oo ay u dhiibto interface-ka goob-ilaa-goob. Xafiiska weyn waa inuu jawaabta ciwaanka isticmaalaha ku celiyo tunnelka. Mid kasta oo saddexda ah oo guuldareysta waxay browser-ka uga muuqataa si isku mid ah: aamusnaan.

Taasi waa sababta in tunnel kasta gooni loo tijaabiyo ay caddaynayso wax aad u yar. Ping-ka ciwaanka LAN-ka xarunta wuxuu tijaabiyaa go'aanka koowaad, ping-ka xarunta ee xafiiska weynna wuxuu tijaabiyaa kan saddexaad. Packet-ka guuldareysta waxaa isha ka ah barkada isticmaalayaasha iyo bartilmaameedka goobta labaad, sidaas darteed marka hore qor horgalahaas. Halkan barkadu waa 10.80.0.0/24, LAN-ka xaruntu waa 10.10.0.0/24, xafiiska weynna waa 10.20.0.0/24.

Riix horgalaha fog ee macmiilka fog

Server gelitaan fog OpenVPN macmiilku wuxuu bartaa dariiqyada marka uu xirmo. Iyada oo aan push jirin, macmiil tunnel qaybsan wuxuu 10.20.0.50 u diraa gateway-ga u gaar ah, packet-kuna marnaba ma galo tunnelka.

push "route 10.20.0.0 255.255.255.0"

Dariiq la riixay wuxuu shaqo bilaabaa marka macmiilku xirmo, sidaas darteed isticmaalaha online-ka sii ahaanaya waxba ma arko ilaa uu dib u xirmo. Ku hubi macmiilka: ip route get 10.20.0.50 Linux, route print Windows. Natiijadu waa inay sheegto interface-ka tunnelka.

push ma caawiyo xarunta. Waa farriin loo dirayo macmiilka, ma aha dariiq serverka ku yaal ama fasax gudbin, sidaas darteed xarun leh khad push qumman ayaa weli qulqulka tuurta hal tallaabo ka dib. Taasi waa sababta caadiga ah ee dadku ku go'aansadaan in push uu guuldareystay.

Xarunta sii dariiq bixitaan dhab ah

Xaruntu waxay u baahan tahay tallaabadeeda xigta ee horgalaha xafiiska weyn. Tunnel la dariiqay, taasi waa dariiq caadi ah oo mara interface-ka goob-ilaa-goob, amarna mid kaliya wuxuu muujinayaa dariiqa la doortay iyo isha la doortay labadaba:

ip route get 10.20.0.50 from 10.80.0.25
sudo ip route add 10.20.0.0/24 via 172.30.0.2 dev s2s0

Halka lugta goob-ilaa-goob lafteedu tahay OpenVPN, dariiqadu waxay ku noolaan kartaa isku-duwahaas iyada oo ciwaanka tunnelka lammaanaha laga dhigay gateway: route 10.20.0.0 255.255.255.0 172.30.0.2. Gateway ma aha ikhtiyaari. Haddii aad ka tagto, tallaabada xigta waxay ku dhacdaa caadiga fulinta, kaas oo ku kala duwan macmiil hal-meel-fog ah iyo xarun lammaane badan leh.

IPsec ku salaysan siyaasadda wuu ka duwan yahay: kernel-ka xaruntu wuxuu packetka u diraa gateway-geeda LAN caadiga ah, siyaasaduna waxay ku qabataa marka uu baxayo, sidaas darteed dariiqa tunnelku ama wax ma qabto ama wuxuu trafficka u leexiyaa siyaasadda dhinaceeda. Fiiri isha amarka kore, sababtoo ah 10.10.0.1 halkii ciwaanka barkada waxay la macno tahay in kernelku doortay ciwaan ay dhinaca fog diidi doonto. iroute sidoo kale ma aha jawaabta; wuxuu serverka u sheegaa macmiilka leh subnet ka dambeeya tunnelkiisa, ma aha halka traffic loo diro goob saddexaad.

U fid dhinaca fog ilaa barkada isticmaalayaasha

Xafiiska weyn wuxuu horey u daboolayaa LAN-ka xarunta, 10.10.0.0/24. Barkada isticmaalayaashu waa horgale labaad waana inuu sidoo kale ku jiraa xulayaasha, haddii kale ma jiro siyaasad daboolaysa jawaab loo diray 10.80.0.25. Lammaane kastaa wuxuu magacaabaa isla labadaas ee horgalaha isku-dhafan dhinaciisa:

# strongSwan swanctl.conf, on the hub
local_ts  = 10.10.0.0/24, 10.80.0.0/24
remote_ts = 10.20.0.0/24

# on the headquarters peer
local_ts  = 10.20.0.0/24
remote_ts = 10.10.0.0/24, 10.80.0.0/24

local_ts qalab mid ah waa remote_ts kan kale. Nuqul ka samee qaybta xarunta xafiiska weyn oo labadaa way rogmadaan, sidaas darteed SA-ga carruurtu marnaba ma kaco.

