StrongSwan waxay diraysaa cinwaan DNS oo Mac uusan gaari karin

Wax walba way shaqeeyaan ilaa qof MacBook furo. Tunnel-ku wuu dhismaa, martigeliyayaasha gudaha waxay ku jawaabaan cinwaan ahaan, magaca-soluciintuna way dhinto. iPhone-ka isla profile-kaas ayaa sidaas oo kale u dhaqma, halka macaamiisha Windows iyo Linux ay fiican yihiin. Sifo DNS-ka la diraayo ayaa badanaa ah dembiga: serverku wuxuu bixiyaa cinwaanka interface-kiisa guud, macmiilka IKEv2 ee Apple-na ma diro waydiimaha halkaas tunnel-ka dhexdiisa. U rar xalliyaha gudaha barkada oo calaamaddu way baaba'aysaa iyada oo aan macmiilka la taaban.

Calaamaddu waxay tilmaamaysaa cinwaanka la diraayo

Marka qaar ka mid ah platform-yada kaliya fashilmaan, tunnel-ka iyo aqoonsiga shaqada ayaa hubaal ah inay fiican yihiin, sababtoo ah waa la wadaagaa. Waxa kala duwan ayaa ah sida macmiil kastaa u adeegsado xamuulka habaynta ee uu helo, oo ay ku jirto serverka DNS ee gudaha. Macmiilka aqbala cinwaanka laakiin waydiimaha ka leexda tunnel-ka wuxuu ku dhammaadaa xalliyaha uu arko oo aanu isticmaali karin.

Cinwaanka guud waa doorashada caadiga ah sababtoo ah waa kan maamuluhu horeba u yaqaan. Waa sidoo kale cinwaanka kaliya ee la dammaanad qaaday inuu ka baxsan yahay prefix-ka tunnel-ka, taas oo si sax ah u burburisa macaamiisha Apple.

Fiiri qiimaha ka hor inta aanad wax beddelin. Haddii xalliyaha la diraayo yahay cinwaanka WAN ee serverka, waad heshay qaabka dhibaatada oo waad ka boodi kartaa mala-awaalka intiisa kale. La barbardhig prefix-ka barkada sidoo kale, maadaama cinwaan ku dhex jira barkada laakiin ka baxsan xadka kireedka uu si sax ah u noqon doono sida hagaajintu u ekaan doonto. Laba daqiiqo oo habayn ah ayaa ka fiican galab qabashada baakidhada macmiilka.

Ka go' xalliyaha xadka kireedka

Si tunnel-ka qorshe cinwaan ah oo xalliyuhu ka tirsan yahay subnet-ka barkada, ka dibna cinwaankaas kaydi si aan macmiilna waligiis loo kireyn. Tusaalahan barkadu waa 10.180.7.0/24, serverku wuxuu hayaa 10.180.7.1, kireedkuna wuxuu ka bilaabmaa 10.180.7.2.

rightsourceip=10.180.7.2/24
rightdns=10.180.7.1

Prefix-ka barkada iyo xalliyuhu waxay wadaagaan subnet, sidaas darteed marinka hore u qaada taraafikada tunnel-ka ayaa sidoo kale qaada waydiimaha. Hal sifo oo kaliya ayaa hagaajinta ka dhigta mid laga guuri karo macaamiisha dhexdooda. Habaynta swanctl labada xaqiiqo isla mid ah waxay u muuqdaan qeexitaan barkad iyo dejinta DNS oo ku dul xiriirka, halkii ay ka ahaan lahaayeen syntax ipsec.conf.

Serverku uma baahna interface jireed cusub tan. Ku darista 10.180.7.1 interface-ka loopback waa ku filan tahay in xalliyuhu xidhmo oo jawaabo, maadaama macaamiishu ay ku gaaraan marinka barkada ee horeba u jira. Cinwaanka ka fogee xadka kireedka si aan macmiilna si shil ah u qaadan. Haddii barkada ay maamusho adeeg DHCP ama RADIUS dibadeed, cinwaanka halkaas sidoo kale kaydi, haddii kale macmiilka ugu horreeya ee weydiistaa ayaa qaadan doona.

