Sababta macaamiisha Access Server aan laga gaari karin LAN-ka

Laptop-ku waxa uu xidhmaa, tunnel-ku wuu shaqeeyaa, codsiyada adeegga gudaha ahna waxay ku hakadaan xidhitaanka. Adeegga laftiisa codsigu waxa uu ka yimaaddaa cinwaan sida 10.90.0.25, jawaabtu waxay u baxdaa albaabka caadiga ah, waxna dib uma soo noqdaan, sababtoo ah albaabkaas ma oga meesha 10.90.0.25 ku yaal. Dhinaca kale khaladkaas oo kale waxa uu u muuqdaa sida martigeliyaha gudaha oo aan ping u diri karin macmiil xidhmay. Labaduba waa hal shay maqan: waddo dib ugu noqota barkada macaamiisha VPN, taas oo kaliya shabakadda gaarka ahi ku dari karto.

Akhri cinwaanka isha ee adeeggu arko

Goobtaas kaliya ayaa go'aamisa wax kasta oo kale. Haddii adeegga guduhu arko cinwaanka barkada, Access Server waxa uu marin habaabinayaa halkii uu qarin lahaa socodka macaamiisha, jawaab kastaana waa in dib loogu marin habaabiyaa barkada. Haddii uu taa beddelkeeda arko cinwaanka gaarka ah ee serverka laftiisa, serverku waxa uu samaynayaa masquerade oo waddada dib u noqoshada horeba way shaqaysaa, laakiin waxa lumaya aqoonsiga macmiil kasta ee diiwaannada iyo xeerarka gelitaanka adeegga.

Isbarbar dhig labada daraf ka hor inta aadan wax beddelin. Serverka, liis ku qor interface-yada tunnel-ka iyo cinwaannadooda; macmiilka, xaqiiji mid ka mid ah cinwaannadaas uu dhab ahaan haysto; martigeliyaha gudaha, eeg xidhiidh firfircoon.

ip -br addr show
ss -tnp state established '( dport = :443 )'
ip route get 10.90.0.25

Amarka ugu dambeeya ayaa ah kan ku guuldareysta xaaladda jabtay: waxa uu sheegaa in prefix-ka tunnel-ku aan la gaari karin ama, kaas oo ka sii xun, waxa uu soo celiyaa albaabkaaga caadiga ah, sidaasna jawaabuhu internetka ku dhacaan.

Ha u malayn in barkad kaliya jirto. Serverku waxa uu yeelan karaa baaxad firfircoon iyo sidoo kale khariidad statik ah oo isticmaale kasta, cinwaanka statikna waxa uu gabi ahaan ka baxsan karaa prefix-ka firfircoon. Haddii aad marin habaabiso kaliya baaxadda aad xasuusato, isticmaalayaasha cinwaannada go'an ayaa jabnaan doona kuwa kalena waxay soo sheegaan in dhibaatada la xalliyay.

Ku dar waddada meesha jawaabta lagu go'aaminayo

Waddadu waxay leedahay albaabka uu adeegga guduhu hore u isticmaalo, ma aha adeegga, haddii uusan isagu marin habaabin socodkiisa. U jeedi cinwaanka gaarka ah ee la gaari karo ee Access Server, kaas oo ka duwan cinwaanka tunnel-ka uu macmiilku haysto.

ip route add 10.90.0.0/24 via 10.0.1.5
ip route get 10.90.0.25

Shabakad daruuro ah isla odhaahdu waxay noqotaa gelin shaxda waddooyinka oo bartilmaameedkeedu yahay instance-ka ama interface-ka shabakadda uu serverku ku socdo, iyada oo hubinta isha iyo meesha loo socdo laga joojiyay interface-kaas. Ogaado waxa aysan gelintaasi samayn: waddo ma aha fasax gelitaan, sidaas darteed kooxaha amniga, ACL-yada shabakadda iyo firewall-ka martigeliyaha wali waa inay socodka oggolaadaan.

Ka dhig mid joogto ah, oo hayso cabbirrada barkadaha si daacad ah. Laba barkadood oo aan isku xigmin waxay u baahan yihiin laba waddo, barkad ka weynaata prefix-keeda la habaystayna si aamusan ayay u abuurtaa macaamiil jawaabahoodu meel ay tagaan lahayn. Haddii aad maamusho baaxadaha barkadaha, dooro soo koobid aad hal mar marin habaabin karto oo aad iska daysato.

