Boodka xiga ee dariiqa VPN: sababta albaabku ugu qasban yahay inuu gudaha laga gaari karo

Dariiqa galaya shabakadda VPN wuxuu qaadaa laba cinwaan oo si fudud loo khaldami karo: horgalaha meesha loo socdo ee xirmadu isku dayayso inuu gaaro iyo boodka xiga ee hal tallaabo u dhowayn doona. Martigeliyaha LAN, boodkaas xiga waa inuu noqdaa marin uun aad runtii kaga gaari karto isla xiriirkaas. Cinwaanka VPN ee fog maaha bood xiga, si kasta oo uu si nadiif ah ula jaanqaado meesha aad maskaxda ku haysato.

Buuggani wuxuu daboolaa kiiska caadiga ah: kombuyuutar la qaato oo ku yaal 192.168.20.0/24, albaab VPN oo cinwaankiisu yahay 192.168.20.5, iyo shabakad fog 10.70.0.0/24 oo ka dambeysa albaabkaas. Dhammaan amarrada hoose waxay u malaynayaan inaad joogto kombuyuutarka la qaato haddii aan si kale loo sheegin.

Laba cinwaan, hal dariiq

Gelitaanka loogu talagalay waa 10.70.0.0/24 via 192.168.20.5. Horgalahu wuxuu sheegaa halka xirmadu u socoto; cinwaanka via wuxuu sheegaa cidda halkaas u qaadaysa. Karnaalku wuu diidayaa inuu rakibo dariiq uusan albaabkiisa kaga gaari karin is-dhexgalka aad sheegtay, diidmadaasna waa qodobka oo dhan: bood xiga oo u baahan tunnel si uu gaari karo ma noqon karo boodka xiga ee dhisaya tunnelka.

Sidaas darteed hubinta koowaad maaha «albaabku ma shaqeynayaa» balse waa «albaabku ma ku yaal xiriirkan». Isku-darka kombuyuutarka la qaato, gelitaankiisa ARP ama deriskiisa, iyo is-dhexgalka dariiqa waa inay dhammaantood is waafaqaan. Cinwaan ku jira oo keliya gudaha 10.70.0.0/24 wuxuu noqon karaa meesha dariiqa labaad, laakiin weligiis ma noqon karo via kan koowaad.

Waxa boodka xigu albaabka ku qasbo

Rakibidda dariiqa kombuyuutarka la qaato waxay go'aaminaysaa oo keliya wareejinta koowaad. Ka dib albaabku wuxuu u baahan yahay waddadiisa: gudbinta oo shaqeynaysa, dariiq tunnel ah oo loogu talagalay 10.70.0.0/24, iyo siyaasad kasta oo gelitaan oo go'aamisa cidda isticmaali karta. Linux waxay tahay net.ipv4.ip_forward=1 iyo dariiq tunnel; dab-demiska hortiisa wuxuu u baahan yahay sharci oggolaanaya qulqulka la gudbiyay.

Jihada soo noqodka waa qaybta dadku illoobaan. Dhinaca fog waa inuu lahaadaa dariiq ku soo noqda 192.168.20.0/24, ama nashqaddu waa inay u tarjunto isha kombuyuutarka la qaato wax dhinaca fog yaqaan. Ping ka shaqeeya albaabka wuxuu caddeeyaa in albaabku gaari karo shabakadda fog; waxna kama sheegayo in xirmooyinka kombuyuutarka la qaato ka badbaadaan safarka soo noqodka.

Hubi raadinta martigeliyaha dira

Weydii karnaalka boodka xiga uu dooran lahaa, oo akhri is-dhexgalka jawaabta ku jira:

ip route get 10.70.0.10
ip route show 10.70.0.0/24
ip neigh show 192.168.20.5

Haddii raadintu sheegto albaabka iyo is-dhexgalka LAN, qaybta koowaad si loogu talagalay ayaa loo habeeyay. Haddii ay sheegto qalabka tunnelka, wax hore ugu jira shaxda ayaa ka gaar ah oo guuleysanaya. Haddii dariiquu aanu haba yaraatee rakibmin, karnaalku wuxuu kuu sheegayaa in albaabka aan la gaari karin, fariintaasna way ka faa'iido badan tahay qabashada xirmo kasta.

