Jooji macaamiisha VPN inay tunnelka ku gaaraan midba midka kale

Laba macmiil waxay labaduba furi karaan martigeliyaha boodboodka welina aanay wax shaqo ah ku lahayn furitaanka midba midka kale. Gaaritaanka adeeg waa go'aan gudbin, halka gaaritaanka fac waa go'aan siyaasad, oo inta badan VPN-yada waxay ku hayaan walxo kala duwan. Waxa aad u habayso tan koowaad ma fuliso tan labaad. Sidaas darteed shaqadu ma aha in lagu daro qaanuun, balse in la helo walxaha go'aamisa taraafikada faca ee serverkan, diidmada halkaas lagu qoro oo macmiilka laga caddeeyo.

Dariiqa adeegga la wadaago ma aha fasax dhexda faca

Ku dhawaaqista subnetka macaamiisha waxay faca u sheegtaa sida baakad loogu saaro xarigga dhanka ciwaanka macmiil kale. Haddii baakaddaas la gaarsiiyo waxaa go'aan laga gaaraa kadib, waxa gudbiya. Gateway Linux waa silsiladda FORWARD; daemon ku jira booska isticmaalaha waa shaxda kulanka tunnelka laftiisa. Dariiq wuxuu ka jawaabaa gaaritaanka oo fasaxa taabasho la'aan ayuu ka tagaa.

Sidaas darteed baaritaanka go'doominta ee kaliya dariiqyada akhriya waxba ma caddeeyo. /24 ayaa loo diri karaa macmiil kasta halka baakad kasta oo dhexda faca ah laga tuuro qabatinka gudbinta. Xaaladda khatarta ah waa tii ka soo horjeeda: qaanuun cad ma jiro, waxaa jira caadi fasaxaya, iyo go'doomin jirta oo kaliya sababtoo ah qofna ma tijaabin.

Shuruudda hal sadar ku qor ka hor inta aanad furin terminal. Gaar adeegga blockka iyo martigeliyaha boodboodka, wax kale kuma gaarin gudaha blockka macaamiisha.

Ogaado cidda runtii gudbisa baakadda faca

Laba habdhaqan oo server-ka ayaa ka muuqda isku mid dhanka macmiilka waxayna u baahan yihiin qawaaniin kala duwan. Ama kernel-ku baakadda dib ayuu uga gudbiyaa interface-ka tunnelka, ama daemon-ku wuxuu ku koobiyaa kulamada dhexdooda kernelkuna waligiis ma arko.

WireGuard wuxuu ku jiraa kooxda koowaad: ma laha beddelka dhexda faca, sidaas darteed baakad ka timaadda 10.8.0.4 ilaa 10.8.0.5 waxay ku timaaddaa wg0, waxay ku dhacdaa qabatinka gudbinta oo mar kale wg0 laga marsiiyaa marka AllowedIPs labada ciwaan daboolo. OpenVPN waa kooxda labaad marka client-to-client lagu dejiyo habaynta serverka, sababtoo ah amarkaas wuxuu baakadda u dhiibaa kulamada dhexdooda booska isticmaalaha. Ka hor inta aanad wax qorin hubi habaynta la raray amarkaas. Qaanuunka kernel ee waligiis aan taraafikada arkin lama kala saari karo qaanuun shaqeeya, sidaasna ayaa baahinta ku dhammaata iyada oo aan wax go'doomin ah lahayn.

Akhri habaynta waxtarka leh halkii aad ka akhrin lahayd faylka aad u malaynayso in la raray, sababtoo ah baakadaha qaybinta waxay keenaan ku daristooda. Haddii daemon-ku gudbiyo, diidmadu waxay ku jirtaa kontaroolkiisa macmiil kasta, oo firewall-ka martigeliyaha wuxuu kaliya shaandheeyaa taraafikada loo diray martigeliyaha. Haddii kernel-ku gudbiyo, qabatinka gudbinta waa goobta kaliya ee muhiimka ah.

Baahinta dariiqaysan iyo tan la tarjumay waxay u baahan yihiin baaritaan kale: laga yaabee in isha macmiilka fog arko aanay ahayn tii aad filayso. Markaas qaanuunka u dhigma subnetka macaamiisha waxba ma dhigmaan. Qor ciwaanka ka badbaada tarjumaadda ka hor inta aanad qorin isku-dhaca, oo doorbid inaad isku-dhacdo lammaanaha interface-ka halkii aad ka qiyaasi lahayd ciwaannada NAT.

