Miyay macmiilka WireGuard aan gaari karin macmiilka OpenVPN?

Labada tunnel way isku xirmaan, macmiil kastaa wuu gaaraa gateway-ga, iyo daqiiqda uu midku isku dayo cinwaanka kan kale baakadaha way libdhadaan. Midna handshake-ka midkoodna khalad ma laha, oo dib u soo saarista furayaasha ma beddesho taas. Gateway-ga wuxuu u qaadaa baakado IP caadi ah oo aan sir ahayn inta u dhaxaysa laba ka mid ah interface-yadiisa, sidaas darteed borotokooladu weligood uma baahna inay fahmaan midba midka kale; waxa ay u baahan yihiin waa saddex shay oo aan handshake uun bixin. Daboolka meesha loo socdo macmiilka asalka, lahaanshaha isha gateway-ga iyo dariiqa soo noqodka dhinaca fog. Calaamaddu saddexda oo dhan waa isku mid, sidaas darteed waa la isla baarayaa.

Calaamaddu mar kasta hal qayb way ka maqan tahay

Naqshaddan waxay isticmaashaa barkada WireGuard 10.71.0.0/24 ee wg1 iyo barkada OpenVPN 10.72.0.0/24 ee tun1, labaduba waxay ku dhammaadaan hal gateway. Codsiga la tijaabinayo wuxuu ka socdaa 10.71.0.5 una socdaa HTTPS ee 10.72.0.30. Tallaabo kastaa hoos waxay ku saabsan tahay hal qulqulkaas. Baaritaan kastaa wuxuu leeyahay calaamad guul-darro kale in kasta oo isticmaaluhu isku si u arko, oo badanaa hal ka mid ah saddexda ayaa maqan mar kasta.

Ku bilow xaqiijinta in labada barkadood ay runtii ku yaallaan gateway-kan iyo in gudbinta ay shidantahay namespace-ka tunnels-ka ku nool. Gateway-ga ku dhammeeya labada borotokool namespace kala duwan waxba kama gudbiyo dhexdooda, oo taasi waa in la tirtiro ka hor inta aan la akhrin wax qaabeynta peer ah.

Ballaadhi daboolka meesha loo socdo ee laanta

Macmiilka WireGuard, gelitaanka peer-ka jira waa inuu doortaa gateway-ga meesha loo socdo OpenVPN, taas oo macnaheedu yahay horgalaha meesha loo socdo waa inuu ku jiraa liiska la oggolaaday ee peer-kaas. Ku daristiisu ma abuurto tunnel labaad; waxay beddeshaa peer-ka uu macmiilku doorto marka uu raadinayo cinwaankaas, oo wg-quick dariiqadu badanaa si otomaatig ah bay liiska u raacdaa.

AllowedIPs = 10.71.0.0/24, 10.72.0.0/24

Ka tag sadarrada furaha iyo endpoint-ka dhabta ah iyagoon taaban, oo xasuuso in maareeyaha isticmaalaya Table = off uusan liiskan wax dariiq ah ka qaadan. Xaaladdaas horgalahaas waa in lagu rakibaa shaxda dariiqyada nidaamka qofka iska leh, oo dariiq maqan oo halkaas jooga wuxuu u eg yahay si sax ah horgale la oggolaaday oo maqan.

Ku hay lahaanshaha isha gateway-ga

Gelitaanka peer-ka macmiilkan ee gateway-ga waa inuu sii hayaa lahaanshaha cinwaanka isha macmiilkan. Cinwaannada la oggolaaday waxaa lagu baaraa labada dhinac: waxay doortaan peer-ka taraafikada baxa waxayna xaqiijiyaan in isha baakadda soo gasha ay leedahay peer-ka soo diray. Barkada OpenVPN gelinta laanta ku dhex darista sababtoo ah laantu waxay rabtaa inay gaarto waa khaladka taraafikada u jeediya ka-qaybgalaha khaldan.

