Baxitaan gooni ah: barkada VPN ee usb0, taraafikada gateway-ga ee eth0

Macmiillayaashu way xirmaan oo xaqiijiyaan, ka dib taraafikoodu wuxuu ka baxaa isku-xirka kore ee khaldan, sababtoo ah dariiqa caadiga ah ee kaliya ee mishiinka waa kan gateway-ga laftiisa. Beddelka dariiqaas caadiga ah wuxuu jebin lahaa cusboonaysiinta mishiinka iyo gelitaanka maamulka, sidaas darteed xulashadu waa inay ka cidhiidhi timaaddo «dhammaan taraafikada». Qaabka shaqeeya waa qaanuun siyaasadeed oo ku salaysan cinwaanka isha gudaha ee barkada macmiilka, oo tilmaamaya shaxda labaad ee dariiqa leh WAN-ka beddelka. Halkaas ka dib liiska hubinta wuxuu ku saabsan yahay buuxnaanta iyo habdhaqanka guuldarada, ma aha qaanuunka laftiisa.

Xaqiiji in cinwaanka ishu uu sii jiro ilaa go'aanka dariiqa

Qaanuunka siyaasadeed ee u dhigma baaxadda isha wuxuu kiciyaa oo kaliya marka xirmadu ay weli qaaddo ishaas wakhtiga raadinta. Taraafikada macmiilka ee la gudbiyay sidaas ayuu sameeyaa, ilaa aan wax ka sarreeya uusan dib u qorin ka hor dariiqa. Taraafikada uu gateway-gu laftiisu soo saaro sidaas ma sameeyo, taasna waa sababta dariiqa caadiga ah ee gateway-gu uu ku sii jiri karo meeshiisa.

Halkan ayaa tijaabooyinka maxalliga ah marin-habowshadaan ku leeyihiin. curl lagu dhex shaqeeyay gateway-ga waa qulqul maxalli ah oo la abuuray cinwaanka gateway-ga, sidaas darteed wuxuu qaataa shaxda ugu weyn oo wax kama caddeeyo wadada macmiilka. Ka tijaabi macmiil xiran, ama abuur taraafik leh isha dhab ahaan ka tirsan barkada.

Ku bilow qorista qiyamka dhabta ah: horgalaha barkada, isku-xirka tunnel-ka ee qaada, cinwaanka iyo tallaabada xigta ee WAN-ka labaad, iyo lambarka shaxda ee aad doonaysid inaad isticmaasho. Nadiifi qaanuunnada hore ee isku-day kasta oo hore ka hor intaadan ku darin kuwa cusub, sababtoo ah qaanuunnada labanlaaban ee mudnaanta kala duwan waxay dhaliyaan guuldarrooyin u eg shil.

Dhis shaxan xulan oo buuxa

Shaxdu ma aha dariiq caadi ah oo saaxiib la socda. Waxay u baahan tahay dariiqooyin ku filan in raadinta kastaba ku dhex xalliso, oo ay ku jirto dariiqa ku xiran subnet-ka WAN si tallaabada xigta loo gaadho. Barkada 10.77.0.0/24 ee tun1, cinwaanka WAN 203.0.113.20/24 oo leh tallaabada xigta 203.0.113.1, iyo shaxda 600:

ip -4 route replace 203.0.113.0/24 dev usb0 src 203.0.113.20 table 600
ip -4 route replace 10.77.0.0/24 dev tun1 table 600
ip -4 route replace default via 203.0.113.1 dev usb0 table 600
ip -4 rule add priority 1500 from 10.77.0.0/24 lookup 600

Qaanuunku wuxuu fadhiyaa mudnaan ka hooseeya qaanuun kasta oo jira oo wax walba qabta, sidaas darteed macmiillada u dhigma waxay marka hore gaaraan shaxda 600, wax kasta oo kale na waxay ku dhacaan shaxda ugu weyn. Tixraaca ip-rule wuxuu si buuxda u sharraxayaa qaabka raadinta ee nidaamsan iyo halabuurka xulashada.

Ka dib ka fikir waxa aan shaxda ku jirin. Meel loo socdo oo keliya dariiq ku leh tan ugu weyn, sida subnet maamul oo laga gaari karo eth0, lama heli doono shaxda 600 oo kuma noqon doono tan ugu weyn marka dariiq caadi ah halkaas ka jiro. Haddii dariiqyadaas muhiim yihiin, si cad ugu dar shaxda xulan, taas oo badanaa tahay jawaabta saxda ah ee shaxda baxitaanka VPN.

Ka ilaali taraafikada dhagaystaha laftiisa siyaasadda

Dhagaystaha OpenVPN wuxuu leeyahay isku-xirkiisa dibadda, oo lagu qaado isku-xirka kore ee macmiilku ku gaaray. Taraafikadaas waa inuu hayaa dariiqa soo-noqoshada ee uu ku yimid, qaanuun ballaaran oo daboolaya cinwaanka guud ee server-ka ama isku-xirka tunnel-ka oo dhan ayaa ku jiidan kara shaxda beddelka. Ku xaddid qaanuunka barkada gudaha oo wax kale ma jiraan.

