Sida loo soo celiyo server-ka VPN iyada oo aan aqoonsiyada la labanlaabin

Waxaad soo celisay kaydka, adeeggu wuu bilaabmay, oo macmiil wuxuu ku xirmay isku daygii ugu horreeyay. Guushaas waa dabin. Soo celinta waxay soo celisaa faylasha server-ku lahaa waqtiga sawirka, ma aha xaaladda gelitaanka ee isbeddelay tan iyo markaas, oo haddii barta ugu dambeysa ee hore weli la gaari karo hadda waxaad haysataa laba mishiin oo ka jawaabaya hal aqoonsi. Xalku ma aha kayd wanaagsan; xalku waa in la go'aamiyo waxa martigeliyaha la soo celiyay uu noqon karo ka hor inta uusan ka jawaabin hal gacan-qaadasho.

Kaydku wuxuu soo celiyaa faylal, ma aha amar

Sawirku wuxuu hayaa qaabeynta server-ka, furayaasha gaarka ah, hay'adda shahaadooyinka, liiska asaabada iyo xeerarka dab-demiska sidii ay ahaayeen markii kaydku socday. Ma hayn karo waxa isbeddelay ka dib: qalabka aad tirtirtay, furaha aad dib u soo saartay, asaabada aad ka saartay markii laptop la iibiyay, shabakadda hoose ee aad rartay. Soo celintu waxay faylasha dib ugu celisaa waqtigaas. Dib uguma celiso go'aannada dadku qaateen tan iyo markaas.

Waxyeelladu waxay ka timaaddaa farqigaas. Laptop la xaday oo la tirtiray laba toddobaad ka dib kaydka ayaa soo bandhiga shahaado weli lagu ansixiyo CRL-da hore ee ku jirta geedka la soo celiyay, server-kuna wuxuu aqbalaa qalab aad ka fadhiisatay shaqada. WireGuard aad buu toos u yahay: asaabada waxaa loo oggolaadaa iyada oo liiska ku jirta, sidaas darteed asaabada la tirtiray sawirka ka dib si fudud ayaa dib u jirta. Qofna dib uma ansixin gelitaankaas. Faylka hore ayaa sameeyay.

Aqoonsiga server-ka iyo aqoonsiga macmiilka siyaabo kala duwan ayay u guuldareystaan

WireGuard dhexdiisa aqoonsiga server-ku waa furaha gaarka ah ee ku jira wg0.conf, sidaas darteed koobista faylkaas martigeliyaha labaad ee la gaari karo waxay abuurtaa laba server oo isku aqoonsi ah oo aan midba midka kale aqoon. Mid kastaa wuxuu hayaa liiskiisa asaabada. Ka saar asaabada martigeliyaha cusub oo tan hore weli way aqbashaa; hubi wg show mid ka mid ah oo waxaad arki doontaa nus ka mid ah runta. Macmiillada sidoo kale iskood uma gudbaan: profile-ku wuxuu qaadaa hal Endpoint, sidaas darteed qalabku wuxuu sii wadaa inuu la hadlo ciwaanka loo habeeyay, taas oo laga yaabo inay tahay martigeliyaha aad rabtay inaad ka fadhiisato.

OpenVPN wuxuu ku labanlaabmaa lakabkaas oo kale isagoo wata shahaado server, furaha gaarka ah iyo furaha taagan tls-auth ama tls-crypt. Koobi saddexda oo dhan oo macmiilku ma kala garto tusaalooyinka; haddii labaduba la gaari karo, dib u xidhmid waxay ku dhici kartaa mid kasta, fayl kasta oo log ahna wuxuu sheegaa sheeko qayb ah. Hay'adda shahaadooyinka waa nuqulka qoto dheer. Geedka easy-rsa ee la soo celiyay waa isha labaad ee runta oo soo saari karta shahaado ansax ah magac kasta oo aad siiso.

Macmiillada sidoo kale waa la labanlaabaa, badanaa inta lagu jiro guurka laftiisa. Koobista profile qalab kayd ah «kaliya si loo tijaabiyo» waxay abuurtaa qalab labaad oo isku fure iyo isku magac guud. duplicate-cn la socota labada fadhi way sii joogi karaan isku mar, iyo qoondaynta ciwaanka taagan ee ccd ama ifconfig-pool-persist waxay ku dhacdi kartaa qalabka asalka ah. Kuwani waa laba mishiin oo qaadanaya hal aqoonsi, oo waxba ku jira qaabeynta server-ka ma kala soocaan.

Dooro mid ka mid ah saddexda xaaladood ee barta ugu dambeysa ee hore

Soo celintu waa ammaan kaliya marka mustaqbalka barta ugu dambeysa ee hore la go'aamiyo. Ka fadhiisi shaqada: adeegga hore waa inuu joojiyaa aqbalaadda dekedda VPN ka hor inta martigeliyaha cusub uusan bilaaban, haddii aadan gaari karin mishiinka, xannib dekeddaas cidhifka shabakadda wax kasta oo aan ahayn ishaada maamulka. Hagaaji isla martigeliyaha: dib u isticmaalka aqoonsiga waa hagaagsan yahay maxaa yeelay hal mishiin ayaa hayaa, laakiin ka dib baabi'i nuqulka diskiga ama sawirka VM ee furaha hore si uusan dib ugu soo noqon. Dhis lammaane helitaan: laba martigeliyeyaal waxay u baahan yihiin aqoonsiyo martigeliyaha oo kala duwan iyo hal barta ugu dambeysa oo la wadaago, sida ciwaan sabaynaya, isku-dheellitirka culayska ama DNS aad dhaqaajin karto. Koobista furaha gaarka ah ma aha naqshad failover; waa laba server oo sheeganaya hal magac.