Si ciwaan kasta aqoonsi keligiis la baabi'in karo

Go'doomintu way dumaa isla marka laba qalab ay wadaagaan hal aqoonsi. Qaanuunka ku xiran aqoonsigaas ma kala saari karo, oo baabi'inta laptop lumay waxay baabi'isaa kooxda oo dhan. Shahaadooyin qalab kasta ama furayaal fac kasta waxay baabi'inta ku hayaan gudaha oo siyaasadda la akhriyi karo, sababtoo ah ciwaan kastaa wuxuu u dhigmaa hal qof ama hal mishiin. Meesha naqshaddu taas ma karto, buugga hawlgalka ku sheeg halkii aad qaanuunka ku tilmaami lahayd mid qoto dheer.

Qaybinta ciwaannada waa inay siyaasadda la socotaa. Kaydi block adeegyada, block macaamiisha, oo ciwaannada macaamiisha ka bixi kayd aad maamusho halkii aad ka bixin lahayd xadka kan ugu horreeya. Haddii serverku tarjumo ama buundo, shaxda khariidaynta ku hay meel u dhow habaynta, sababtoo ah shaxdaas ayaa akhristaha xiga u baahan inuu qaanuunka dib u soo saaro.

Diidmada dhig meesha baakaddu tunnelka ka gudubto

Gateway gudbiya taraafikada WireGuard, laba qaanuun ayaa kiiska daboola: fasax blockka adeegyada, kadib tuur inta ka hartay blockka macaamiisha. Lammaanaha interface-ka wuxuu muhiim u yahay sida ciwaannada, sababtoo ah isku-dhaca kaliya bartilmaameedka waxa uu qabtaa taraafikada LAN-ka ka timaadda. Ku rar sidan si fasaxa marka hore loo qiimeeyo.

nftables lammaanuhu wuxuu galayaa shaxda inet filter ee jirta, fasax marka hore iyo tuurid kadib. Labada isku-dhac waxay dhejiyaan lammaanaha interface-ka iyo ciwaannada.

nft add rule inet filter forward iifname "wg0" oifname "wg0" ip saddr 10.8.0.0/24 ip daddr 10.8.2.0/24 accept
nft add rule inet filter forward iifname "wg0" oifname "wg0" ip saddr 10.8.0.0/24 ip daddr 10.8.0.0/24 drop

Ka dib rarista silsiladda dib u akhri halkii aad ka aamin lahayd xaaladda bixista, oo xaqiiji in labada qaanuun ay ku jiraan nidaamka aad doonaysay. Ku dar qawaaniin ip6 u dhigma kaydka IPv6, haddii kale lammaanaha v4 waa qurxin kaliya tunnel laba-stack ah. Haddii serverku hore u lahaa siyaasad gudbin oggolaanaya, ku dar tuurista halkii aad silsiladda oo dhan beddeli lahayd.

Marka client-to-client lagu shidday OpenVPN, qawaaniintan gudbintu waligood ma dhigmaan taraafikada faca oo diidmadu waa inay ku noolaataa kontaroolka daemonka laftiisa. Hay qawaaniinta kernelka taraafikada martigeliyaha loo diray, laakiin ha u tirin kontaroolka go'doominta.

Diidmada ka caddee macmiilka, ma aha serverka

Tijaabada laga sameeyo gateway waxba ma caddayso, sababtoo ah taraafikada gudaha lagu abuuray wuxuu qaataa dariiqa bixista oo waligiis ma gudbo qabatinka gudbinta. Isticmaal laba macmiil oo dhab ah: mid ay tahay inuu adeegga gaaro iyo mid ay tahay in la diido. Marka hore socodsii kiiska fasaxa, si tunnel jaban aan loo qaadan siyaasad shaqaysa.

Macmiilka la fasaxay, xaqiiji in adeeggu ku jawaabo portkiisa. Isla macmiilkaas, isku day ciwaanka faca oo filo tuurid aamusan halkii diidmo:

ping -c 3 -W 2 10.8.0.5
nc -z -w 2 10.8.0.5 22
nft list chain inet filter forward
iptables -vnL FORWARD
ping -6 -c 3 -W 2 fd00:8::5

Baakad la tuuray iyo fac offline labaduba waxay u eg yihiin waqti dhammaad, sidaas darteed hubi tirinta ka hor inta aanad wax soo gabagabayn. Xaqiiji in tirinta qaanuunka tuurista ay kordhiso inta faca si cad u shaqeynayo. Ku celi IPv6, halkaas oo qaanuunka ip6 maqan uu diidmada v4 u muujiyo mid waxtar leh. Qor natiijooyinka la aqbalay iyo kuwa la diiday buugga hawlgalka oo taariikhda la socoto, sababtoo ah guuritaanka xiga ayaa qaanuunka dib u soo saari doona.