Yaa run ahaantii ka jawaabaya ciwaanka gaarka ah ee VPN?

Cinwaan si aan la isticmaalin u jiifa qoondaynta ururka ma aha dhegeysi, oo ku darista firewall ma abuurto mid. Wax waa in ay IKE ku dhammeeyaan cinwaankaas, habkaana wuu ku kala duwan yahay haddii gateway uu iska leeyahay cinwaanka ama qalabka sare uu turjumo. Jidka baakaddu waa waxa labada kala sooca, oo wuxuu go'aamiyaa nooca muuqaalka platform aad u baahan tahay ka hor inta qof uusan furin codsi isbeddel. Marka hore qaabee jidka, ka dib dooro.

Jidka baakadda ee ka dambeeya cinwaanka

Lammaane waxa uu IKE u diraa cinwaanka la siiyay, UDP 500 ama UDP 4500 marka gudbinta NAT ay ku jirto. Qalab kasta oo cinwaankaas haysta jidka waxa uu datagram-ka ku qaataa gudaha oo ka jawaabaa, ama meel kale u gudbiyaa. Kuwani waa labada suurtagalnimood ee keliya, oo wax kasta oo kale oo maqaalkan ku jira waxa ay ka yimaadaan midkee run.

Qaadashada gudaha macnaheedu waa in socket ku yaal qalabkaas, oo ku xiran cinwaankaas. Gudbintu macnaheedu waa in datagram-ka dib loo qoro oo loo diro meel kale oo ugu dambaysa, oo markaas haysta socket-ka. Xeerka firewall ee oggolaanaya UDP 500 waxba kama sheegayo midkee labada dhacaya.

Qor diiwaanka ka hor inta aadan wax taaban: cinwaanka lammaanayaashu la xidhiidhaan, sida shabakadda sare u keento, interface-ka gudaha ama barta loo dhammeeyo ee qaadata, iyo hawsha ka jawaabta IKE. Afar sadar, oo mid kasta waa la hubin karaa. Marka mid ka mid ah uu aan la garanayn, aqoonsigaas la'aantu waa shaqada naqshadeynta ee ma aha faahfaahin hirgelin oo goor dambe la go'aaminayo. Buuxintooda ka dib ansixinta codsiga isbeddelka waa sida xeerka turjumaad uu ku darsamo qalabka qaladka ah.

Qaab A: gateway ayaa leh cinwaanka

Qaabka koowaad gateway ayaa iska leh cinwaanka, ama cinwaan labaad oo ku yaal interface jira, ama cinwaan ku yaal interface gaar ah, ama loopback oo platform-ku taageerto barta ugu dambaysa ee tunnel. Kuwani waa saddex sifo oo kala duwan oo leh saddex waddo oo habaynta kala duwan, oo platform taageerta mid waxa laga yaabaa in aanay taageerin kuwa kale.

Ka hor inta aadan ka naqshadeyn, xaqiiji in platform-ka iyo siidayntu taageerto isla habaysan tan. Block la maro, cinwaan dheeraad ah oo ku yaal interface, iyo barta loopback lama beddeli karo, oo dukumeentiga hal siidayn ma ballan qaado in tan xigta ay isla sidaas u dhaqanto.

ip -br addr show
ss -lunp | grep -E ':500|:4500'
sudo tcpdump -ni eth0 'udp port 500 or udp port 4500'

Socket-ka dhegeysanaya waa caddaynta. Haddii wax aan ku xirnayn cinwaanka, gateway ma aha dhamaynaha waxa ay sheegto shaxda marinka, oo qabashada baakaddu waxa ay tusi doontaa datagram-yada imanaya iyada oo aan wax ka jawaabin.

Ha gelin interface labaad subnet hore ugu jira meel kale oo topology-ga ah, hana u malayn in platform-ku xallin doono. Subnet-yada interface-ka is-dulsaaran waxa ay dhaliyaan xulasho isha mugdi ah, iyo platformo badan dartood diidmo buuxda oo habayn.