Xaqiiji xaaladda aad runtii ku jirto ka hor inta aadan taaban macmiillada. Martigeliyaha hore ee ka jawaabaya dekedda VPN ayaa ah kan aqbali doona qalabka la tirtiray, xitaa haddii DNS uu guuray. Hubi dhegeystayaasha iyo furaha dadweynaha:

ss -lunp | grep -E ':51820|:1194'
wg show wg0
wg pubkey < /etc/wireguard/server.key

Marka hore iswaafaji asaabada, tirtiridda iyo ciwaannada

Liis soo qor waxa soo celintu sheeganayso marka la barbardhigo waxa hadda la oggol yahay. WireGuard dhexdiisa wg show wg0 wuxuu siinayaa furaha, barta ugu dambeysa, gacan-qaadashada ugu dambeysay iyo tirsanayaasha wareejinta asaabada kasta, taas oo ku filan inaad ogaato qalab aadan lahayn. Si toos ah uga saar iyadoo nool wg set wg0 peer <key> remove, ka dib tafatir qaabeynta sidoo kale, haddii kale asaabadu waxay ku soo noqon doontaa bilowga xiga. wg show wg0 allowed-ips wuxuu daaha ka qaadayaa dhibaatada labaad: laba asaabado oo isku ciwaan ah, ama ciwaan aad hore ugu qoondaynayso mar kale.

OpenVPN dhexdiisa liiska tirtiridda waa fayl taariikh leh, soo celintuna waxay soo celin kartaa mid hore. Hubi ka hor inta macmiilladu xirmayaan:

openssl crl -in /etc/openvpn/crl.pem -noout -lastupdate -nextupdate
grep -E 'crl-verify|reneg-sec' /etc/openvpn/server.conf

Haddii cusboonaysiinta ugu dambeysay ka horraysay tirtiridda, server-ku weli wuxuu ixtiraamayaa shahaado aad tirtirtay. OpenVPN 2.4 iyo kuwa ka dambeeya waxay dib u akhriyaan faylka CRL isku xir kasta oo cusub, sidaas darteed beddelaadda faylku waxay joojisaa fadhiyada cusub, laakiin tunnellada la sameeyay waxay sii jiraan ilaa dib u wada-hadal; caadiga reneg-sec waa 3600 ilbiriqsi, hoos u dhigistiisa ama dib u bilaabista adeegga ayaa ku siinaya isbeddelka hadda. Dhismayaasha hore waxaa laga yaabaa inaysan faylka u qaadin si la isku halayn karo, sidaas darteed dib u bilow marka aadan xaqiijin karin dhaqanka nooca. Buugga wg(8) wuxuu daboolaa ka saarista asaabada iyo halbeegga allowed-ips ee kor loo isticmaalay.

Sidoo kale nadiifi qoondaynta taagan ee qalabka aan hadda jirin. Dib u isticmaalka ciwaanka qalab la fadhiisiyay shaqada oo loogu talagalay mid cusub inta profile-ka hore weli rakiban yahay waxay abuurtaa isla labanlaabka aad isku dayayso inaad ka fogaato.

Ku xaqiiji macmiil aad tirtirtay

U socodsii hubinta si kala duwan, shabakad ka baxsan tunnellada. Marka hore qalab oggolaaday wuu xirmayaa, wuxuu DNS ku xalliyaa iyada oo loo marayo xalliyaha la riixay wuxuuna gaaraa kheyraad gaar ah. Ka dib qalabka la tirtiray waa inuu ku guuldareystaa, isagoo isticmaalaya profile-kiisa jira halkii mid cusub. Ka dib isku day barta ugu dambeysa ee hore dibadda: haddii dekedda VPN weli dhammeystirto gacan-qaadasho, martigeliyaha hore wuu nool yahay oo labanlaabku waa dhab, ma aha aragti.

Dib u bilow martigeliyaha la soo celiyay oo ku celi hubinta oggolaaday iyo tirtiray, maxaa yeelay markaas ayaa faylka qaabeynta ka guuleysta waxa aad beddeshay inta lagu jiray socodka. Barbardhig furaha dadweynaha ama faraha shahaadada martigeliyaha midka mishiinka la fadhiisiyay isticmaalay. Faraha isku mid ah laba mishiin oo nool waxay ka dhigan tahay soo celintu aqoonsiga ay koobtay; faraha isku mid ah hal mishiin waa caadi. Diiwaangeli noocyada la soo celiyay, faraha furayaasha iyo lambarka taxanaha ama furaha asaabada la tirtiray, ka dib qaado kaydka xiga ka dib iswaafajintan, si uu u matalo adeegga sida uu hadda yahay. Tijaabada shaqaysa ma aha in macmiil xirmo. Waa in macmiilka aad ka saartay uu dibadda ku sii jiro inta barta ugu dambeysa ee hore ay xiran tahay.