Waddada VPN ama xeerka dab-demiska: kee ayaa tuuraya baakadda?

Laba go'aan oo madax-bannaan ayaa ku dhaca isla baakadda, mid kastaana waxa uu si aamusan u joojin karaa codsiga. Raadinta waddadu waxay doorataa interface iyo tallaabada xigta, ka dibna filter-ka baakaddu waxa uu go'aamiyaa in isku-dhafkaas la ogolaaday. Waqti-ka-wareeggu waxa uu kuu sheegaa in mid ka mid ah labada uu diiday, ma aha kee. Tallaabooyinka si taxane ah u mar, oo dayactirku badanaa wuu joogsadaa inuu qiyaas ahaado.

Laba go'aan, hal baakad, laba mulkiile

Raadinta waddadu waxay marka hore la tashataa xeerarka siyaasadda, ka dibna shaxda ay tilmaamayaan, oo waxay doorataa prefix-ka ugu gaar ah ee u dhigma halka loo socdo. Macmiil rakibay waddada tunnel-ka ayaa iska leh go'aankaas, oo waxba xeerka dab-demiska kuma beddeli karo. Marka raadintu tilmaanto meel lama filaan ah, tallaabo kasta oo xigta waxay ka shaqaysaa baakad khaldan.

Shaandhayntu waa gooni. Ku host Linux, qabatooyinka netfilter waxay u qaybiyaan taraafikada iyadoo eegaysa cidda baakaddu u tahay: wax-soo-saarku waxa uu ka baxaa mishiinka, wax-soo-galku waxa uu ku dhammaadaa isaga, gudbintu way dhex martaa. Gateway qaata macaamiisha VPN oo u jiheeya LAN waxa uu u baahan yahay waddada gudbinta, oo taasi waa saxanka ay inta badan isku-dubaridka caadiga ah madhan ka tagaan.

Doorashada isha waxay ka tirsan tahay isla go'aankaas, oo halkaas ayaa inta badan is-khilaafyadu ku dhuuntaan. Kernel-ku waxa uu cinwaan isha ka doorataa interface-ka baxa haddii aanu waddadu mid sheegin, sidaas darteed xeerka filter-ka ee loo qoray subnetwork-ka LAN marnaba lama kulmo baakad ka baxa cinwaanka tunnel-ka.

Akhri waxa raadintu dhab ahaan dooratay

Daabac go'aanka halkii aad ka qiyaasi lahayd. Amarka hoose waxa uu xalliyaa waddada kernel-ku u isticmaali lahaa halkaas, oo ay ku jiraan interface-ka iyo isha uu dooran lahaa:

ip route get 10.8.0.5
ip route get 10.8.0.5 from 192.0.2.44
ip rule show
ip route show table all | sed -n '1,40p'

Macaamiisha VPN waxay inta badan rakibaan xeerarka siyaasadda mudnaan ka hooseeya shaxda ugu weyn, sidaas darteed shax weyn oo nadiif ah keligeed waxba ma caddeyso. Isbarbar dhig mudnaanta xeerarka iyo shaxaha ay dooranayaan, oo hubi in waddada tunnel-ku ay sii socoto ka dib dib-u-xidhka halkii gacanta hal mar lagu dari lahaa.

IPsec ku salaysan siyaasaddu waxay ku dartaa heer saddexaad oo isbarbardhig ah oo aanu waddo-marinku daboolin, sida qoraallada gudbinta strongSwan u sharraxaan isku-dubaridka tunnel-ka iyo gaadiidka. Siyaasadda ammaanku waxay taraafikada u doorataa prefix iyo borotokool, halka waddadu ay go'aamiso oo keliya halka baakad aan la ilaalin ay u socon lahayd. Subnetwork la maro laakiin aan lahayn dooro-mid u dhigma ama waxa uu ahaanayaa mid aan la ilaalin ama waa la tuurayaa, iyadoo ku xidhan isku-dubaridka, oo mid ka mid ah natiijooyinka uma eka dhibaato dab-demiseed. Daabac siyaasadda oo isbarbar dhig dooro-mideeda prefix-yada aad filaysay in tunnel-ku qaado.

Shaandhayntu waxay khuseysaa qabato, ma aha waddo

Xeerka oggolaada dhageystaha VPN waa xeer ku saabsan taraafikada loo jeediyay gateway-ka laftiisa. Waxba kama sheegto macaamiisha gaadha host-yada ka dambeeya gateway-kaas, sababtoo ah taraafikada la gudbiyay waxay maraa silsilad kale. Akhrinta xeerarka oo dhan sidii hal liis oo fidsan waa sababta caadiga ah ee xeerka si sax ah u eg uusan marnaba kicin.

