Tunnel-ka VPN waligiis ma xirmaan: halka ay baakaduhu dhab ahaan joogsadaan

Macmiilka si joogto ah ayuu mar kale isku dayaa, log-ku wuu istaagaa ka hor inta aan gacan-qabsigu dhammaanin, server-kuna waxba ma diiwaangasho. Qaabkaas waxa uu ka fogaanayaa aqoonsiga oo u jeedaa wadada: wax u dhexeeya labada daraf ayaa diida in uu qaado borotokoolka tunnel-ku u baahan yahay. Go'aanso halka baakaduhu joogsadaan ka hor inta aadan taaban mid kasta oo ka mid ah labada qaabeyn, sababtoo ah borotokool la sifeeyay iyo furaha sirta ah ee khaldan waxay sameeyaan khalad isku mid ah macmiilada badankood. Imtixaanada waxaa lagu habeeyay kharashka, kan ugu jaban marka hore.

Caddee halka taraafikadu joogsato

Hal mar ku duub interface-ka bixitaanka macmiilka iyo server-ka labadaba. Isbarbardhig waxa baxay iyo waxa yimid, oo qor jihada ay farqigu ka muuqato.

Waxba server-ka oo aan jirin waxay ka dhigan tahay in wadada ama NAT-ka ugu horreeya taraafikada tuurayo, halka imaanshaha jawaab la'aan uu tilmaamayo dab-damis server-ka ku yaal ama waddo soo-noqod oo aan jirin. Router-ka inta badan tunnel-yada dhammeeya ayaan badanaa hayn log faa'iido leh, sidaas darteed duubista ayaa noqota diiwaanka. Qor dekedda loo socdo iyo lambarka borotokoolka, sababtoo ah labada cilladba isku si bay uga muuqdaan wada-hadalka macmiilka.

PPTP waxay dhintaa borotokool 47 la'aan

PPTP waxay xakamaynta ku qaaddaa TCP 1723 iyo xogtaheeda GRE gudihiisa, taas oo ah borotokoolka IP 47 ee aan ahayn lambar deked. U gudbinta kaliya 1723 waxay soo saartaa natiijada caadiga ah: xidhiidhku wuu xaqiijiyaa ka dibna wuu aamustaa, sababtoo ah ma jiro sharci borotokoolka qaada culayska. Macmiilku kama sooci karo furaha sirta ah ee la diiday, sidaas darteed duubistu waa in ay timaaddaa ka hor isbeddellada qaabeynta.

Passthrough waxay u socotaa jihada ka soo horjeeda gudbinta soo-galka, firmware-kuna wuxuu inta badan isticmaalaa hal calaamad labadaba, taas oo ku filan in ay qasdo qof walba. Macmiil Linux ah dab-damiska maxalliga ah wuxuu tuuri karaa GRE wax weyn ka hor inta aan router-ku ku lug lahaanin, sidaas darteed borotokoolka 47 wuxuu u baahan yahay sharci u gaar ah oo caawiyaha conntrack waa in la raro. ufw-ga Ubuntu wuxuu sharcigyadaas ku hayaa faylka before, sababtoo ah sharciyada allow caadiga ah ma sheegi karaan lambarka borotokoolka. Ka dib dib u rar dab-damiska halkii aad kombiyuutarka dib u bilaabi lahayd.

# /etc/ufw/before.rules, inside *filter
-A ufw-before-input -p gre -j ACCEPT
sudo ufw allow 1723/tcp
sudo modprobe nf_conntrack_pptp
sudo conntrack -L | grep gre

L2TP iyo IPsec laba NAT gadaashood

L2TP gudaha IPsec waxa uu u baahan yahay UDP 500 is-dhaafsiga furayaasha, UDP 4500 marka NAT la ogaado, iyo ESP sida borotokool 50. Mid kasta oo iyaga ka mid ah si madax-bannaan ayaa loo sifeeyaa, sidaas darteed sharci oggolaanaya mid waxba kama caddeeyo labada kale. Laba router oo isku xigta ayaa baakad kasta laba jeer turjuma, darafyaduna mar dambe kuma heshiin waxa laga wada hadlay.

Buundee modem-ka dibadda, ama dami NAT-ka router-ka gudaha, si ciwaanka guud uu u gaaro qalabka tunnel-ka dhammeeya. Halka aan labadaba suurtagal ahayn, tunnel-ka waa in laga bilaabaa gudaha xadka NAT-labalaabka, ee aan halkaas lagu dhammeeyn.

Shabakadaha shirkadaha isgaarsiinta iyo wadaagga ciwaannada

Ciwaanka WAN ee ku jira 10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16 ama 100.64.0.0/10 waxay ka dhigan tahay in router-ku aanu lahayn ciwaan guud oo aanu jirin gudbin soo-gal ah oo internet-ka ka imanaya oo gaari kara. NAT-ka heerka shirkadda isgaarsiinta ayaa sidoo kale sifeeya borotokoolka aanu filayn, GRE-na waa dhibbane caadi ah xidhiidhka mobilka. Isbarbardhig ciwaanka WAN ee router-ka laftiisa, ee aan ahayn ciwaanka ay bog raadin sheegto macmiil ka dambeeya.

Ku shaqaynta isla router-ka khad fiilo leh waxay kala soocdaa natiijada shirkadda isgaarsiinta iyo khaladka qaabeynta hal imtixaan. Halka shirkaddu diiddo borotokoolka, xulashooyinka hadhay waa gaadiid kale oo 443 ah ama tunnel laga bilaabay gudaha.

Akhri liiska dhegeystayaasha ka hor inta aadan xidhin dekedaha

Iskaneerka dekedaha ee walaac leh inta badan waa oo kaliya qaybta astaamaha ee yimaadda iyagoo shaqaynaya. Liis dhegeystayaasha, ku xidh socket kasta astaan, ka dibna dami astaanta halkii aad xannibi lahayd dekedda, si labada arag ay u kala fogaan.

ss -lntup
systemctl list-units --type=service --state=running | grep -i vpn
nc -vz 203.0.113.10 1723
nc -vzu 203.0.113.10 4500

SoftEther ee caadiga ah waa tusaale wanaagsan: TCP 443, 992 iyo 5555, iyo astaamaha L2TP/IPsec iyo DNS-tunnel waxay ku daraan sockets u gaar ah. Dami astaamahaas waxay meesha ka saaraysaa dhegeystayaasha halkii ay qarin lahayd, imtixaanka marti aan dibadda ahna wuxuu sheegaa in shirkaddu dejiso dekedda. Dhegeyste maxalli ah oo ka jawaaba waxa laga yaabaa in uu wali xiran yahay kor, sidaas darteed isbarbardhig ciwaanka WAN ee router-ka laftiisa iyo waxa adeeg dibadeed sheegto.