Tijaabi soo-kabashada serverka VPN kadib dib-u-bixinta: waxa ugu horreeya ee la eego

Dib u bilow serverka iyada oo aan qofna soo galin, ka dibna ka xiriir shabakad aadan maamulin. Tijaabadan keliya waxay ka jawaabtaa haddii soo-kabashadu dhab tahay, sababtoo ah tunnel kaliya shaqeeya ka dib markii qof gacan ku amro ayaa ah mid aan soo-kabasho ahayn, waa dayactir. Inta badan hubinta ayaa goor hore joogsata: daemon-ku wuxuu u muuqdaa mid firfircoon, interface-ku wuu soo baxaa, bogguna weli ma soo raro. Farqiga inta badan wuxuu ku jiraa joogteynta qaybaha ku hareeraysan tunnel-ka, ma aha amarka tunnel-ka laftiisa.

Afar milkiile, afar tijaabo oo kala duwan

Kahor dib-u-bixinta, magaca waxa ay tahay inuu tunnel-ka soo celiyo. Tijaabada aad samayso iyo sixitaanka aad codsato labaduba waxay ku xiran yihiin jawaabtaas, waxaana jira afar milkiile oo caadi ah: unit systemd oo loogu talagalay daemon-ka VPN, unit tusaale wg-quick oo loogu talagalay interface WireGuard, runtime container, ama profile maareeyaha shabakadda. Haddii aadan magacaabi karin milkiilaha, istaag oo raadi, sababtoo ah tijaabada dib-u-bixin ee aan lahayn waddo bilow la filayo waxay kaliya kuu sheegtaa in wax dhacay.

Milkiile kastaa wuxuu kaydiyaa habayntiisa meel kale. Server OpenVPN oo systemd maamusho wuxuu akhriyaa habayntiisa marka la bilaabo, marka waxa faylka ku jira waqtiga boot-ka ayaa shaqeeya. Interface wg-quick wuxuu cinwaannada, waddooyinka iyo DNS ka helaa isla faylkaas, taas oo macnaheedu yahay interface gacan lagu sare u qaaday shell oo aan waligiis unit ahaan la shidin ma soo noqon doono. Container-ku wuxuu soo celiyaa barta gelitaanka laakiin ma celiyo isbeddellada firewall-ka host-ka haddii aanay ku noolaan container-ka dibaddiisa.

Marka hore xaaladda aasaasiga ah, haddii kale natiijadu wax macne ah ma leh

Diiwaangeli xaaladda shaqaynaysa inta ay shaqaynayso: cinwaannada tunnel-ka, waddooyinka subnet-ka macmiilka, xeerarka NAT ama gudbinta, socket-ka dhegeysta, iyo sysctl-ka gudbinta. ip addr show wg0, ip route, nft list ruleset ama iptables-save, ss -lunp iyo sysctl net.ipv4.ip_forward way ku filan yihiin host-ka badankiisa.

Diiwaangeli sida adeegga loo habeeyay inuu bilaabo, ma aha oo kaliya inuu shaqaynayo. systemctl is-enabled wg-quick@wg0 iyo systemctl is-active wg-quick@wg0 waxay ka jawaabaan su'aalo kala duwan, xaaladda la shidayna waa tan muhiimka ah waqtiga boot-ka, sida lagu sharraxay systemctl(1). OpenVPN ahaan, hubi template-ka host-ku isticmaalayo, sababtoo ah openvpn@server iyo openvpn-server@server waa unit kala duwan oo leh caadooyin kala duwan.

Samee dib-u-bixinta oo akhri guuldarada ugu horreysa

Dib u bilow si ula kac ah, gudaha daaqad aad adigu dooratay, iyada oo console ama waddo ka baxsan band-ka furan. Fiiri nidaamka dhacdooyinka halkii aad fiirin lahayd xaaladda ugu dambaysa: host-ku waa la gaari karaa, unit-ka waa la hawlgeliyay, interface-ku waa jiraa, waddooyinku waa la rakibay, xeerarka firewall-ka waa jiraan, dhegeystuhu waa xiran yahay, macmiilka waa la aqbalay. Tallaabada ugu horreysa ee aan dhacayn waa natiijada; wax kasta oo ka dambeeya waa qaylo.

Daemon-ku wuxuu noqon karaa mid firfircoon inta tunnel-ku aan la isticmaali karin, waana tan ugu badan ee si qaldan loo gudbo. Bilowgu wuxuu dhammaan karaa kahor inta shabakaddu online noqon haddii unit-ku kaliya sugayo network.target halkii uu ka sugay lahaa network-online.target. Faylalka la tixraacay sida shahaadooyinka, furayaasha ama CRL waxaa laga yaabaa inaan la akhrin karin waqtigaas sababtoo ah mount ama waddada sirta ah wali ma diyaarsana. Labada dhibaato midkoodna kama muuqdo systemctl status ilaa aad akhrido joornaalka unit-ka.

Ka tijaabi meel ka baxsan host-ka. Macmiil ku sugan isla LAN-ka ayaa ku guulaysan kara waddo aan macmiil fog waligiis isticmaali lahayn, iyo fadhi SSH oo mashiinka ah waxba kama caddeeyo tunnel-ka. Xiriir, xalli magac gudaha ah, gaar kheyraadka gaarka ah, ka dibna mar kale xiriir si aad u xaqiijiso in xaaladda baabi'inta iyo furayaashu wali khuseeyaan.

Saddexda shuruudood ee go'aamiya sixitaankaaga

Haddii tunnel-ku soo noqdo laakiin macmiillada waxba ma gaaraan, guuldaradu waxay ku jirtaa waddo-marinta ama joogteynta NAT. Haddii macmiillada xitaa aanay dhammayn karin handshake, guuldaradu waxay ku jirtaa interface-ka ama qalabka xaqiijinta. Haddii adeeggu waligiis bilaabmin, guuldaradu waxay ku jirtaa faylka unit-ka ama ku-tiirsanaantiisa. Saddexdan laamood waxay u horseedaan sixitaanno kala duwan, taasina waa sababta dib-u-bixin indho la'aan ah oo aan lahayn xaalad aasaasi ah ay ka qaadato waqti ka badan inta ay badbaadiso.

Sixitaanka ku samee halka dejinta la leeyahay. Gudbinta geli sysctl drop-in, xeerarka NAT geli xeerarka la raro waqtiga boot-ka, hawlgelinta unit-ka halkii aad ka bilaabi lahayd, oo sirta ku hay waddo jirta kahor inta unit-ku bilaaban. Hurdada ku darista unit-ka waxay qarinaysaa ku-tiirsanaan halkii ay caddayn lahayd.

Natiijada ku diiwaangeli runbook-ka

Qor waxa iskii u soo noqday, waxa ay tahay inaad bilowdo, iyo inta ay farqigu socotay. Ku dar amarrooda saxda ah ee aad isticmaashay xaqiijinta, si qofka xiga uu tijaabada ku celiyo halkii uu mid cusub abuuri lahaa. Haddii tallaabo kasta u baahan amarka gacanta, amarkaas waxaa iska leh habaynta, ma aha runbook-ka tallaabo joogto ah.

Ka dib jadwal tijaabada xigta ka dib isbeddelka xiga ee xirmada shabakadda host-ka, ma aha taariikh kalandarka lix bilood ka dib. Qaabka guuldarada aad ka ilaalinayso waa amar ku meel gaar ah oo u muuqday mid joogto ah, kuwaasna waxay soo baxaan si sax ah marka qof beddelo xeerarka firewall-ka ama adeeg u raro unit cusub.