Qaab B: qalabka sare ayaa turjuma

Qaabka labaad firewall sare ayaa haysta cinwaanka gaarka ah oo u gudbiya socodka gateway VPN kale. Taasi waa turjumaad goobta oo leh jid soo noqod, oo waa naqshad si buuxda u ansax ah inta loo diiwaangeliyo sidaas.

Waxa aanay ahayn, waa caddayn in qalabka sare uu helay socket VPN gudaha. Turjumaaddu waxa ay gudbisaa baakadaha; waxa aanay ka dhigin sanduuqa sare mid ka jawaaba IKE. Haddii xeerka sare la tiritro ama jidkiisa soo noqodku jabto, VPN-ku wuu istaagaa inkasta oo gateway uu caafimaad qabo oo dhegeystayaashiisa gaarka ah aanay dhaawacmin.

Diiwaangeli labada cinwaan: kan lammaanayaashu la xidhiidhaan iyo kan gateway run ahaantii arko. Ka dib diiwaangeli gaadiidka iyo jidka soo noqodka, sababtoo ah turjumaad u shaqaysa UDP 500 laakiin aan u shaqayn ESP la duubay waxa ay isku xidhi doontaa kadibna ku guuldarraysan doontaa qaadista socodka, taas oo ah cilad mugdi ah oo goor dambe la baaro.

Aqoonsigu ma aha cinwaanka dibadda

IPsec waxa uu kala soocaa barta ugu dambaysa ee tunnel-ka iyo socodka uu ilaalinayo, oo naqshadda waxa ay go'aamadaas ku hayaan meelo kala duwan. Beddelidda cinwaanka lammaanayaashu la xidhiidhaan si otomaatig ah uma beddelo meesha prefix-yada gudaha ee la oggol yahay, meesha marinnada la rakibay, ama meesha khayraadka ay fadhiistu gaari karto.

Aqoonsiga la xaqiijiyay mar kale waa gooni. IKEv2 waxa uu qaadaa xamuul aqoonsi iyo iswaydaarsi xaqiijin oo aan u baahnayn in ay la jaanqaadaan cinwaanka baakadda dibadda, taasuna waa sababta naqshad la turjumay ay weli si sax ah u xaqiijin karto.

Madaxbannaanidaas waa faa'iido leh isla markaana waa dabin. Laba magac DNS oo u go'aada hal dhegeysi caadi ah ma dooraan backend-yo VPN kala duwan, oo shahaado magacaabaysa hal aqoonsi ma qancin doonto lammaane filaya mid kale. Xaqiiji waxa lammaanuhu hubiyo ka hor inta aadan u malayn in cinwaanku keligiis go'aaminayo.

Aqbal naqshadda adigoo ilaalinaya hal xidhiidh

Baar meesha xidhiidh cusub oo la oggolaaday run ahaantii laga gaarsiiyo, aqoonsiga ka jawaaba, iyo qulqulka gaarka ah ee markaas la oggolaaday. Saddex ilaalin, saddex lakab oo kala duwan, oo raadinta dadweyne ee guulaysata ee cinwaanku midkoodna ma tijaabiso.

Hayso sidoo kale kiiska taban: lammaane aan la aqbali karin, ama prefix gudaha oo aan la gaari karin, oo la xaqiijiyay isbeddelka ka dib. Diiwaanka aad bilowga qortay ayaa ah waxa suurtageliya imtixaankaas iyada oo aan naqshadda laga dib u dhisin xusuusta.

Ujeeddada waxan oo dhan waa in milkiilaha shabakadda loo oggolaado in uu doorto hab qoondayn la taageeray halkii uu ku tiirsanaado sheegasho guud oo ku saabsan waxa firewall kastaa ku samayn karo cinwaan dheeraad ah. Isla sheegashadaas waa goobta ay naqshadahani ku qaldamaan, sababtoo ah waxa ay uga dhacdaa mid lagu rumaysan karo platform kasta oo guud ahaan aan run ku ahayn midkoodna. Diiwaanka afar sadar ayaa taas u xalliya platform-kaaga toban daqiiqo gudahood.