VPN la marsruutay ama LAN la buundo la sameeyay ee isku xirka laanta iyo shaybaarka

Waxaa jira laba siyaabood oo laan ay ku gaadho shaybaar guri, farqiguna ma aha dejinta. Waad marsruutayn kartaa horgalayaal kala duwan, si goob kastaa u ilaaliso qaybta faafinta ee u gaar ah, ama waxaad ku buundo gelin kartaa labada LAN mid, si faafinta iyo taraafikada ogaanshaha ay u dhaqmaan sidii in qof kastaa uu ku jiro qol keliya. Marsruutaynta waa naqshadda ka adkaysata taabashada shabakad dhab ah. Buundo la sameeyntu waa naqshadda ka dhigta toddobaadka kowaad fudud iyo cilad-bixinta kowaad xiiso leh. Isbarbardhigga hoose wuxuu ku saabsan yahay waxa mid kastaa bixiyo iyo qiimaha uu leeyahay, ka dibna sida nooca marsruutay ah loo dhigo mid la tijaabin karo.

Laba siyaabood oo isku xirka, hal heshiis oo cad

Xiriirka marsruutay ah wuxuu u arkaa shaybaarka guriga shabakad fog oo leh ciwaan u gaar ah. Laantu waxay codsataa horgalaha shaybaarka, tunnel-ku wuxuu qaadaa baakadahaas, oo albaabka shaybaarku wuxuu ka jawaabaa subnet-kiisa. Waxba kama beddelan shaxda ARP ee laanta, waxnana ka mid ah baaxadda DHCP ee shaybaarku ma gaadho laanta.

Xiriirka buundo leh wuxuu fidinayaa hal qayb lakab 2 ah labada goobood. Borotokoolada ogaanshuhu way shaqeeyaan, aaladuhu si otomaatig ah ayay u soo baxaan, faafin kasta, codsi kasta oo ARP iyo baakad kasta oo multicast hadda waa musharax inuu ka gudbo tunnel-ka, taas oo ah xaddi badan oo taraafik ah oo ay qaadaan borotokoolo loo sameeyay qayb gudaha ah oo aan loo samayn WAN leh MTU kale iyo waqti wareeg ah oo isbeddelaya.

Waxa marsruutayntu ku siinayso

Faa'iidada kowaad waa baaxadda waxyeellada. Wareeg, server DHCP aan la rabin ama daad faafin ah wuxuu ku sii jiraa goobta abuurtay, sababtoo ah router-ku ma gudbiyo faafinta. Tan labaad waa caddaynta ciwaanka: horgalaha laanta iyo horgalaha shaybaarku way kala duwan yihiin, sidaas darteed goobta baakadu waxay kuu sheegtaa goobta ay tahay inay ka jawaabto, qaybna firewall-ka waxay dhihi kartaa «laan u socota subnet-ka shaybaarka» halkii «meel kasta ilaa meel kasta».

Tan saddexaad waa inuu la jaan qaado waxa tunnel-ku dhab ahaan qaado. Siyaasadda IPsec waa lammaane horgalayaal ah, jidka gudbinta dhinac kasta waa marsruutayn IP caadi ah oo gudbinta laga shiday albaabka:

sysctl -w net.ipv4.ip_forward=1
ip route add 10.20.0.0/24 via 192.168.50.1
ip route get 10.20.0.40

Waxa aad ka tanaasusho waa ogaanshaha iyada oo loo marayo faafinta. Taasi waa khasaare dhab ah, waana in si ula kac ah loo beddelo halkii laga hareer-mari lahaa iyada oo wax walba buundo la geliyo.

Qiimaha buundo sameynta

Buundadu waa inay qaaddo freem-yada lakab 2 iyada oo loo marayo tunnel, taas oo macneheedu yahay duubis sida GRE ama VXLAN oo IPsec dul saaran halkii tunnel fudud oo siyaasad ku salaysan. Marka taasi jirto, labada goobood waxay wadaagaan hal goob cilad. Spanning tree wuxuu tunnel-ka u arkaa xiriir, taraafikada faafintu waxay cunaa ballaca tunnel-ka, aalad kasta oo u malaynaysa qayb leh raagid hoose waxay u dhaqantaa si khaldan oo ay adag tahay in laga aan loo nisbeeyo labada daraf.

