Shaxda waddada iyo raadinta dhabta ah: halka ay u socoto taraafikada VPN

Dump-ka shaxda waddada waa baaritaanka ugu faa'iidada yar ee xallinta dhibaatooyinka VPN iyo kan ugu badan ee la dhajiyo. Afartan sadar oo prefix ah waxay kuu sheegaan waxa mishiinku qaban kari lahaa, ee ma aha waxa uu u qabtay codsiga guuldareystay. Habka aad run ahaantii rabto waa raadinta: marka la bixiyo ishaan iyo meeshan, qaanuunke keli ayaa u dhigma, shaxdee la tashaday, iyo interface-ka iyo tallaabada xigta ee soo baxday. Ka bilow hal meel iyo hal isha, dabadeed akhri shaxda su'aashaas gacanta ku hayso, oo isla wax soo saar ah wuxuu noqdaa caddayn halkii qaylo.

Shaxdu waa koox musharrixiin ah, ma aha go'aan

Gelitaan kastaa wuxuu qeexayaa prefix iyo waxa laga sameeyo taraafikada u dhigma: u dir interface, u dhiib tallaabada xigta, ama tu. Waxba liiskaas kuma habaysna ujeeddo, oo gelitaanka dadka ugu gaar ah u muuqda maaha had iyo jeer kan kernel-ku doorto, sababtoo ah doorashadu waxay raacdaa is-waafajinta prefix-ka ugu dheer iyo, marka prefix-yadu siman yihiin, mitirka.

Sidaas darteed tallaabada koowaad waa in kernel-ka la weydiiyo halkii liiska la akhrin lahaa. Amarka raadintu wuxuu uga jawaabaa meel, oo marka lagu daro doodda isha wuxuu uga jawaabaa lammaanaha saxda ah ee isku xirka la gudbiyay ama la xidhay isticmaali lahaa:

ip route get 198.51.100.10
ip route get 198.51.100.10 from 10.80.0.25
ip -6 route get 2001:db8:10::40

Cinwaan kasta oo kor ku xusan waa tusaale dokumentaysan. Qodobku waa qaabka jawaabta: interface, cinwaanka isha ee la doortay, gateway, iyo shaxda gelitaanku ka yimid. Haddii wax soo saarkaas uusan la jaan qaadin interface-ka aad filaysay, waxaad hal amar ku ogaatay dhibaatada, oo wax badan oo shaxda buuxda la akhriyo ma sheegi lahaa musharrixii guulaystay.

Raadintu waxay martaa qaanuunnada, dabadeed shaxaha

Linux-ka go'aanku waa laba marxaladood. Qaanuunnada siyaasadda waxaa lagu qiimeeyaa sida kala sarreysa, oo qaanuunka kowaad ee u dhigma wuxuu magacaabaa shax la tashado; shaxdaas ayaa dabadeed sameysa is-waafajinta prefix-ka ugu dheer. Qaanuunku wuxuu u dhigmaan karaa isha, meesha, calaamadda dab-damiska, interface-ka ama isku-dhaf, taasoo keentay in dump-ka shaxda weyn uu si buuxda u sax noqon karo oo si buuxda ugu habboonaan karo baakadda aad baarayso.

ip rule show
ip route show table all | head -40
ip route show table 100

Haddii qaanuun u diro taraafikada ka socota barkadaada VPN shaxda 100, markaas shaxda 100 ayaa muhiim ah, iyo shaxda weyn waa dabin. Tani sidoo kale waa habka waddo-marinta ku saleysan isha ee router-ka: isla meesha ayaa yeelan karta laba jawaabood oo kala duwan iyadoo ku xiran halka baakaddu ka timid, oo kaliya raadinta leh doodda isha ayaa muujisa midka khuseeya.

IPv6 waxay leedahay qaanuunnadeeda iyo shaxaheeda. Naqshad ku shaqeysa labada qoys waxay u baahan tahay labada raadin, oo jawaab IPv4 oo shaqeysa waxba kama sheegto waddada v6 ee macmiil laba-stack ah uu doorbidi karo.

Waxa macmiilka VPN rakibayaa

Macmiilladu sida caadiga ah ma beddelaan waddada caadiga ah, sababtoo ah taas waxay jebin lahayd waddada dibadda ee tunnel-ka laftiisa. Waxay rakibaan wax ka gaar ah oo ku guuleysta dhererka prefix-ka: laba qeybood oo caadi ah oo daboolaya 0.0.0.0/1 iyo 128.0.0.0/1 waa xeeladda caadiga ah, maadaama labaduba ay yihiin prefix ka dheer 0.0.0.0/0 oo wadaagaan daboolaan meel bannaan oo dhan. Kuwa kale waxay rakibaan prefix-yo gaar ah oo gaar loo leeyahay iyo qaanuun siyaasadeed, qaarna waxay ku daraan calaamad si kaliya taraafikada la doortay loo qabto.