AllowedIPs = 10.71.0.5/32

Gelitaankaas u akhri bayaanka lahaanshaha ee ha u akhrin fududaynta dariiqa. Wax kasta oo kale oo macmiilku u baahan yahay inuu gaaro waxay ku jiraan liiska meelaha loo socdo ee macmiilka, ee kuma jiraan fikradda gateway-ga ee ku saabsan waxa peer-kan la oggolaaday inuu diro.

Siin dhinaca OpenVPN dariiqa soo noqodka

Meesha loo socdo hadda waxay u baahan tahay dariiq ku noqota isha WireGuard, oo macmiillada barkada waxay badanaa u timaaddaa sida dariiq laga riixay server-ka OpenVPN. U riix oo kaliya macmiillada ay tahay inay haystaan, oo ku xaqiiji macmiilka in la aqbalay halkii aad ka fikiri lahayd in tilmaantu dhaqangelisay.

push "route 10.71.0.0 255.255.255.0"

Qaybinta dariiqyada ma aha oggolaansho. Marka meesha loo socdo ay ka dambayso macmiil OpenVPN kale halkii ay ku jirto barkada, lahaanshaha LAN-ka macmiilkaas iyo shuruudaha gudbinta ayaa ku biira naqshadda, oo dariiqa la riixay waa qaybta hore oo kaliya. Dib u qeex shuruudda sida garaaf ka hor inta aan lagu darin tilmaamo: qaybtee nooda ayaa leh horgalaha kee, oo noodee ayaa u gudbiya dhinaciisa.

Oggolow oo kaliya hal adeegga aad doonaysay inaad oggolaato

Marka gudbintu shidantahay labada barkadoodna la mari karo, su'aasha hadhay waa siyaasad. Qor qaanuunka qulqulka gaar ah ee ha u qorin labada interface guud ahaan, horay u fiiri ka hor inta aan la dhaqangelin, oo hay dariiqa soo noqodka ee xaaladda haya si jawaabahu uusan u xirmiin sida xidhiidho cusub. Tijaabada qallalan waxba kama qaadato oo waxay si sax ah u tustaa waxa lagu dari doono.

sudo ufw --dry-run route allow in on wg1 out on tun1 proto tcp from 10.71.0.5 to 10.72.0.30 port 443

Kuwani waa qaanuunno taraafikada la gudbiyay, oo ka duwan qaanuunnada dhegeysiga gateway-ga ee labada adeeg VPN. Furista dekedaha UDP ee dibadda ma oggolaato codsiga gudaha, oo oggolaanshaha codsiga gudaha uma baahna SSH aan xadidnayn oo gateway-ga ah ama oggolaansho caadi ah oo gudbinta. Firewall-ka meesha loo socdo iyo cinwaanka dhegeysiga sidoo kale waa inay iswaafaqaan, maxaa yeelay adeeg ku xidhan loopback wuxuu diidaa xitaa baakadda sida taxaddar leh loo mariyay. Siyaasad daboolaysa hal jiho oo kaliya oo wada hadalka waxay badanaa ku guul darreysataa codsi guuleystay iyo jawaab aamusan, taas oo ah natiijada ugu jahwareerka badan saddexda.

Dariiqyada labada dhinac ah badanaa waxay la macno tahay in aan turjumaad isha loo baahnayn, taas oo ilaalinaysa cinwaanka WireGuard meesha loo socdo oo ka dhigaysa diiwaannada mid la akhriyi karo. Ha ku darin masquerading guud sababtoo ah laba borotokool ayaa ku lug leh, oo ha tirtirin qaanuun turjumaad jira adigoon ogayn waxa ku tiirsan. Kadib xaqiiji hal qulqulkaas laga bilaabo bilow ilaa dhammaad, oo tijaabi sidoo kale hal isha ama dekedda aan la oggolaan: handshake ka shaqeeya labada dhinac ma caddeeyo dariiqa isgoysyada ah iyo qaybinta midkoodna.