Sababta LAN-kaagu uusan u gaari karin adeeg ku yaal macmiil VPN

Tunnel-kaagu wuu shaqaynayaa, adeeggu wuu dhegeysanayaa, LAN-ka xafiiskana wali wax dib loogu soo celiyay ma helayo. Qofna VPN ma jebin. Dhinaca LAN-ka, cinwaanka tunnel-ka laptop-ku ma jiro ilaa wax sheegaan LAN-ka sida loo gaaro, iyo jawaabtu waa inay ku soo noqotaa isla dariiqa codsigu u soo baxay. Waxaan arkay dad saddex jeer dib u dhisaya tunnel si buuxda caafimaad qaba ka hor inta aan qofna eegin dariiqa dib u noqodka.

Ma aha tunnel-ka waxa jabay

Labada daraf waxay ku fadhiyaan xaddiisyo gaar ah, taas oo ah kiiska caadiga ah ee ma aha qaabayn khaldan. Cinwaan sida 10.8.0.6 waa dhab gudaha tunnel-ka mana jiro meel kale, sidaas darteed LAN-ku ma haysto sabab uu wax ugu diro halkaas. Ka hor inta aadan taaban habaynta dariiqa, xaqiiji in adeeggu gudaha tunnel-ka laga heli karo: macmiilka ss -ltn wuxuu muujinayaa haddii dhageystahu ku xidhan yahay 127.0.0.1, is-dhexgalka LAN-ka ama cinwaanka tunnel-ka. Daemon ku xidhan oo kaliya loopback kama jawaabo cidna aan isaga ahayn, mana beddelo dariiq, DNAT ama gudbin deked.

Proxy ku yaal dekedda 80 ama 443 waa qalab kale oo leh aragti kale. Wuxuu dhaqaajiyaa codsiyada, ma aha baakadaha, sidaas darteed waa lakab khaldan oo loogu talagalay xiriirka kaydka xogta ee cayriin, iyo u soo dhowaanshaha isaga ayaa ah dariiqa dhibaatadani ku dhammaato saddex qalab qoto dheer ka hor inta qofna wax cabbiro.

Qaabka dariiqa: u sheeg LAN-ka halka barkadu ku taal

Dariiq taagan oo ku yaal albaabka LAN-ka ayaa ah jawaabta ugu nadiifsan marka LAN-ka iyo barkada tunnel-ku aanay is dulsaarnayn. U jeedi barkada mashiinka joojiya tunnel-ka:

ip route add 10.8.0.0/24 via 192.168.1.12
route add -p 10.8.0.0 mask 255.255.255.0 192.168.1.12   # Windows, persistent

Taasi waxay hagaajinaysaa hal jiho oo keliya, taas ayaa sabab u ah in noocyada badhka dhammaystiran ee isbeddelkan ay u muuqdaan horumar. Dhinaca tunnel-ku wuxuu u baahan yahay badhka u dhigma, haddii kale jawaabtu waxay ka tagtaa macmiilka dariiqa caadiga ah oo ku dhinta jidka:

push "route 192.168.1.0 255.255.255.0"

Shabakad-hoosaad ku yaal gadaasha hal macmiil halkii ay ka ahaan lahayd gadaasha server-ka, server-ku wuxuu u baahan yahay dariiq nidaam iyo gelitaan iroute oo ku yaal faylka macmiilkaas oo hoos yimaada client-config-dir. La’aanta iroute, OpenVPN wuu ogyahay in horgalaha uu jiro mana oga cidda macmiilka leh: baakadaha way yimaadaan daemon-kuna ma haysto wax uu ku barbardhigo.

Waa kan khuraafaadka u qalma magac. Dariiq wuxuu cinwaanka ka dhigaa mid la gaari karo; kama dhigto dhinaca kale mid diyaar u ah inuu jawaabo. Wada-hawlgalayaasha goob-ilaa-goob waxay ku daraan lakab kale, sababtoo ah albaabka fog wuxuu aqbalaa oo kaliya ilo ku jira horgalaha siyaasaddiisa ku qoran, laptop-ka ka yimaada barkada gurigana kama mid ah.

Qaabka NAT: DNAT gudaha, iyo khadka SNAT ee qof walba boodaa

Marka aadan taaban karin albaabka LAN-ka, ama aad rabto inaad daabacdo si sax ah hal deked, turjumaadda host-ka VPN waxay shaqaysaa iyada oo aan dariiq ku lahayn LAN-ka. Daabac dekedda, gudbi, oo turjun isha jidka tunnel-ka galaya:

iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 8080 -j DNAT --to-destination 10.8.0.6:3000
iptables -A FORWARD -i eth0 -o tun0 -p tcp -d 10.8.0.6 --dport 3000 -j ACCEPT
iptables -t nat -A POSTROUTING -o tun0 -d 10.8.0.6 -p tcp --dport 3000 -j SNAT --to-source 10.8.0.1

Saddexdaad khadka waa kan lumo. Bood ka tag oo macmiilku wuxuu u arkaa cinwaanka LAN-ka asalka ah isha, wuxuu ku jawaabaa dariiqa caadiga ah, jawaabtaasna waxay gashaa tunnel-ka halkii ay dib ugu noqon lahayd LAN-ka. Hadday xiriirku noolaan doonto markaas waxay ku xidhan tahay habayn dariiq aadan waligaa qorshayn. SNAT la socota macmiilku wuxuu arkaa cinwaanka tunnel-ka server-ka, sidaas darteed jawaabtu waxay raacdaa tunnel-ka dib ugu noqota host-ka kaliya ee burin kara turjumaadda.