Taas waa sababta "VPN ma beddelin waddada caadiga ah" aysan caddayn u ahayn guuldarra. Hubi waxa ay dhab ahaan ku dartay, iyo in meesha la hadlayo ay ku dhex taal prefix-yadaas:

ip route show | grep -E 'tun|wg|ppp|ipsec'
ip route get 10.20.30.40 from 10.80.0.25

Laba qeybood oo waddo ah way fududahay in dump-ka laga seego sababtoo ah uma eka caadi. Qeybinta tunnel-ka ee iloobay in lagu daro prefix waxay soo saartaa calaamadda aad baacsanayso: barnaamijka ay ahayd in uu isticmaalo tunnel-ka ayaa beddelkiis xalliya oo gudaha ku xirma. Isbarbar dhig prefix-yada la rakibay iyo meelaha isticmaaluhu dhab ahaan u baahan yahay, ma aha cinwaannada aad si kadis ah u tijaabisay. Liiska tunnel-ka qeybsan ee daboolaya server-ka faylka laakiin aan daboolin xallintiisa waxay soo saartaa isku xirka ku xalliya cinwaan dadweyne oo dabadeed ku guuldareysta xaqiijinta, taasoo u eg dhibaatada furaha laakiin waa dhibaatada waddada.

Waddada dibadduna waa inay sii noolaataa

Tunnel-ka laftiisu waa taraafik. Baakadaha qaada xamuulka la duubay waxay u tagaan cinwaanka jaarka iyagoo maraya interface-ka jireed, oo waddadaas waa in aan loo waddo-marin tunnel-ka gudihiisa. Marka sidaas dhacdo, waxaad heleysaa guuldarada gaarka ah ee tunnel-ku aasaaso oo dabadeed joojiyo gudbinta taraafikada, sababtoo ah gaadiidka tunnel-ka hadda wuxuu ku dhex jiraa tunnel-ka.

Hubi cinwaanka jaarka sidaad u hubisay meesha gudaha, oo xaqiiji in uu ku xalliyo interface-ka jireed halkii tunnel-ka:

ip route get 203.0.113.10
traceroute -n -m 5 203.0.113.10

Waddo soo noqnoqota, qaanuun siyaasadeed oo qabta jaarka, ama caadi beddelka macmiil tunnel buuxa ah ayaa ah saddexda sababood ee caadiga ah. Saddexdaaba waxaa laga arkaa raadinta dibadda, oo midkoodna lama arko dump-ka shaxda weyn ee la qaaday wixii ka dambeeyay.

Waxa soo-saarka waddo-marinta aan kuu sheegi karin

Raadin sax ah macnaheedu waa kernel-ku wuxuu baakadda u dirayaa meel macquul ah. Taasi macnaheedu ma aha in dab-damiska u oggolaado, siyaasadda IPsec ay daboolto, qaanuunka NAT uu tarjumo, ama dhinaca fog uu leeyahay waddo soo noqod. Mid kastaa waa marxalad dambe, iyo qoraallada strongSwan ee ku saabsan gudbinta waxay qeexaan silsiladda ay baakaddu ku marayso labada daraf.

Sidoo kale ma tixgeliso xidhitaanka heerka barnaamijka. Habku wuxuu ku xirmi karaa interface, calaamad ayuu dhigi karaa, ama wuxuu isticmaali karaa xalliyaha u gaar ah oo wuxuu ku xirmi karaa magac si ka duwan sidii aad tijaabisay u xalliya. Marka raadintu sax tahay oo isku xirku wali guuldareysto, su'aasha xigta waa habkee sameynaya iyo in habkaas uu arko isla shaxda aad aragto.

Sidaas darteed baaritaanka ku hay nidaamsan: magacaab meesha iyo isha, socodsii raadinta, akhri kaliya shaxda iyo qaanuunka uu raadintu magacaabay, dabadeed tijaabi marxaladda xigta. Taxanahaas wuxuu baaritaanka waddo-marinta ku hayaa daqiiqado oo wuxuu ka tagaa diiwaan qof kale raaci karo, taasoo aan shaxda la dhajiyay waligeed samayn.