Laba tunnel OpenVPN oo ku yaal hal Linux host: yaa leh wadada?

Laba profile ayaa isku xiran, midkoodna si aamusan ayuu u qaadayaa taraafikada loogu talagalay kan kale. Linux host wuxuu si wada jir ah u kaxayn karaa labada OpenVPN client iyada oo aan dhib lahayn. Waxa aanu samayn karin waa inuu adiga kaa go'aansado process-kaas oo sheegan kara prefix-kaas. Go'aankaas waa in la gaaro ka hor inta aan tunnel-ka labaad soo bixin, ma aha ka dib marka kheyraadku jawaabta joojiyo.

Ka bilow shaqada ay tahay in xiriirka labaad qabto

Xafiis lagu gaari karo hal profile iyo shaybaadh lagu gaari karo mid kale waxay u baahan yihiin labada tunnel inay soo baxaan oo aan midkoodna wax walba sheegan. Hal application madax-adag oo ay tahay inuu ka baxo profile-ka labaad wuxuu u baahan yahay qaanuun siyaasad ah halkii uu ka ahaan lahaa wado default labaad. Xiriirka kaydka ah wuxuu u baahan yahay kaliya hal tunnel oo shaqaynaya mar kasta, sidaas darteed kaydka waa in aanu mishiinka la bilaaban.

Kuwani waa saddex qaabab oo kala duwan, waana la qaldamaa sababtoo ah saddexdaaba waxay ku bilaabmaan isku si: profile labaad iyo xiriir guulaystay. Marka hore qor habaynta la damacsan, ka dibna u qaabee dhinacaas. Hal jumlad oo ku saabsan ujeeddada waxay badbaadisaa saacad qabashada baakadaha.

systemctl list-units --type=service 'openvpn-client@*'
ip -4 route show default

Amarka koowaad wuxuu liisgarayaa instances-ka socda, oo ay ku jiraan kuwa gacanta lagu bilaabay dibadda maareeyaha. Kan labaad wuxuu daabacaa sheegashada default ee hadda, taas oo ah xaaladda aad mar dambe sharraxdo.

Pools is dulsaaran ayaa jabaa ka hor routing-ka

Laba server ayaa si farxad leh u qoondeyn doona cinwaanno isla 10.8.0.0/24. Client-ka markaas wuxuu hayaa laba interface oo ku jira hal prefix iyada oo aan waxba sheegin goobta ay kala leedahay, habdhaqanka ka dhashaana wuxuu u eg yahay cilad routing laakiin run ahaantii waa cilad nambarayn. Dib-u-nambaraynta pool waxay ku kacdaa hal tafatir qaabayn; dib-u-habayn kasta oo routing ah oo dambe waxay ku kacdaa usbuuc-dhammaad. Hubi pool ka hor inta aadan ku darin wado.

Sidoo kale eeg LAN-ka maxalliga ah. LAN guri oo lambar 192.168.1.0/24 oo hal tunnel sidoo kale soo bandhigo waxay soo saartaa isla mugdi, calaamadduna waa magac host oo la xalliyo iyada oo xiriirku waligiis dhammaan. Taasi waxay u eg tahay cilad xallinta magacyada ilaa aad daabacdo wadooyinka.

ip -4 addr show
ip route show table all | grep -E '10\.|192\.168\.'

Isbarbar dhig labada natiijo iyo labada qaabayn server ka hor inta aadan taaban client-ka. Haddii prefixes-ku is dulsaaran yihiin, istaag oo dib u nambar, sababtoo ah inta jeer ee dib loo bilaabo ma kala saarto.

Sii profile kasta unit-kiisa iyo prefix kasta milkiile

Profile kastaa wuxuu helaa magac instance u gaar ah iyo fayl qaabayn u gaar ah, sidaas darteed instance-ka la yiraahdo office wuxuu rarayaa office.conf halka kan la yiraahdo lab uu rarayo lab.conf. Xaqiiji mapping-kaas iyada oo loo marayo maareeyaha adeegga halkii aad ka aamini lahayd liiska gal-dir, sababtoo ah drop-in wuxuu beddeli karaa faylka la rarayo. Mapping khalad ah waxay ka dhigan tahay inaad hagaajinayso profile-ka aan shaqaynayn.

Ka dib go'aami yaa rakibaya wadooyinka. Marka server-yadu riixaan xirmooyin aan iswaafaqsanayn, ama diid riixidda oo adigu liis garo prefixes-ka, ama u ogolow hal profile inuu hayo default-ka oo kan kalena ku hag qaanuunno siyaasad. Laba process oo labaduba default rakibaya waxay ku dhammaadaan guuleyste aamusan iyo diiwaan qoran oo go'aanka ah oo maqan.

systemctl cat [email protected]
grep -E 'route-nopull|pull-filter|redirect-gateway' /etc/openvpn/client/lab.conf

Kan koowaad wuxuu muujinayaa unit-ka iyo wax ka beddel kasta oo beddela doodihiisa. Kan labaad wuxuu muujinayaa haddii profile-ku gebi ahaanba aqbali karo wadooyinka la riixay, taas oo ah furaha go'aaminaya wax kasta oo dambe.

Calaamadaha waxay jawaabaha ku hayaan interface-ka ay ka yimaadeen

Marka tunnel kastaa u adeego ilo kala duwan, jawaabtu waxay ku bixi kartaa xiriirka qaldan oo xiriirku wuxuu dhintaa baakadda koowaad ka dib. Qaabka adkaysanaya waa in baakadaha soo gala lagu calaamadiyo interface-ka gelidda, calaamaddaas lagu soo celiyo jawaabta, oo calaamad kastaa la siiyo shaxdi leh gateway default u gaar ah.

Shaandhaynta wadada gadaal ee dabacsan badanaa waa in la dabacsado interface-yada saameysan, sababtoo ah jawaabtu si sharci ah ayay uga timaaddaa xiriir aan shaxda weyn waligeed dooran lahayn. Calaamadaha ku hay cidhiidhi si aysan waligood u qaban taraafikada sir ah ee tunnel-yada laftooda, taas oo tunnel-ka ka sii diri lahayd dhexdiisa.

ip rule show
ip route show table 101
sysctl net.ipv4.conf.all.rp_filter

Akhri qaanuunnada jira ka hor inta aadan ku darin mid kale. Mudnaanta labanlaabka ah iyo shaxda la illoobay ayaa ah sababta caadiga ah ee siyaasadda calaamaddu ugu muuqato mid aan wax saameyn ah lahayn.

Caddee go'doonka adigoo joojinaya hal xiriir

Labada tunnel soo baxaan, diiwaangeli cinwaanka interface kasta, wadada loo maro hal host oo ka dambeeya tunnel kasta, iyo wadada ay qaadato goob aan xiriir lahayn. Weydii kernel-ka raadinta halkii aad ka akhrin lahayd hal shax, sababtoo ah hal shax waligeed ma muujiso go'aanka ugu dambeeya.

Ka dib jooji hal instance oo daawo interface-keeda iyo wadooyinkeeda oo luntaya halka kan kalena sii socdo. Joojin ku dhacda kan badbaaday waxay ka dhigan tahay in labaduba wali wadaagaan magac qalab, wado ama qaanuun firewall oo aan cidna kala saarin.

Soo celi profile-kii la joojiyay oo ku celi isla hubintaas. Marka tunnel uu ka badbaado kaliya bilowga koowaad ka dib dib-u-bilaab, waxaad eegaysaa cilad meertada nolosha ma aha naqshad routing.