Ka dib ku celi tijaabada meesha saxda ah. Codsi lagu abuuray albaabka wuxuu isticmaalaa cinwaanka isha albaabka laftiisa, taasoo qarin karta dariiq soo noqod oo maqan ama siyaasad oggolaanaysa ilo gaar ah oo keliya. Buugga ip-route wuxuu kala soocaa meesha, albaabka iyo ka-gudubka onlink, ka-gudubkana waa mudan in la fahmo ka hor inta aanad isticmaalin.

Ha isticmaalin onlink si aad u khiyaanayso gaaritaanka

onlink wuxuu karnaalka ku yidhi inuu dhaafo hubinta gaaritaanka albaabka oo uu si kasta u diro. Ma abuuro waddo, ma xalliyo ARP cinwaan aan jirin, mana ku qasbo marin fog inuu ka jawaabo qaybtaada Ethernet. Waa sharci albaabada jawaaba laakiin aan fadhiyin isku-darka xiran, waana dabin marka loo isticmaalo aamusinta khalad aadan sharraxin.

Haddii dariiquu ku rakibmo oo keliya onlink, su'aasha xigta waa sababta albaabku uusan ku jirin meesha aad u malaynayso. VLAN khaldan, cinwaan labaad oo ku yaal is-dhexgalka khaldan, ama khalad teebayn ah oo ku yaal oktetka ugu dambeeya ayaa dhammaantood tan soo saara, mid kastaana wuxuu sidoo kale jebiyaa wadada soo noqodka marka taraafikadu bilaabato qulqulka.

Tunnelada dhibic-ilaa-dhibic maaha Ethernet

Qalabka tunnelku ma sameeyo ARP oo inta badan ma laha isku-dar macne leh oo derisyo ah. Dariiqyadiisa inta badan waxay u eg yihiin 10.70.0.0/24 dev tun0, iyada oo aan lahayn via, sababtoo ah lammaanuhu waa dhibicda kale ee keliya. Koobiga via qaabka LAN ee shaxdaas wuxuu soo saaraa dariiq karnaalku diidi karo ama, ka sii xun, mid tilmaamaya cinwaan uusan lammaanuhu weligiis ka jawaabin.

Buugga ku kala hay labada qaab: dariiqa LAN wuxuu leeyahay albaab la gaari karo, dariiqa tunnelku wuxuu leeyahay is-dhexgal iyo lammaane. WireGuard, OpenVPN iyo IPsec dhammaantood waxay muujiyaan qaabab kala duwan, sidaas darteed qor qaabka aad runtii isticmaashay halkii aad ka guudayn lahayd hal martigeliye.

Ku dar, xaqiiji, dib u celi

Isbeddelka oo dhan waa saddex amar iyo hal hubin, waana in lagu qoraa isla nidaamkaas:

sudo ip route add 10.70.0.0/24 via 192.168.20.5
ip route get 10.70.0.10
ping -c 3 10.70.0.10
sudo ip route del 10.70.0.0/24 via 192.168.20.5

Xaqiiji wadada, xaqiiji hal meel, ka dibna hay diyaar safka tirtirka haddii isbeddelku martigeliyaha ka dhigo mid aan la gaari karin si aadan saadaalin. Haddii dariiquu tahay inuu ka badbaado dib u bilaabid, ku dhig habaynta shabakadda martigeliyaha ee aan ahayn borofaylka shell, oo tijaabi dib u bilaabista ka hor inta aanad ku tiirsanaan. Dariiq ku jira oo keliya shellka ku daray waa dariiq aad laba jeer kaxayn doonto.