Macaamil VPN oo ku jira server LAN: sababta jawaabuhu uga baxaan dariiqa khaldan

Calaamaduhu waxay raacaan hal qaab: martigeliyaha wuu shaqeeyaa, ka dib wuxuu ku xirmaa VPN isagoo macaamil ah, haddana macaamiisha LAN way gaaraan isagoo jawaabihiisu lumayaan. Duubista martigeliyaha waxay muujinaysaa in jawaabuhu ka baxaan qalabka tunnel-ka halkii ay ka baxaan interface-ka LAN. Waxba kuma xuma tunnel-ka, hagaajintuna waa dariiq, ma aha dib u xiriir. Samee afarta hubin ee hoose si kala hor ah oo joog marka ugu horreysa ee fashilma.

Jawaabtu waa baakad cusub, ma aha dariiqa dib u noqod

Waxay caawinaysaa in la waayo fikradda ah in jawaabtu ku noqoto dariiqa codsigu maray. Dariiqa waxaa lagu go'aamiyaa baakad kasta, jihada kasta, martigeliyaha diraya. Codsiga ka yimid 10.64.0.23 gudaha tunnel-ka ma abuuro dariiq soo-noqod; marka martigeliyahu jawaabo, jawaabtaas waxaa lala barbardhigaa shaxda sidii baakad cusub oo waxay u baxdaa dariiqa guuleysta.

Taasi waa sababta macaamilka tunnel buuxa ee mishiin sidoo kale u adeega LAN uu u abuuro fashil jahawareer leh. Macaamilku wuxuu rakibaa dariiq caadi ah, ama labada nus-dariiq ee caadiga ah ee macaamiisha qaarkood doorbidaan, jawaabta macaamilka LAN-na hadda waxay la mid tahay tunnel-ka. Waxay u tagtaa bixiyaha, oo aan sabab u lahayn inuu u gudbiyo, macaamilka LAN-na wuxuu arkaa waqti dhammaad ah in kasta oo martigeliyahu shaqeynayo oo gudaha ka jawaabayo. Duubistu waxay taas caddeysaa, shaxda dariiquna waxay sharraxdaa.

Maskaxda ku hay laba subnetwork inta aad akhrinayso inta kale. Mid waa barkada cinwaanka VPN ee macaamiisha fog ka yimaadaan, tusaalahan 10.64.0.0/24. Kan kalena waa LAN-ka waa inuu sii shaqeeyaa, 172.16.24.0/24 oo router-kiisu yahay 172.16.24.1. Khaladku waa in socodka u dhexeeya lagu go'aamiyo dariiqa caadiga ah.

Ku caddee duubista iyo raadinta

Ka hor intaadan wax beddelin, hubi qalabka jawaabtu isticmaali doonto. Raadintu way ka dhaqso badan tahay duubista waxayna ka jawaabtaa su'aasha kernel-ku ka jawaabi doono marka baakadka la dhisayo.

ip route get 10.64.0.23 from 172.16.24.10
tcpdump -ni any -c 6 icmp

Jawaabta u akhri laba qaybood. Haddii ay sheegto dev tun0, martigeliyahu wuu duubi doonaa jawaabta oo u gudbin doonaa bixiyaha, macaamilka LAN-na weligiis ma arki doono. Haddii ay sheegto dev eth0 laakiin macaamilku wali waqti dhammaad helo, dariiqii horeba waa sax oo baakadka dambe ayaa la tuurayaa, taas oo ah dhibaato kale oo hagaajin kale leh.

Duubista isla tallaabo waxay go'aamisaa shakiga ping aan xallin karin. Jawaab dhawaaq ah oo gaadha macaamilka LAN waxay caddeynaysaa in dariiq uun shaqeynayo, ma aha interface-ka qaaday, sidaas darteed duubista ku samee martigeliyaha laftiisa oo fiiri halka firamyadu ka baxaan. Daabacaha isla subnetwork-ka wali wuu jawaabaa, maxaa yeelay dariiqiisa tooska ah wuu ka gaar ah yahay dariiqa caadiga ah ee tunnel-ka. Deked la gudbiyay way fashilantaa sida qulqul kasta oo kale, maxaa yeelay interface-ka shaxda ayaa doorata, xiriirka ma doorato.

