Waxa la diiwaangelinayo VPN-ka site-to-site: xulayaasha iyo baaxadda

Lix bilood ka dib markii tunnel-ka la dhigay, subnet cusub ayaa joojisa inuu la jaanqaado siyaasadda, dukumeentiga kaliya ee share-ka ku yaalna wuxuu leeyahay kaliya VPN xafiiska. Taasi waa guuldarada uu diiwaanka xulayaashu ka hortago, waana mid gaar ah: koox cinwaanno ah ayaa isbeddelay iyada oo dukumeentigu aanay isbeddelin. In si sax ah loo qoro diiwaanka macneheedu waa inaad ogaato kooxda cinwaanno ee ka mid ah dhowr kooxood aad sharraxayso, oo aad diiwaangeliso tan ay dhinaca kale dhab ahaan dhaqan galiso, ma aha tan aad habaysay.

La habeeyay ma aha mid la wada hadlay

Tunnel IPsec oo ku saleysan siyaasad, dhinac kastu wuxuu soo jeediyaa xulayaasha taraafikada: xadka isha iyo meesha loo socdo ee isku-xirnaanta ilmo. Dhinaca jawaabta bixiyaa wuxuu xaq u leeyahay inuu soo jeedintaas yareeyo, sidaas darteed isku-xirnaanta la rakibay waxay dabooli kartaa wax ka yar waxa habaynta liisanka ku qoran. Diiwaan koobiya habaynta wuxuu sharraxayaa ujeeddo, ma aha baaxadda ilaalinta hadda. Labaduba si aamusnaan ah ayay kala fogaadaan, waxna kuma jiro bogga xaaladda tunnel-ka oo taas tilmaamaya.

Hayso labada tiir, oo la socodsii taariikhda aad ka fiirsatay. Xulaha la habeeyay waa waxa aad u jeedaaday; kan la wada hadlay waa waxa kernel-ku hadda dhaqan galinayo. Marka ay kala duwanaadaan, farqigaas ayaa sharraxaya guuldarro lama filaan ah marar badan oo ka badan khalad habaynta marin.

Isku-xirnaan keliya sidoo kale ma matasho lammaane kasta oo la habeeyay. Tunnel leh dhowr isku-dar xulayaal ayaa laga yaabaa inuu ku dhammaado dhowr isku-xirnaan ilmo, diiwaan liisanka ku qora mid ka mid ahna waa liis aan dhamaystirnayn. Liis iyaga halkii aad soo koobi lahayd.

Tunnel-ada ku saleysan marin ayaa si kale u doorta

Interface ku saleysan marin, shaxda marin ayaa go'aamisa waxa tunnel-ka soo gala xulayaashuna si ula kac ah ayay u ballaadhan yihiin. Taasi waa naqshad sharci ah ma aha dayacaad, diiwaankuna waa inuu sidaas ku sharraxo. Qor marinka, interface-ka uu tilmaamayo, iyo siyaasadda firewall-ka ee xaddidaysa adeegyada la gaari karo. Baaxadda ilaalintu si ula kac ah ayay u ballaadhan tahay, yareyntana waxaa sameeya baaxadda adeegga.

Koobinta template ku saleysan siyaasad oo lagu dhejiyo tunnel ku saleysan marin waxay soo saartaa dukumeenti sharraxaya hab aan la isticmaalin. Injineerka xiga wuxuu markaas raadiyaa xulayaal aan waligood halkaas ku jiri lahayn, wuxuuna go'aansadaa in tunnel-ka si khaldan loo habeeyay iyada oo uun si xun loo diiwaangeliyay.

Tarjumaaddu waxay ku jirtaa isla shaxda

Marka NAT u soo bandhigo dhinaca kale xad ka duwan, qor prefix-yada asalka ah iyo kuwa la tarjumay si wadajir ah. Xusuusnow heerka ay xulayaashu iyo xeerarka gelitaanku ku waafaqaan, sababtoo ah nidaamka ayaa go'aaminaya in dhinaca fog uu waligiis arki doono cinwaanka aad qortay. Shax leh mid ka mid ah labada xad oo keliya ayaa ka xun shax la'aan, waayo waxay u muuqataa mid dhamaystiran.

Kani waa faahfaahinta burburisa tunnel shaqeynaya ka dib isbeddel NAT: xuluhu wali wuxuu la waafaqaa prefix-ka asalka ah, dhinaca kale wuxuu hadda helaa mid la tarjumay, marinka soo noqoshadiisuna wuxuu tilmaamayaa cinwaan aan hadda jirin. Waxba khalad ma diiwaangeliso daqiiqada ay labaduba joojiyaan waafaqidda.

DNS gaar ah ayaa isla meesha ku jira. Magac ku xallima cinwaan aan laga isticmaali karin goobta la xiriira waa khalad dukumeenti oo leh ticket taageero, eedna tunnel-ka ayaa lagu dhici doonaa.

Ku lifaaq shuruudda adeegga

Xad la ilaaliyay ma aha liis fasax. Qor adeegyada la rabo in laga gaaro isha kee, iyo cidda leh barnaamijka ka dambeeya. Labada goobood waxay ka jawaabaan su'aalo kala duwan, isku-darkooduna waa sida dib-u-eegis ammaan ugu dhammaado dood ku saabsan marin halkii gelitaan.

Kadib magacaab maamulaha shabakadda ee ilaaliya xeerka. Liis xulayaal oo aan lahaanayn mulkiilaha si aamusnaan ah ayuu u duugoobaa, duugna lama kala garto khalad marka tunnel-ku jabto labada saac ee habeenkii. Mulkiiluhu sidoo kale waa qofka caddayn kara in isbeddelku ula kac ahaa.

U beddel diiwaanka qorshe tijaabo

Waddo kasta oo loo baahan yahay, dooro martigeliyaha isha iyo meesha loo socdo oo matala, oo qor marinka, adeegga iyo gateway-ga jawaabta la filayo. Taasi waxay dukumeentiga u beddelaysaa qorshe tijaabo halkii sharraxaad. Akhri isku-xirnaanta firfircoon ee amarka hoose, oo la barbardhig safka la wada hadlay ee aad qortay.

swanctl --list-sas

Qalfoof shan saf ah ayaa caadi ahaan ku filan in diiwaanku daacad ahaado. Nuqulka hoose wuxuu ku galaa ticket isbeddel iyada oo aan la gooyn:

sites: office <-> dc1
configured selector: 10.10.0.0/16 <-> 10.20.0.0/16
negotiated selector: 10.10.4.0/22 <-> 10.20.0.0/16
translated range: 172.16.4.0/22 -> 10.10.4.0/22
service and owner: erp:443 / finance-netops

Ping kaliya ilaa gateway ma aha tijaabada aqbalidda. Waligiis ma maro waddada gudbinta, sidaas darteed way gudbi kartaa iyada oo qulqul kasta oo la gudbiyo uu guuldarraayo. Ka tijaabi martigeliye dhinac ah ilaa adeeg dhinaca kale oo xaqiiji in jawaabtu tunnel-ka soo marto. Haddii ping kaliya gudbo, diiwaanku wuxuu hadda helay dhibaatada gudbinta ee loogu talagalay inuu ka hortago. Dukumeentiga strongSwan ee gudbinta wuxuu sharraxayaa sida xulayaashu, marinnada iyo gudbintu u wada shaqeeyaan Linux peer.