Gudbinta iyo shaandhaynta waa inay la jaanqaadaan waddada

Marin habaabintu waa kala bar waddada oo keliya. Serverku waa in loo oggolaado in uu u gudbiyo tunnel-ka iyo interface-ka gaarka ah, taas oo Linux-ka macnaheedu yahay net.ipv4.ip_forward iyo silsilad gudbin oo oggolaata labada interface, martigeliye adag na sida caadiga ah xeer cad oo jiho kasta.

sysctl net.ipv4.ip_forward
nft list ruleset | grep -A5 forward

Shaandhaynta xaaladda leh waxay sharaxdaa calaamad dadka waddo khaldan ku hoggaamisa. Jawaabta ku dhex jirta socod hore u samaysmay uma baahna xeer cusub oo soo gala, sidaas darteed xidhiidhka SYN-ACK ka dib hakada laguma xannibo xeer aqbal oo maqan; waa la tuurayaa ama si khaldan ayaa loo marin habaabinayaa. Hayso farqigaas, sababtoo ah waxa uu kala saarayaa beddelka marin habaabinta iyo beddelka firewall-ka.

Waddooyinka dib u noqoshada ee aan isku mid ahayn waa nooca aamusnaan badan ee isla dhibaatada. Haddii laba waddo gaaraan barkada jawaabtuna qaadato tan ka baxda interface ka duwan kii codsigu ka soo galay, shaandhaynta adag ee waddada gadaal ayaa tuurta, socodkuna wuu guuldareystaa qaar ka mid ah macaamiisha oo keliya.

Marin habaabin ama masquerade: si feejigan u dooro

Habka la marin habaabiyay waxa uu ilaaliyaa cinwaanka barkada macmiilka adeegga, taas oo suurtogal ka dhigta diiwaangelinta iyo siyaasadda macmiil kasta, beddelkeedana shabakad kasta oo gudaha ah oo macmiil u jawaabtaa waxay u baahan tahay waddada barkada. Habka masquerade waxa uu meesha ka saarayaa shuruuddaas sababtoo ah jawaabuhu waxay ku noqdaan serverka, laakiin adeeggu ma kala saari karo macmiil ka mid ah mid kale mana bilaabi karo wax ku socda macmiil gaar ah.

Beddelka hab-dhaqankaas server shaqaynaya waxa uu gooyaa fadhiyada jira, sidaas darteed marka hore ku tijaabi hal macmiil iyo hal socod. Haddii beddelku yahay jawaabta saxda ah, waa go'aan habayn ah oo serverka, ma aha wax lagu hareer maro isagoo ku daraya waddooyin markii dambe noqonaya kuwo aan loo baahnayn.

Subnet-ka ka dambeeya macmiilka waa hawlo gaar ah

Gaaritaanka qalab ku yaal LAN-ka laptop-ka laftiisa lama mid aha gaaritaanka cinwaanka tunnel-ka laptop-ka. Waxay u baahan tahay in macmiilku u shaqeeyo sidii albaabka subnet-ka: shabakad lagu dhawaaqay dhinaca macmiilka, gudbin laga shiday nidaamka hawlgalka macmiilka, iyo waddo ku taal LAN-kaas oo dib ugu noqota macmiilka. Ku darista waddo shabakad gaar ah oo loogu talagalay baaxadda guriga laptop-ka taas ma samayso, waxayna abuurtaa khilaaf marka laba isticmaale ay leeyihiin isla baaxadda guriga.

Jihadu sidoo kale waa su'aal siyaasadeed. Fasaxa macmiilku in uu xidhiidh ka furo adeeg gudaha ah si otomaatig ah uma oggola martigeliye gudaha ah in uu xidhiidh ka furo macmiilkaas. Hubi siyaasadda gelitaanka serverka iyo firewall-ka martigeliyaha macmiilka ka hor inta aadan go'aansan in waddadu jaban tahay.

Ku xaqiiji hal socod iyo hal qabasho

Ku caddee waddada hal xidhiidh halkii aad ka isticmaali lahayd imtixaan gaaritaan guud. La soco isla socodka labada daraf: codsiga soo gaaraya adeegga iyo jawaabta ka baxaysa.

tcpdump -ni any host 10.90.0.25 and port 443

Hortii hagaajinta qabashadu waxay muujinaysaa jawaabta u baxaysa albaab aan marin habaabin doonin. Hagaajinta ka dib jawaabtu waxay u baxdaa serverka socodkuna wuu dhammaadaa. Ka dib xaqiiji waddada albaabku u isticmaali lahaa cinwaanka macmiil labaad, si barkad aadan daboolin ay hadda u muuqato ee aysan usbuuc ka dib u muuqan.

Ku soo gabagabee afar hubin oo tan xidha: cinwaanka isha ee adeeggu waxa uu la jaanqaadaa habka aad qasdiga ku lahayd, albaabku waxa uu waddo u leeyahay barkad kasta oo la isticmaalayo, gudbinta iyo shaandhaynta waxay oggolaadaan labada jiho, iyo hal socod dhab ah oo bilow ilaa dhammaad dhammaanaya. Su'aalaha badanaa la weydiiyo ee ku saabsan marin habaabinta Access Server waxa uu sheegayaa isla mabda'a daabacaadda la rakibay, kaas oo interface-ka habaynta la taageeray laga yaabo in uu ka duwan yahay hagayaasha hore.