Rakib dariiqa ugu cidhiidhiga ah ee tunnel-ka ka sarreeya

Dhererka prefix-ka ayaa go'aamiya, ma aha metric, sidaas darteed dariiqa barkada macaamiisha ee router-ka LAN wuxuu ka guuleystaa dariiq kasta oo caadi ah oo macaamilka VPN rakibay. Qalliinka metric looma baahna, dariiqa caadiguna wuu sii ahaan karaa meesha uu macaamilku dhigay.

ip route replace 10.64.0.0/24 via 172.16.24.1 dev eth0
ip route get 10.64.0.23 from 172.16.24.10

Isticmaal replace halkii add, maxaa yeelay macaamilka dib u xirma wuxuu hore u rakibay diiwaankiisa, add labaadna wuu fashilmaa khalad dariiq hore u jira oo loo akhriyo dhibaato fasax. Martigeliyaha Windows-ka wax u dhigma waa route add 10.64.0.0 mask 255.255.255.0 172.16.24.1 -p, halkaas oo -p diiwaanka ku hayo dib u bilowga, maxaa yeelay macaamilku wuu dib u dhisi karaa shaxda marka tunnel-ku dib u soo baxo. Martigeliyaha Windows-ka casriga ah wax u dhigma la taageeray waa New-NetRoute -DestinationPrefix 10.64.0.0/24 -NextHop 172.16.24.1 -InterfaceAlias Ethernet -PolicyStore PersistentStore, amarkii hore ee route oo waa lagu hayaa qaab hore.

Hal faahfaahin ayaa go'aamisa in tani sax tahay ama kaliya la aammin karo: boodhka xiga waa inuu noqdaa router-ka dhab ahaan leh dariiqa dib ugu noqodka macaamiisha. Dariiqa u jeedinta cinwaan laftiisa tunnel-ka laga gaaro waxay abuurtaa wareeg u muuqda lumis goos-goos ah halkii fashil nadiif ah. Ka hor intaadan xariiqda xaqiijin, hubi in boodhka xigu ku jiro subnetwork-ka LAN.

Hay jawaabta kadib dib u xiriir

Dariiq gacan lagu daray wuxuu sii noolaanayaa ugu fiican ilaa dib u xiriirka xiga. Haddii barkada macaamiishu tahay mid firfircoon, ku dheji qaabeynta server-ka si prefix-ka aad dariiqday uu ahaado prefix-ka macaamiishu helaan; haddii kale diiwaanku wuxuu tilmaamayaa xad madhan oo calaamaddu waxay soo noqotaa toddobaadyo kadib iyada oo aan sabab cad lahayn. Dariiqa ku qorista skript-ka up ee macaamilka laftiisa waa ikhtiyaarka kale ee lagu kalsoonaan karo, maxaa yeelay wuxuu socdaa kadib marka macaamilku dib u qoro shaxda.

Firewall xaalad leh wali wuu ka adkaan karaa dariiq sax ah. Haddii duubistu hadda muujiso in jawaabtu ka baxdo eth0 oo macaamilku wali waqti dhammaad helo, hubi in martigeliyahu baakadka tuurayo ka hor inta aan la dirin. Shaandhaynta adag ee dariiqa rogan iyo net.ipv4.conf.all.rp_filter oo loo dhigay 1 waxay tuurayaan baakadaha ay isha ka soo baxday interface-ka ay ka soo galeen aan dib loo dariiqin, taas oo si sax ah u tahay kiiska asymmetrical-ka aad hadda abuurtay kadibna hagaajisay, xaaladda conntrack-na sheeko isku mid ah ayay u sheegtaa dekedaha la gudbiyay.

Hubinta ugu dambaysa waa tan dadku dhaafaan: ku celi raadinta kadib marka tunnel-ku hoos u dhaco oo dib u kaco. Afar qiime waa inay la mid noqdaan waxa aad qortay: meesha loo socdo, boodhka xiga, qalabka iyo isha la doortay. Haddii midkood dhaqaaqay, macaamilku wuxuu dib u qoray shaxda hagaajintuna waxay ku jirtaa qabsatooyinkiisa, ma aha taariikhda shell.