Sida loo maro VPN kaliya hal shabakad-hoosaad gaar ah

Hal shabakad-hoosaad gaar ah oo tunnel-ka dhex mara iyo wax kasta oo kale oo ku socda waddadaada caadiga ah waa codsi yar oo leh siyaabo badan oo khalad loo samayn karo. Natiijada ma go'aansato sanduuqa calaamadda ee lagu magacaabay split tunneling, laakiin halka go'aanka lagu dhaqan geliyo. Taasi waxay noqon kartaa shaxda dariiqyada macmiilka laftiisa, dariiq uu server-ku riixo, ama siyaasad ay labada daraf ka wada xaajoodaan. Waxaan isticmaalaa imtixaan saddex shuruudood leh ka hor inta aan furin wax qaabayn ah, ka dibna waxaan dooranayaa mid ka mid ah hababka hoose.

Saddex shuruudood oo go'aamiya naqshadda

Marka hore, waxaad u baahan tahay prefix iyo mask sax ah oo ka yimaada milkiilaha shabakadda. Shabakadda 10.x ma aha prefix; 10.20.0.0/16 waa prefix. Xaqiiji in aysan is-dul-saarayn LAN-kaaga guriga, buundada Docker ama VPN kale oo aad socodsiiso, sababtoo ah is-dul-saariddu waxay dariiqa ka dhigtaa mid mugdi ah oo kernel-ku wuxuu dooranayaa gelinta aadan ula jeedin.

Marka labaad, yaa ka jawaabaya taraafikada soo noqota. Dariiqa baakad galay tunnel-ka wuxuu kaliya gaarsiiyaa server-ka VPN. Haddii shabakad-hoosaadku ku taal gadaal router kale oo aan lahayn dariiq ku soo noqota ururkaaga macmiilka, server-ku waa inuu taraafikada qariyaa, ama router-kaas waa inuu barto ururkaaga. Ma jiro dariiq dhanka macmiilka ah oo hagaajiya waddada soo noqodka maqan.

Marka saddexaad, barta dhaqan-gelinta. Macmiilada qaar waxay rakistaan dariiq oo nidaamka hawlgalku sameeyo inta kale. Kuwa kale waxay ka wada xaajoodaan siyaasad, siyaasad uusan gateway-ga aqbalinna ma abuurto tunnel haba yaraatee: baakadaha waa la tuuraa iyada oo aan khalad cad jirin. Go'aanso mid ka mid ah labada arrimood midkaaga ah ka hor inta aanad wax qorin.

WireGuard: AllowedIPs waa shaxda dariiqyada

Macmiilka, AllowedIPs wuxuu liis garayaa meelaha loo socdaal karo ee geli kara tunnel-ka, wg-quick wuxuuna gelin kasta u beddelaa dariiq caadi ah. Sidaas darteed badhka macmiilka ee hawshan waa hal sadar.

[Peer]
PublicKey = ...
Endpoint = vpn.example.net:51820
AllowedIPs = 10.20.0.0/16

Hadda isbarbar dhig gelinta server-ka ee isla macmiilkaas. Waxay sharraxaysaa waxa server-ku u dirayo macmiilka, taas oo caadi ahaan ciwaanka tunnel-ka macmiilka, ma aha shabakad-hoosaadka gaarka ah.

[Peer]
PublicKey = ...
AllowedIPs = 10.99.0.2/32

Labadan is-beddeliddoodu waa khaladka aan inta badan arko. Gelinta 10.20.0.0/16 hoos yimaada qaybta peer ee server-ka waxay sheegaysaa in shabakad-hoosaadka oo dhan uu ka dambeeyo macmiilkaas, taas oo ah sheegasho goob-ilaa-goob ah, ma aha fasax. Baakadaha aan la jaan-qaadayn AllowedIPs peer kasta waa la tuuraa si aamusan, sidaas darteed gelin khaldan waxay u ekaanaysaa si sax ah dhibaatada derbi-dab ah.

Haddii adiga aad maamusho dariiqyada, dhig Table = off hoos [Interface] oo ku dar dariiqa aad rabto. Markaas waxba si otomaatig ah looma daro, sidaas darteed dariiqu waa inuu ku jiraa waxa kor u qaada interface-ka.

OpenVPN: riix dariiqa, ka dibna hubi inuu gaaro

Server caadi ah beddelku waa hal tilmaam oo ku jira qaabaynta server-ka, agteeda ururka macmiilka.

push "route 10.20.0.0 255.255.0.0"

Macmiilku wuxuu ku daraa marka uu isku xiro. Habka guuldarradu wuxuu muuqdaa marka isla profile-ka uu sidoo kale riixo redirect-gateway, ama marka qof horey ugu daray route-nopull: tan hore waxay fadhiga ka dhigtaa tunnel buuxa, tan dambe waxay tuurtaa dariiq kasta oo la riixay oo ay ku jirto taada.

Macmiil u baahan dhaqan cidhiidhi ah oo ka soo horjeeda server tunnel buuxa waa inuu iska indhatiro oo kaliya qaybaha uusan rabin. OpenVPN 2.4 iyo wixii ka dambeeya, pull-filter wuxuu u jiraa si sax ah taas.

pull-filter ignore "redirect-gateway"
route 10.20.0.0 255.255.0.0

Kala sooc qoysaska ciwaanka: dariiq IPv4 oo la riixay waxba ma tarayo adeeg gudaha ah oo u roganaya IPv6, adeeggaasna wuxuu ku guuldarraystaa tunnel-ka inta wax kasta oo kale ay fiican yihiin.

