Sababta VPN TAP la wadaago ay wali ugu baahan tahay HTTPS bogga

Laba qalab ayaa leh aqoonsi VPN oo sax ah waxayna wadaagaan hal qayb Ethernet oo buul leh. Midkood oo keliya ayaa ah inuu ka jawaabo bogga xafiiska, kan kalena wali wuxuu sheegan karaa cinwaanka bogga qaybtaas. Tunnel-ku wuxuu qabtay shaqadiisa: wuxuu xaqiijiyay labada lammaane oo wuxuu sireeyay waddo kasta oo server-ka ah. Wixii uusan qaban waa inuu caddeeyo midkood baa leh magaca adeegga, iyo farqigaas ayaa sabab u ah in boggu wali u baahan yahay shahaado sax ah.

Waxa VPN ay dhab ahaan xaqiijiso

Gacan-qaadka VPN wuxuu ka jawaabaa hal su'aal: kee lammaane ayaa dhammeeyay tunnel-kan, iyo waxa alaabta furaha ah. Jawaabtaas waa mid lammaane kasta iyo xiriir kasta, mana sheegto wax ku saabsan adeegyada uu lammaanahaas soo bandhigo ka dib. Qaybta TAP lammaanuhu xitaa ma aha hal cinwaan, sababtoo ah wuxuu soo bandhigi karaa MAC kasta iyo IP kasta oo buundada diyaar u tahay inay barato. Xaqiijintu waxay joogsataa dhammaadka tunnel-ka, ma aha barnaamijka.

Kala sooc saddexda su'aalood halkii aad mid ka dhigi lahayd. Mid kastaa wuxuu leeyahay habkiisa iyo qaabkiisa guuldarada.

Isku-duwista waxay yeelan kartaa tunnel si fiican loo xaqiijiyay iyo adeeg gebi ahaan aan la xaqiijin oo ka dambeeya. Waxay kaloo yeelan kartaa shahaado la ansixiyay martigeliyaha cinwaankiisa heerka labaad uu sheeganayo lammaane kale, taasna waa sababta labada kontorool ay tahay inay ku jiraan naqshadda halkii mid uu beddeli lahaa kan kale. Shaxdu waa doodda oo dhan saddex saf.

ARP qayb la wadaago ma aha tusmeyn

ARP waxay ku xirtaa cinwaanka IPv4 MAC-ka xiriirka maxalliga ah waxayna aqbashaa jawaabo qof kasta oo xiriirkaas jooga. Qayb buul leh oo dabacsan lammaane wuxuu sheegan karaa cinwaan qalab kale leh, buundaduna waxay u gudbisaa wareegyada kii ugu dambeeyay jawaabay. Sirteynta waddo kasta oo macmiilka ilaa server-ka ma beddelo taas, sababtoo ah wareegyada waa la fureeyaa ka hor inta aysan gaarin buundada. Xadka kalsoonida ARP waa qaybta, ma aha tunnel-ka.

Eeg waxa martigeliyuhu dhab ahaan bartay: ip neigh show waxay taxdaa khariidadaha hadda jira iyo xaaladdooda, gelitaanka u dhexeeya laba cinwaan MAC inta lagu jiro hawlgalka caadiga ah waa calaamad u qalanta baaritaan halkii la iska indhatiri lahaa. Qayb yar oo caafimaad qabta gelitaannadaas muddo dheer way degganaadaan.

Go'doominta lammaanaha iyo siyaasadda buundada waxay u jiraan si sax ah kiiskan. Naqshad waddo leh ayaa badanaa jawaabta wanaagsan marka adeeggu yahay IP oo keliya oo qalabku aanay lahayn sabab ay isku arkaan wareegyadooda.

Ku hay xaqiijinta shahaadada halka adeeggu yahay

TLS-ka barnaamijku wuxuu ka jawaabaa su'aasha tunnel-ku aanu ka jawaabi karin: ma tani waa adeegga aan doonayay inaan gaaro. Browser-ku wuxuu hubiyaa magaca martigeliyaha shahaadada, hubintaasna waa qaybta keliya ee silsiladda ee magacaabaysa bogga halkii lammaanaha.

Baadh waxa server-ku soo bandhigayo ka hor inta aadan go'aansan in digniintu tahay mid muuqaal keliya ah. openssl s_client -connect portal.example.internal:443 -servername portal.example.internal wuxuu daabacaa silsiladda iyo magacyada beddelka ee mawduuca. Haddii magaca aad qortay aanu ku jirin liiskaas, digniintu waa sax oo shahaadada ayaa ah waxa loo baahan yahay in la saxo. Baridda isticmaalayaasha inay ka gudbaan waxay kontorool shaqeeya u beddeshaa qurxin.

Hagaha buulka OpenVPN wuxuu sharraxayaa qaabka Ethernet iyo xulashooyinka siyaasadda ee ku xeeran, waana tixraaca saxda ah ee waxa qaybtu ay tahay inay ogolaato. Akhri ka hor inta aadan dabacsanayn qaanuunka buundada, sababtoo ah qaabka uu sharraxayo waa waxa baaritaan kasta oo kor ku xusan uu malaynayo.

Go'aanso in lammaanayaashu ay tahay inay wadaagaan qayb ama maya

Xallinta ugu jaban badanaa waa joojinta wadaagga heerka labaad marka shuruuddu tahay oo keliya gaaritaanka IP. VPN waddo leh wuxuu siinayaa macmiil kasta cinwaankiisa, wuxuu meesha ka saarayaa domain-ka baahinta la wadaago oo wuxuu taraafikada u dhexeeya lammaanaha ka dhigayaa go'aan siyaasadeed halkii uu ahaan lahaa mid caadi ah. Markaas boggu wuxuu leeyahay hal cinwaan oo la ilaaliyo oo aanu lahayn deris sheegan kara.

Haddii qaybtu ay tahay inay sii socoto, hubi dejinta dhinaca server-ka ee u oggolaanaya macmiillada inay gaaraan midba midka kale: grep -n client-to-client /etc/openvpn/server.conf. Marka la joojiyo, taraafikada macmiilladu waxay maraa server-ka oo halkaas lagu shaandheyn karaa. Marka la daaro, lammaanuhu waxay si toos ah uga wadaagaan wareegyada buundada, meelahaada shaandhayntuna waa buundada iyo darbiga dabka ee martigeliyaha.

Qor waxa ka hortag ah oo martigeliyaha kastaa uu dhab ahaan ku tiirsan yahay: xaqiijinta tunnel-ka, go'doominta qaybta ama TLS-ka barnaamijka. Martigeliyaha ku tiirsan saddexda waa hagaagsan yahay. Martigeliyaha ku tiirsan kan ugu horreeya oo u malaynaya in labada kale ay la yimaadeen waa kan ugu dambayn soo bandhiga nuxurka khaldan.