Shaandhaynta dariiqa soo-noqoshada ayaa sidoo kale u qalanta daymo sababtaas awgeed. Marka jawaabaha macmiillada ay ka baxaan usb0 halka codsigu ka yimid isku-xir kale, habaynta adag ee rp_filter waxay tuuri kartaa xirmooyin ay siyaasadda dariiqa u arko kuwo ansax ah. Hubi qiyamka sysctl ee dhaqan galaya labada isku-xir ka hor intaadan go'aan ka gaarin in qaanuunku guuldarreystay.

Nidaamka ayaa sidoo kale muhiim u ah wax kasta oo kale oo mishiinka ku jira. Buundooyinka Docker, VPN labaad iyo qaanuun kasta oo hore u jiray oo ka yimid sawirka bixiye ayaa dhammaantood ku daraya mudnaan, sidaas darteed akhri liiska qaanuunnada oo dhan halkii aad ka fikiri lahayd in mudnaanta 100 keligeed tahay.

Ka dhig gudbinta iyo tarjumaadda mid la socota dariiqa

Dariiqayntu waxay doorataa isku-xir kore; ma bixiso fasax gudbin. Kernel-ku waa inuu leeyahay gudbinta IPv4 oo shidan, dab-damiska na waa inuu aqbalaa jihada macmiilka ilaa WAN iyo taraafikada soo-noqoshada. Shax sax ah oo leh silsilad FORWARD oo tuurta qulqulka waxay bixisaa calaamad la mid ah dariiq maqan, sidaas darteed labadaba waa la hubiyaa hal mar.

Haddii WAN-ka labaad uusan u dariiqayn barkad gaar ah dib kuugu soo celin, ku tarjun isha baxitaankaas. Isku-xir leh cinwaan firfircoon, xulashada caadiga ah waa qaanuun masquerade cidhiidhi ah oo ku xaddidan barkada iyo isku-xirka:

iptables -t nat -A POSTROUTING -s 10.77.0.0/24 -o usb0 -j MASQUERADE

Halkan baaxaddu way ka muhiimsan tahay bartilmaameedka. Qaanuun masquerade ah oo u dhigma isku-xir kasta oo baxa ayaa sidoo kale dib u qori doona taraafikada si sax ah uga baxa eth0, taasna waxay qarinaysaa khaladaadka dariiqa halkii ay hagaajin lahayd. Tarjumaaddu waxay socotaa ka dib go'aanka dariiqa, sidaas darteed waligeed ma hagaajin karto xirmo loo diray isku-xirka kore ee khaldan.

Culayska tunnel-ka ayaa sidoo kale u baahan feejignaan marka dariiqooyinku kala duwan yihiin. Haddii macmiilladu ku heshiiyaan TCP MSS weyn oo WAN-ka beddelka uu leeyahay MTU hoose ama tunnel gudihiisa, qaybaha waaweyn way istaagaan halka kuwa yaryar ay shaqeeyaan. Xaddidka MSS ee dariiqa gudbinta waxay taas ka dhigtaa habdhaqan la saadaalin karo halkii ay noqon lahayd xannibaad marmar ah.

Go'aan ka gaar waxa dhaca marka usb0 lumo

Shax madhan ma aha xaalad xirta marka guuldarro dhacdo. Haddii dariiqa u dhigma lumo, raadintu waxay sii socotaa qaanuunka xiga, waxay gaartaa shaxda ugu weyn oo waxay qaataa caadiga eth0. Taraafikada loo malaynayay inuu ka baxo WAN-ka labaad ayaa si aamusnaan ah uga baxa kan koowaad, taas oo ku ah hawlgelinta dariiq-siayaasadeed inta badan natiijada aad ugu yar u baahan tahay.

Meesha dib-u-dhac taas aan la aqbali karin, ku dar dariiq terminal cad oo ku jira shaxda 600, sida caadi blackhole ah, ama ku tuur barkada dab-damiska inta isku-xirku xiran yahay. Mid kasta oo labada ah waa go'aan aad qori karto; aamusnaantu maaha.

Joogtayntu waa qodobka ugu dambeeya. Qof kasta oo leh labada isku-xir, hadday tahay maareeyaha shabakadda, qoraal dirid ama wareegga nolosha isku-xirka, waa inuu mar kasta oo dib u xirmo dib u abuuro dariiqooyinka iyo qaanuunka isagoon ku darin nuqulo. Ku xaqiiji codsi ka yimid macmiil dhab ah iyo codsi gooni ah oo ka yimid gateway-ga, xaqiiji baxitaanka la arkay labadaba, ka dib jiid WAN-ka labaad oo eeg midka ka mid ah labada natiijo ee aad naqshadeysay uu dhab ahaan dhaco. IPv6 wuxuu u baahan yahay shaxdiisa, qaanuunkiisa iyo tarjumaaddiisa; qaanuunka IPv4 ee kore wax kama sheegayo.