Qaabka hore ee ipsec.conf wuxuu isticmaalaa leftsubnet lagu kala soocay comma. Ururka ammaanka ee shaqeeya wuxuu hayaa xulayaasha uu ka wada xaajooday, sidaas darteed dib u dhis tunnelka kadib tafatirka. Xulaha la beddelay 10:00 oo lagu tijaabiyay SA kacay 09:40 ayaa weli guuldareysta, iyada oo faylka isku-duwaha uu wakhti kastaa u muuqdo mid sax ah.

Kadib hubi tallaabada ugu dambeysa. ip route get 10.80.0.25 dhinaca fog waa inuu u tilmaamaa tunnelka. Haddii adeeggu u isticmaalo router LAN gateway-giisa caadiga ah, routerkaas sidoo kale wuxuu u baahan yahay dariiqa soo noqoshada, haddii kale jawaabtu halkaas ku dhimataa. Ku ordi tcpdump -ni eth1 host 10.80.0.25 qaybtaas wuxuu muujinayaa in jawaabtu ka baxday dhinaca fog gebi ahaanba.

U oggolow qulqulka xarunta

Gudbinta waa in la shidey oo waddada la oggolaaday. Ku xaddid qaanuunada labada horgale halkii aad ka aqbali lahayd wax walba oo u dhexeeya interface-yada.

sysctl -w net.ipv4.ip_forward=1
iptables -I FORWARD -i tun0 -o s2s0 -s 10.80.0.0/24 -d 10.20.0.0/24 -j ACCEPT
iptables -I FORWARD -i s2s0 -o tun0 -s 10.20.0.0/24 -d 10.80.0.0/24 -j ACCEPT

Shaandhaynta dariiqa soo noqoshada waa guuldarada aamusan ee agteeda: marka labada lugood ay ku kala jiraan interface-yo kala duwan, rp_filter=1 wuu tuuri karaa jawaabta iyada oo tirinta qaanuunka aqbalaadda uusan marnaba dhaqaaqin. Isbarbardhig iptables -vnL FORWARD kahor iyo kadib isku day. Qaanuunka marnaba kordhin ma gaaro, sidaas darteed hoos u eeg hal lakab halkii aad dib u qori lahayd.

Haddii hal koox oo kaliya ay u baahan tahay gudbin, dariiqa geli fayl macmiil kasta ah oo ku hoos jira client-config-dir halkii aad ballaarin lahayd push-ka guud. Source NAT xarunta sidoo kale wuxuu meesha ka qaadayaa baahida dariiqa soo noqoshada dhinaca fog, laakiin wuxuu qarinayaa ciwaanka isticmaalaha, sidaas darteed diiwaannada goobta fog iyo qaanuunada ku salaysan ciwaanku way joojiyaan kala soocidda isticmaalayaasha.

Ka hubi macmiilka, kadib dib u noqo si qumman

Tijaabi deked TCP, ma aha oo kaliya ICMP, sababtoo ah ping wuu gudbi karaa iyada oo adeeggu xanniban yahay. nc -vz 10.20.0.50 445 iyo traceroute -n 10.20.0.50 oo ka imanaya macmiilka waxay muujinayaan in tallaabada labaad ay tahay ciwaanka tunnelka xarunta. Xarunta, tcpdump -ni tun0 host 10.20.0.50 iyo isla shaandhadaas interface-ka goob-ilaa-goob: codsi labadaba oo jawaab midkoodna ma jiro wuxuu dhibaatada u rarayaa dhinaca fog.

Kadib tijaabi wax ay tahay inuu xanniban sii ahaado. Haddii martigeliyaha aan barkadu marnaba gaari lahayn uu sidoo kale jawaabo, waxaad furtay wax ka badan gudbinta waana inaad yareyso qaanuunada. Xarun u gudbisa wax walba laan kastaa waxay gudubtaa tijaabada koowaad oo ku guuldareysta tan labaad.

Hayso liis dib-u-noqosho, sababtoo ah afar shay ayaa is beddelay oo saddex ayaa fudud in la illoobo: dariiqa la riixay, dariiqa xarunta, xulayaasha iyo qaanuunada darbiga dabka. Si qumman dib ugu noqo, dib u dhis SA, oo u ogolow hal isticmaale inuu dib u xirmo. Dib-u-noqosho qayb ahaan waxay ka tagtaa dariiq u tilmaamaya tunnel aan hadda ku habboonayn, taasina way ka adag tahay in la akhriyo aamusnaanta asalka ah. Buugga OpenVPN 2.6 wuxuu diiwaangelinayaa push, route iyo iroute noocaaga.