Waxay kaloo meesha ka saartaa hubinta ciwaanka ee kugu haysta daacadnimada. Hal horgale fidsan, ciwaan labanlaab ma aha khalad marsruutayn laakiin waa laba marti oo si aamusnaan ah midba midka kale taraafikiisa u xado, horgalayaasha isdul-saaran ee laanta iyo shaybaarka waa caadi in habaynta shaybaarka guriga, sidaas darteed buundadu ma xalliso khilaafkaas; way qaybisaa.

Doodda ammaanku waa tan inta badan go'aamisa. Buundadu waxay fidisaa qaybta ay borotokoolada xiriirka gudaha ku shaqeeyaan, sidaas darteed aaladda laanta waxay la hadli kartaa aaladaha shaybaarka oo aan waligood loo qorshayn in laga gaadho dibadda. Haddii shaybaarku leeyahay hypervisor, konsol keyd iyo interface maamul oo isku shabakad fidsan, taasi hadda waa hal qayb oo laanta la wadaagta.

Magacyo aan faafin lahayn

Sababta dadku u buundo sameeyaan inta badan waa ogaanshaha: daabac, aalad media ama marti shaybaar oo aan waligiis liiska ka soo muuqan. Jawaabta marsruutay ah waa adeeg magacyo. Daabac martiyada shaybaarka aag ay xalliyaha laantu gaari karo, ka dib u oggolow isticmaalayaasha inay ku xirmaan magac halkii ay shabakadda baari lahaayeen. Taasi waa shaqo badan bilowga iyo shaqo aad u yar isbeddel kasta oo mustaqbalka ah.

Ogaanshaha multicast waa kiiska adag, wuxuuna mudan yahay saxnaan. Borotokoolada sida mDNS waxay isticmaalaan multicast xiriirka gudaha, oo router-yadu si caadi ah u gudbin, sidaas darteed marti shaybaar oo ka maqan liiska ogaanshaha weli waa laga gaari karaa ciwaankiisa la diiwaangeliyay. Haddii adeeg gaar ah uu runtii u baahan yahay multicast, qorshee borotokoolkaas keliya, oo leh milicsade ama qaanuun gudbin oo bartilmaameed ah, halkii aad LAN oo dhan buundo uga dhigi lahayd hagaajin guud.

Milicsaduhuna ma aha guul bilaash ah. Wuxuu soo dejiyaa taraafikada hadalka badan ee aad isku dayaysay inaad ka fogaato, hal adeeg markiiba, wuxuuna u baahan yahay milkiile ogaanaya marka aaladdu bilaabato inay ku dhawaaqdo wax ka badan sidii hore. U dooro adeeg kasta, oo qor sababta. Diiwaangeli adeeggee u baahnaa iyo waxa uu ku dhawaaqo, sababtoo ah cusboonaysiinta firmware waxay beddeli kartaa liiskaas iyada oo aan cidna u sheegin.

Ka dhig naqshadda marsruutay mid la tijaabin karo

Dooro hal bartilmaameed, tusaale ahaan interface web-ka shaybaarka oo ku yaal subnet-kiisa server-ka, oo ku caddee labada jiho. Ka imo marti ku sugan laanta, xaqiiji ciwaanka iyo adeegga dhegeysanaya gudaha, ka dib ku xir tunnel-ka oo ku celi. Tunnel taagan wuxuu caddeeyaa in albaabbadu ay isku raacsan yihiin; firewall-ka martida ama jidka soo noqodka waxba kama caddeeyo.

Albaabka caadiga ah ee shaybaarku wuxuu u baahan yahay jid ku noqda horgalaha laanta haddii aan naqshaddu si ula kac ah u tarjumin isha, firewall-ka serverka laftiisana waa inuu aqbalaa baaxadda fog ee la oggolaaday. Midkoodna ma sameeyo tunnel guuleystay. Qoraallada gudbinta ee strongSwan waxay sharraxaan jidka baakadda ee ay tahay inuu ka shaqeeyo dhinac kasta.

Ka dib tijaabi sidoo kale meel loo diiday. Isticmaale laan oo u baahan hal barnaamij uma baahna konsolka hypervisor, habka kaliya ee lagu ogaado in siyaasaddu dhab tahay waa in la tijaabiyo waxa ay tahay inuu diido. Diiwaangeli horgalayaasha, ku-tiirsanaanta xalliyaha iyo natiijooyinka tijaabada, isbeddel mustaqbalka ah oo goob kasta ku yimaadana waxaa lagu eegi karaa dhowr daqiiqo halkii laga dib u dhisay lahaa xusuusta.