Firmware-ka macaamiisha wuxuu isticmaalaa magacyada silsiladihiisa mana soo saaro turjumaaddaas adiga. Tomato, qaanuunka soo galaya wuxuu ku dhacaa WANPREROUTING ka dibna silsilad shaandhayn sida wanin, iyo qaanuunno u muuqda kuwo dhamaystiran ayaa wali u baahan khad POSTROUTING gacan lagu qoray. Taasi ma aha cilad firmware; waa qaanuunno loo qoray oo kaliya taraafikada soo galaya.

Sababta qaanuun u muuqda mid sax ah u wali tuurayo baakadda

Inta badan guul-darrooyinkan kama jiraan qaanuunka aad eegayso. Hubi afar shay sida ay iskugu xigaan, kuna joog midda ugu horreysa ee aan ansax ahayn:

• Nidaamka silsiladaha. iptables -I wuxuu geliyaa dusha sare -A na ku daraa dhammaadka, sidaas darteed qaanuun hore oo ogolaanaya ama xannibaya ayaa marka hore go’aamiya.
• Silsilad qaldan. Taraafikada loo jeediyay router-ka laftiisa waxay maraan INPUT, taraafikada loo gudbiyayna waligood ma taabtaan. Daabaca hal adeeg waxay u baahan kartaa qaanuunno labadaba.
• Calan jiho. -i tun0 wuxuu u dhigmaa taraafikada ka socota macaamiisha -o tun0 na taraafikada u socota. REJECT calan qaldan wuxuu xannibaa wax aadan ula jeedin.
• Xaddidaad il. Gudbin aqbala hal cinwaan macmiil waxay ka shaqaysaa macmiilkaas waxayna tuuraysaa il kasta oo kale iyada oo aan eray ku hadlin.

Qaanuun leh tirsade baakad eber gabi ahaan kuma jiro jidka, akhrinta tirsaduhuna waa habka ugu dhaqsiyaha badan ee lagu kala saaro dhibaatada silsilad qaldan iyo dhibaatada qaanuun qaldan.

Gudbinta maxalliga ah, marka aan waxba laga beddeli karin LAN-ka

Gudbinta maxalliga ah ee SSH waxay ka gudubtaa su’aasha oo dhan. Uma baahna dariiq LAN-ka, iskaashi ka yimaada darbiga dabka ee macmiilka, iyo deked meel kasta lagu daabacay:

ssh -N -f -L 3000:10.8.0.6:3000 user@vpn-host

Adeeggu markaas wuxuu ka muuqdaa localhost:3000 mashiinka haysta tunnel-ka, meel kalena ma aha. Taasi waa xadka: hal goob shaqo, hal deked, gudbintuna way dhimataa fadhiiga haddii aan wax dib u bilaabin. Maamule hubinaya kayd xog oo tijaabo ah waa qalabka saxda ah. Kaamiro ama iskaaner ay dad kale u baahan yihiin inay gaaraan ma aha, sababtoo ah isticmaal kasta wuxuu u baahan lahaa gudbin u gaar ah.

Hubi labada jiho ka hor inta aadan ku darin qaanuun kale

Turjumaaddu waxay ka tagtaa raadad, akhrintooduna way ka fiican tahay qiyaas. Host-ka VPN, conntrack -L wuxuu muujinayaa haddii turjumaaddu dhacday, iptables -t nat -L -n -v wuxuu muujinayaa haddii tirsaduhu dhaqaaqeen, tcpdump -ni any port 3000 na wuxuu muujinayaa cinwaanka isha ee dhab ahaan yimid. Macmiilka, ss -ltn wuxuu xaqiijiyaa in dhageystahu ku yaal cinwaan uu tunnel-ku gaari karo.

Ka dib dooro qaabka aad haysanayso. Hal deked la daabacay, dariiq barkada oo dhan, iyo gudbin hal maamule saddex ballanqaad oo kala duwan, isku darkooduna waa dariiqa ay habaynta shaqaysa u noqoto mid aan cidina ku sharxi karin lix bilood ka dib. Qor cinwaanka meesha laga gaari karo, qofka xiga ee tan dubaashanayana wuxuu ka bilaabayaa jawaabta halkii tunnel-ka.