Xidh xalliyaha oo xir dekedda 53

Cinwaan bixin ma aha isku mid inaad dhageysato isaga. Xalliyaha kaliya dhageysta cinwaanka LAN wuu diidi doonaa ama iska indhatiri doonaa waydiimaha loo diro cinwaanka barkada, macmiilka-na wuxuu arkaa waqti-dhaaf ah oo u eg fashilka marinka.

interface: 10.180.7.1
access-control: 10.180.7.0/24 allow
access-control: 0.0.0.0/0 refuse

Qaybta unbound waxay aqbashaa waydiimaha barkada tunnel-ka oo diiddaa wax kasta oo kale, taas oo ah siyaasadda xalliyayaasha shirkadaha intooda badan ay rabaan. Haddii isla instance-kaas uu sidoo kale u jawaabo macaamiisha LAN, prefix-ka LAN si cad u ku dar halkii aad dhageysiga u ballaarin lahayd ilo kasta.

Xeerarka firewall-ka markaa waa inay la jaanqaadaan kontoroolka gelitaanka xalliyaha laftiisa. Aqbal dekedda 53 barkada, kana tuur meel kasta oo kale, laakiin marka hore fiiri nidaamka silsiladda.

iptables -A INPUT -p udp --dport 53 -s 10.180.7.0/24 -j ACCEPT
iptables -A INPUT -p tcp --dport 53 -s 10.180.7.0/24 -j ACCEPT
iptables -A INPUT -p udp --dport 53 -j DROP
iptables -A INPUT -p tcp --dport 53 -j DROP

Xeer aqbal ballaaran oo hore ayaa labada sadar ee u dambeeya ka dhigaya qurxin, xalliyuhuna wuxuu ka gaarayaa internetka. Akhri xeerarka dhaqan galaya oo leh tirooyinka halkii aad aamin lahayd nidaamka aad ugu talagashay. Siyaasadda beddelka ah, dirista cinwaanka guud iyo ogolaanshaha waydiimaha ilo kasta, waxay u shaqaysaa macaamiisho badan, laakiin waxay xalliyaha dhigtaa internetka oo waxay u baahan tahay xaddidid xawaare iyo la-socod u gaar ah.

Hubi waxa macmiilku dhab ahaan helay

Marka hore fiiri aragtida serverka, ka dib tan macmiilka, sababtoo ah labadoodu si waxbarasho leh ayay isku diidaan. Liiska barkada wuxuu muujinayaa cinwaanka la kireeyay, liiska ururka amniga-na wuxuu muujinayaa haddii xiriirku u taagan yahay aqoonsiga la filayay.

swanctl --list-sas
swanctl --list-pools
dig +short @10.180.7.1 intranet.plant.example

Weydiinta tooska ah waxay caddeynaysaa in xalliyuhu ka jawaabo cinwaanka barkada martigeliyaha gaari kara. Ma caddeyneyso in Mac-ku doortay serverkaas. macOS, scutil --dns wuxuu ku taxaa xalliyayaasha adeeg kasta oo xaddidan wuuna ka war-bixin badan yahay guddiga kooban; Windows, Get-DnsClientServerAddress wuxuu muujinayaa haddii adapter-ka tunnel-ku aqbalay qiimaha la diray.

Haddii macmiilku muujiyo cinwaanka barkada oo waydiimuhuna wali waqti-dhaafaan, marinka tunnel-ka ama silsiladda firewall-ka ayaa qaldan. Macmiil aan xalliyo soo sheegin waxay la micno tahay xamuulka habaynta waligiis ma imanin, marka fiiri sida platform-kaas u adeegsado dejinta la diray, ee ma aha shabakadda. Qor midka labadaas aad aragtay ka hor inta aanad wax kale beddelin. Labadaas fashilayaal waxay isku mid uga muuqdaan tigidhka taageerada oo waxay horseedaan hagaajinno iska soo horjeeda.