OpenVPN ya handaki kamili: ongeza njia ya kutokea intaneti upande wa seva

Mteja hujithibitisha, hupokea anwani kutoka kwenye dimbwi na kufikia huduma kwenye mwenyeji wa VPN, lakini kila lengo la umma huisha kwa muda kuisha. Ndivyo handaki lisilo na njia ya kutoka linavyoonekana, na hubaki hivyo hadi mambo manne tofauti yawe kweli. Mteja lazima akubali njia chaguo-msingi, seva lazima ipitishe, ukuta wa moto lazima uruhusu upitishaji, na majibu yanahitaji njia ya kurudi kwenye dimbwi. Hitilafu zote nne zina dalili moja, kwa hiyo badilisha kipengele kimoja kwa kila jaribio na uandike matokeo.

Sukuma njia chaguo-msingi na uthibitishe kile mteja alisakinisha

Mstari wa upande wa seva ni mfupi, na huathiri tu wateja wanaokubali chaguo zilizosukumwa. Umbo la def1 husakinisha nusu-njia mbili chaguo-msingi badala ya kufuta ile iliyopo, jambo ambalo huweka muunganisho wa sasa hai huku likinasa kila lengo.

push "redirect-gateway def1"

Baada ya kuunganisha upya, soma jedwali la uelekezaji la mteja badala ya kuamini wasifu. Kwenye Linux maingizo mawili ya /1 yanaonekana kando ya chaguo-msingi la awali, na Windows huonyesha jozi hiyo hiyo kama 0.0.0.0/1 na 128.0.0.0/1. Mteja anayepuuza chaguo zilizosukumwa, au aliyesanidiwa kuzikataa, huhifadhi chaguo-msingi lake la zamani na huwahi kutuma trafiki ya intaneti kwenye handaki. Tatua swali hilo kabla ya kubadilisha chochote kwenye seva, kwa sababu hakuna kanuni ya upande wa seva inayoweza kufidia.

Upitishaji ni mpangilio wa seva, si mpangilio wa VPN

Soma bendera ya upitishaji kabla ya kugusa uelekezaji. Sufuri hapo inamaanisha kiini hupokea pakiti ya mteja na hukataa kuipitisha, jambo ambalo linaonekana kama kizuizi cha ukuta wa moto kutoka upande wa mbali. Weka thamani kupitia saraka ya usanidi wa mfumo ili idumu baada ya kuwasha upya.

sysctl net.ipv4.ip_forward
echo 'net.ipv4.ip_forward=1' | sudo tee /etc/sysctl.d/99-vpn-forward.conf
sudo sysctl --system

Kisha, thibitisha kuwa mwenyeji mwenyewe ana njia inayofanya kazi kuelekea njia ya kutokea ya intaneti. Ombi kutoka kwa ganda la seva huthibitisha kuwa njia ya juu inatumika na halisemi chochote kuhusu kupitisha pakiti ya mteja, kwa hiyo zichukulie kama majaribio mawili tofauti. Ikiwa seva haiwezi kufikia lengo, kiasi chochote cha usanidi wa upitishaji hakitasaidia.

Ruhusu upitishaji unaokusudia hasa, na kitu kingine chochote sivyo

Pakiti zilizopitishwa hupita njia ya forward; trafiki inayoelekezwa kwa mwenyeji wa VPN yenyewe hupita input. Hizi ni maamuzi tofauti, na kufungua njia ya input hakuruhusu upitishaji kupitia mashine. Kuzichanganya ni sababu ya kawaida zaidi ya ukuta wa moto kuonekana unaruhusu kila kitu huku wateja bado wakipata muda kuisha.

Sera ya chini kabisa hukubali miunganisho mipya kutoka kwenye dimbwi kuelekea kiolesura cha kutokea na hukubali majibu ambayo ni ya mtiririko ulioimarishwa. Iweke kwa mmiliki wa seti ya kanuni anayotumia usambazaji wako, badala ya kuongeza kanuni rudufu kila kuwasha; kanuni rudufu hujilimbikiza na vihesabu huacha kuwa na maana.

sudo iptables -A FORWARD -i tun0 -o eth0 -s 10.90.0.0/24 -j ACCEPT
sudo iptables -A FORWARD -i eth0 -o tun0 -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT

Kubadilisha kila mnyororo kuwa kubali hufanya jaribio lipite na huondoa sababu ya ukuta wa moto kuwepo. Weka wigo kwenye dimbwi na kiolesura cha kutokea, na uache upitishaji usiohusika.

Wape majibu mahali pa kwenda

Anwani za dimbwi ni za faragha, kwa hiyo seva ya umma haiwezi kuwasilisha jibu moja kwa moja kwao. Aidha mwenyeji wa VPN hutafsiri anwani ya chanzo wakati wa kutoka, au kifaa cha juu kinashikilia njia ya kurudi kwenye dimbwi.

sudo iptables -t nat -A POSTROUTING -s 10.90.0.0/24 -o eth0 -j MASQUERADE

Ongeza tabaka moja hasa la tafsiri. NAT ya pili juu zaidi huficha ya kwanza na hufanya kumbukumbu zote mbili kuwa karibu bila faida pale kitu kinapoharibika baadaye. Ikiwa kipanga njia cha juu tayari kinaelekeza dimbwi kurudi, kuongeza tafsiri kwenye mwenyeji ni kupita kiasi, na njia ya kurudi basi hutegemea usanidi wa kipanga njia hicho na si wako.

Mifano ya wingu huongeza lango moja zaidi, kwa sababu baadhi ya majukwaa hutupa pakiti ambazo anwani yake ya chanzo si ya mfano isipokuwa ukaguzi huo ulegezwe. Mpangilio huo uko nje ya mgeni na ni rahisi kusahau wakati mashine ya majaribio ya ndani inafanya kazi.

Thibitisha kutoka kwa mteja, si kutoka kwa ganda la seva

Anza na ombi la nambari la IPv4, kisha utafutaji wa jina, kisha programu. ping huthibitisha upitishaji na tafsiri;haithibitishi chochote kuhusu utatuzi wa majina, kwa sababu chaguo za DNS huanza kutumika tu pale muunganisho wa mteja unapozisakinisha.

curl -4 -m 5 http://198.51.100.10/
dig +short example.com

Andika mabadiliko na hatua ya kurudisha unavyokwenda, ili sera ya kutokea iweze kurudishwa kwa hatua moja jaribio linaposhindikana. Kichocheo hiki kinashughulikia IPv4 pekee; orodhesha IPv6 kando kabla ya kudai usambazaji unabeba trafiki yote.