Marka shabakad-hoosaadka gaarku aanu ku jirin server-ka VPN balse uu ka dambeeyo macmiil kale, server-ka waa in la wargeliyo. Ku dar fayl macmiil kasta iyada oo loo marayo client-config-dir oo ay ku jirto iroute 10.20.0.0 255.255.0.0, oo ay la socoto route u dhiganta si macmiilada kale ay u bartaan dariiqa. La'aanta iroute server-ku ma laha sabab uu prefix-kaas ugu diro isla tunnel-kaas gaar ah.

IPsec: xulayaasha taraafikadu waa inay isku raacaan

IPsec ma jiro dariiq la riixo. Labada daraf waxay ka wada xaajoodaan ciwaannada tunnel-ka ku jira, taraafikada ka baxsan xulayaasha la isku raacayna lama sireeyo lamana soo maro. Macmiilka strongSwan xulayaashu way cad yihiin.

leftsubnet=192.168.1.0/24
rightsubnet=10.20.0.0/16

Haddii gateway-ga labada dhinac lagu qaabeeyay 0.0.0.0/0, cidhiidhinta IKEv2 caadi ahaan waxay SA-ga ilmaha u dhimtaa isgoyska labada soo jeedin, taas oo ah natiijada la rabo. Gateway-yada qaar waxay taa beddelkeeda diidaan soo jeedin aan la jaan-qaadayn xulayaashooda la qaabeeyay, log-ka markaasna wuxuu muujinayaa SA ilmo guuldarraystay ee ma aha cabasho dariiq. Marka taas dhacdo, beddelku wuxuu ka tirsan yahay gateway-ga, sababtoo ah dariiq macmiil ma abuuri karo tunnel xulaasho uusan dhinaca kale aqbali doonin.

Windows gudaha macmiilka la dhisay wuxuu isku qarinayaa isla go'aanka laba dejinta gadaashood. Kala-qaybinta tunnel-ka waa in ay shidnaataa, prefix-kana waa in lagu diiwaan geliyo profile-ka.

Set-VpnConnection -Name Office -SplitTunneling $true
Add-VpnConnectionRoute -ConnectionName Office -DestinationPrefix 10.20.0.0/16

Diiwaan-gelinta prefix-ka ayaa ka dhigta mid ka badbaada isku-xidhka mar labaad, taas oo aanay samayn dariiq gacan lagu daray.

Ka fogee barta dhamaadka iyo DNS go'aanka

Barta dhamaadka VPN waa in ay ahaataa mid la gaari karo tunnel-la'aan, haddii kale tunnel-ku wuxuu ku dumaa gudaha isaga. Marka kaliya 10.20.0.0/16 la dariiqaynayo taas waa otomaatig, maadaama barta dhamaadku tahay ciwaan dadweyne. Profile tunnel buuxa ma aha sidaas, macmiilkana wuxuu u baahan yahay dariiq host cad oo u socda barta dhamaadka ka hor inta tunnel-ku soo kaco.

DNS waa go'aan labaad oo riixidda dariiq aanay adiga kaa qaadin. Magacyada gudaha caadi ahaan waxaa lagu xalliyaa iyada oo loo marayo xalliye ay kaliya shabakadda gaarku gaari karto. Haddii server-ku riixo server DNS, magac kastaa wuu dhex maraa; haddii aanu riixin, magacyada guduhu waxay ama guuldarraystaan ama si dadweyne ah ugu rogaan wax aadan ula jeedin. DNS qaybsan wuxuu hayaa hal domain raadin oo ku yaal xalliyaha gudaha, laakiin taas waxay ku xidhan tahay taageerada macmiilka, sidaas darteed u qaado hawlo gooni ah ee ma aha saameyn dhinac ah oo ka timaadda dariiqaynta.

Hubi, ka dibna dib u bilow oo mar kale hubi

Saddex baaritaan ayaa daboolaya su'aasha dariiqa. Weydii kernel-ka halka ciwaan fog uu u socon doono, wax ka soo qaado gudaha shabakad-hoosaadka, ka dibna xaqiiji in codsi dadweyne caadi ah uu weli ka soo baxayo xidhiidhkaaga caadiga ah.

ip route get 10.20.5.7
curl -sS http://10.20.5.7/health
curl -sS https://ifconfig.me

Sadarka koowaad wuxuu magacaabayaa interface. Haddii uu magacaabo interface-kaaga jireed, dariiqu waligiis ma soo degin. Windows Find-NetRoute -RemoteIPAddress 10.20.5.7 wuxuu ka jawaabaa isla su'aashaas, baaritaanka ugu dambeeyana waa inuu weli muujiyaa ciwaankaaga caadiga ah ee ma aha kan server-ka VPN.

Ka dibna dib u bilow. Dariiqyada gacan lagu daray way lumeen, halka dariiqyada ka yimaada profile-ka, qaabaynta la riixay ama AllowedIPs ay soo noqdaan. Haddii gelitaanka cidhiidhiga ahi uu shaqeeyo ka hor dib-u-bilowga oo uu guuldarraysto ka dib, khaladku wuxuu ku jiraa sida tunnel-ku u bilaabmo, ee ma aha dariiqa laftiisa.

Ka hor inta aanad dhammaystiran u sheegin, xaqiiji afar arrimood: prefix-ku wuxuu ka yimid milkiilaha shabakadda oo waxba maxalli ah lama is-dul-saaro, waddada soo noqodku way jirtaa ama qaanuun qarin ah ayaa beddela, habka aad qaabaysay waa kan dariiqaynta ku dhaqan geliya goobtaada, iyo isla baaritaannadaas oo ka gudba dib-u-bilow nadiif ah ka dib. Qoraallada strongSwan ee ku saabsan gudbinta waa kuwo mudan in la akhriyo haddii waddada soo noqodku tahay qaybta si joogto ah u guuldarraysta.