Laba albaab, hal VPN: sababta OpenVPN uu u doorto xiriirka sare ee qaldan

Laba xiriir oo sare, hal tunnel, iyo taraafikadu waxay ka baxdaa kan aadan dooran. Subnet-yada gaarka ah waa la gaadhi karaa, log-ku wuxuu soo sheegaa xiriir guuleystay, iyo xiriirka la cabbiray ayaa qaadaya. Waxba ku jira wax soo saarka OpenVPN ma sheegto albaab, sababtoo ah macmiilku waligiis ma dooran mid. Wuxuu ku furay socket cinwaan fog oo u daayay kernel-ka inuu go'aansado sida loo gaaro cinwaankaas.

Cinwaanka tunnel-ka ma aha barta ugu dambeysa

Seshan kasta waxaa ku jira laba waddo oo kala duwan. Waddada dibadda waxay qaadaa gaadiidka sirta ah ilaa cinwaanka dadweynaha ee server-ka. Waddada gudaha waxay qaadaa wax kasta oo server-ku ku riixo tunnel-ka, iyo sharciyada waddo ee mid ma saameeyaan tan kale.

Gelitaanka remote ee profile-ka wuxuu magacaabaa meesha dibadda, markaa waa cinwaanka la dhigayo. Waa sidoo kale qiimaha is beddela marka magaca host-ka si kale loo xalliyo ama profile-ku liis gareeyo dhowr remote.

Raadi cinwaanka uu macmiilku run ahaantii wacay

Akhri socket-ka nool halkii aad ka akhrin lahayd faylka habaynta. Jadwalka socket-ku wuxuu muujinayaa peer-ka uu habsocodku run ahaantii ku xirmay, taasna waa qiimaha ay tahay in ka-reebka la waafajiyo. Profile-ka waa la tafatiri karaa ka dib bilowga seshan, socket-kuna waa caddaynta kaliya ee waxa la wacay:

ss -tunp | grep -i openvpn
journalctl -u openvpn-client@work --no-pager | grep -i "Peer Connection Initiated"

Sadka log-ku wuxuu sheegaa cinwaanka iyo dekedda peer-ka wakhtiga xidhiidhka. Haddii uusan la waafajin profile-ka, wax macmiilka hortiisa ah ayaa dib u qoraya meesha ka hor inta xidhiidhku uusan bilaaban.

Sidoo kale hubi qoyska cinwaanka. Profile laba stack ah wuxuu ku xirmi karaa IPv6 halka ka-reebkaagu uu daboolayo kaliya IPv4, markaas taraafikadu waxay raacdaa sharci ka duwan kan aad qortay. Sidaas oo kale waxaa leh proxy ka jawaaba magaca barta ugu dambeysa. Labada xaaladoodba waxay soo saaraan tunnel shaqeeya halka rutaadu aanay waxba qaban.

Dhig barta ugu dambeysa oo akhri nidaamka siyaasadda

Ruta host-ku way ka gaar ah tahay ruta caadiga ah. Sidaas darteed /32 ee cinwaanka peer-ka ayaa ku guuleysta jadwalka ku jira. Qaabka caadiga ah wuxuu si cad u magacaabaa albaabka iyo qalabka:

ip route add 203.0.113.40/32 via 192.168.10.1 dev eth0

Rutaas waxay caawisaa kaliya haddii raadinta gaarto jadwalkaas. Sharciyada siyaasadda waxaa lagu qiimeeyaa nidaamka iyo iswaafajinta ugu horreysa ayaa go'aansata, sidaas darteed sharci dira wax walba jadwal labaad wuxuu dhaafaa rutaada host-ka ee main. Akhri sharciyada ka hor inta aadan u malayn in rutaadu tahay mid awood leh:

ip rule show
ip route get 203.0.113.40

Weydii amarka labaad isla cinwaanka isha ama calaamadda uu macmiilku isticmaalo marka siyaasaddu ku xiran tahay. Wuxuu soo sheegaa ruta uu kernel-ku dooran lahaa, taas oo caddayn ku saabsan raadinta oo aan ahayn caddayn in socket-ka nool uu isticmaalo waddadaas.

Marka barta ugu dambeysa dhaqaaqdo

Magac host oo u xallima dhowr cinwaan wuxuu burinayaa /32 joogto ah isla marka jawaabtu is beddesho. Profile leh dhowr sad oo remote ah ayaa isla dhibaatadaas qaba, sababtoo ah macmiilku wuxuu ku dhici karaa mid kasta oo ka mid ah. Cusboonaysii rutaada ka soo qaado qabashada wareegga nolosha ee macmiilka laftiisa halkii aad gacanta ku dari lahayd. Skript up oo akhriya peer-ka la gorgortamay oo rakiba rutaada host-ka ayaa ka-reebka la jaanqaadaya xaqiiqada, skript down oo u dhigmaana wuu ka tuuraa.

Diiwaangeli cusboonaysiinta isla meesha ay ku taal habaynta waddooyinka host-ka intiisa kale. Ruta ku jirta kaliya ilaa dib u bilaabista xigta waa tijaabo, ma aha hagaajin.

Siyaasadda gudaha ku hay gooni

Waddada dibadda oo la raro ma siinayso gelitaan subnet gaar ah oo cusub mana beddelo meelaha uu server-ku ku riixo tunnel-ka. Rutaada lakabka hoose waxay doorataa fiilada; rutaada la riixay waxay doorataa waxa galaya tunnel-ka. Labadan go'aan oo gooni ah ku haynta ayaa kala-qaybinta ka dhigta mid la saadaalin karo.

Haddii ujeeddadu tahay kaliya in gaadiidka sirta ah laga fogeeyo xiriir la cabbiray, ka tag rutaada caadiga ah oo ku dar ka-reebka kaliya ee host-ka. Beddelka rutaada caadiga ah ee mishiinka oo dhan si loo raro hal xiriir VPN wuxuu jebiyaa barnaamij kasta oo kale oo host-ka ku yaal.

Xaqiiji natiijada laba indho-indheyn oo madax banaan: cinwaanka maxalliga ah iyo qalabka socket-ka, iyo rutaada meesha gaarka ah loo xalliyo. Marka labaduba la jaanqaadaan ujeedkaaga, kala-qaybintu waa dhab. Buug-gacmeedka OpenVPN 2.6 wuxuu daboolaa xulashooyinka remote iyo xidhitaanka maxalliga ah ee go'aaminaya cinwaanka uu macmiilku waco.