Tiriyayaashu si degdeg ah bay su'aasha u xalliyaan. Xeerka tirinta baakaddu eber tahay lama gaadhin, taas oo tilmaamaysa silsilad khaldan, interface khaldan ama tuurid hore. Xeerka tirintiisu kordhayso oo ku hoos jira siyaasad tuurid waa xadka aad raadinaysay, baakaddana waa la tuurayaa halkii si khaldan loo wadi lahaa.

U dir baadhitaan marinka macmiilku isticmaalo

Tijaabooyinka lagu sameeyo gateway-ka laftiisa waxay maraan wax-soo-saarka iyo wax-soo-galka, iyagoo wata cinwaanka isha gateway-ka laftiisa. Taasi waa waddo ka duwan codsiga la gudbiyay ee macmiil, sidaas darteed curl maxalli ah oo guulaysta waxa uu caddeeyaa wax ka yar inta la arkaayo. Ka tijaabi mishiinka guuldarraysta, ama si cad u dheji interface-ka iyo isha.

nc -vz -w 3 10.8.0.5 443
ping -c 3 -W 1 10.8.0.5
tcpdump -ni any host 10.8.0.5 and port 443
iptables -vnL FORWARD --line-numbers
nft list ruleset | sed -n '1,60p'

Qabashada labada daraf waxay kala soocdaa kiisaska hadhay. SYN ka baxa macmiilka oo aan marnaba iman waxa uu ka dhigan yahay waddo-marin, sireed ama liis gelitaan sare. SYN yimaada oo aan jawaab helin waxa uu ka dhigan yahay adeegga ama filter-ka host-kiisa, tunnel-kuna marnaba ma ahayn dhibaatada.

Taraafikada soo noqota waxa uu mudan yahay eegid u gaar ah. Waddo-marin aan is-leh iyo shaandhaynta waddada rogan waxay tuuraan jawaabaha soo gaadha interface khaldan, taas oo u muuqata xidhiidh hal-jiho ah halkii deked xiran. Hubi qiimaha sysctl ka hor inta aanad dab-demiska ku eedayn calaamad uusan sababin.

Diiwaangelintu waxay u shaqaysaa ra'yi labaad, ma aha tallaabo koowaad. Bayaanka diiwaanka ku meel gaadhka ah ee silsiladda gudbinta waxa uu sheegaa interface-ka iyo cinwaannada ku dhacay, oo mar dambe waa sahlan tahay in la tirtiro. Haddii aad si joogto ah uga tagto, waxaad dhistay dhibaato cabbirka diiwaanka halkii jawaab.

Meel kasta oo isbeddel ku samee meesha uu ka sii socon doono dib-u-xidhka

Waddo lagu daray ip route add waxay noolaataa ilaa interface-ku hoos yimaado. Ku kaydi profile-ka xidhiidhka: NetworkManager waxa uu aqbalaa waddooyin dheeraad ah xidhiidhka, netplan-na way hayaan inta u dhaxaysa kicinta. Isla xeerkaas waxa uu khuseeyaa ka-reebsanaanta dab-demiska ee dhinaca macmiilka, oo luma ka dib dib-u-khaynta xigta.

Xeerarka dhinaca server-ka waxay ka tirsan yihiin faylka isku-dubaridka ee adeeggu soo rarto marka la bilaabayo, ma aha fadhi is-dhexgal ah oo dhammaada marka aad xirto. Qor xeerka, dib u rart, oo xaqiiji in tiriyaha dhaqaaqay, sababtoo ah dib-u-khayn diiday naxwaha ayaa si aamusan uga tagta xeerarkii hore meeshii.

Ka dib ku celi codsigii asalka ahaa ee abka laga bilaabo ilaa dhammaad oo qor lakabkee isbeddelay. Hagaajinta waddo u baahnayd isbeddel filter sidoo kale way dhici doontaa, oo guuldarrada labaad ayaa aad u fudud in la akhriyo marka aad ogaato in tii hore ay tagtay. Qor taariikhda iyo nooca macmiilka natiijada agteeda, sababtoo ah caadooyinka waddo-marinta iyo shaandhaynta labaduba way dhaqaaqaan inta u dhaxaysa noocyada. Hayso qoraalkaas tikitka si qofka xiga uu ka bilaabo meeshii aad joogsatay halkii uu ku celin lahaa safarka labada tallaabo.