NIC moja au mbili? Kuamua mpangilio wa violango vya seva ya VPN

Adapta moja ya kimwili inatosha kwa seva nyingi za VPN, na hii pia si suluhisho la jumla. Muunganisho uliosimbwa huja kwenye adapta hiyo, mchakato wa VPN huufungua, kisha trafiki ya ndani hutoka kupitia violango pepe kabla ya kufikia huduma ya ndani au LAN inayoelekezwa. Ikiwa hii itafanya kazi inategemea masharti matatu: mahali lengwa lilipo, ikiwa LAN ina njia ya kurudi kwenye dimbwi la wateja, na ikiwa kiungo kimoja cha pamoja cha kimwili kinakupa utengano unaodai. Jibu hayo matatu na idadi ya adapta itafuata.

Masharti matatu yanayoamua

Sharti la kwanza ni lengwa. Huduma iliyo kwenye mwenyeji wa VPN yenyewe hufikiwa kwa kupitia violango vya handaki pekee, ilhali mwenyeji aliye kwenye LAN huhitaji upelekaji na njia ya kurudi. Sharti la pili ni njia hiyo ya kurudi, kwa sababu kifaa cha LAN lazima kijue jinsi ya kufikia dimbwi la wateja, iwe kwa njia ya uelekezaji au kwa tafsiri kwenye seva.

Sharti la tatu ni utengano. Adapta moja inamaanisha kila pakiti, iliyosimbwa au la, inashiriki kiungo kimoja na kwa kawaida mnyororo mmoja wa sera, kwa hiyo dai la utengano linalotegemea maunzi tofauti halitoshelezwi na violango kimoja. Hilo ni tukio kuhusu njia, si kuhusu jinsi mfumo wa uendeshaji ulivyowekwa. Bado unaweza kuchuja trafiki ya handaki, lakini huwezi kudai mpaka ambao huna.

Hakuna moja kati ya hayo matatu linalohusu idadi ya milango kwenye kasha. Yanahusu uelekezaji, umiliki wa anwani na kiasi ambacho ubunifu unategemea utengano wa kimwili.

Adapta mbili zinabaki chaguo halali wakati kanda za kimwili, viungo tofauti vya juu, upitishaji au njia ya urejeshaji nje ya bendi zinazihalalisha. Hiyo ni mahitaji thabiti, na inafaa kuyaeleza kabla ya mtu kuagiza maunzi.

Wakati huduma inaendeshwa kwenye mwenyeji wa VPN

Kisa rahisi zaidi hakihitaji upelekaji hata kidogo. Daemon hupokea pakiti za mteja kwenye violango vya handaki na kuzikabidhi kwa soketi ya ndani, na jibu hurudi kwa violango hivyo hivyo. Kwa mwenyeji, anwani ya dimbwi la wateja ni anwani halisi ya ndani.

Mambo mawili bado lazima yawe sahihi: huduma lazima isikilize kwenye anwani ambayo handaki inaweza kufikia, na ukuta wa moto wa mwenyeji lazima ukubali trafiki inayofika kwenye violango vya handaki. Yote mawili yanaonekana kwenye amri zilizo hapa chini.

ss -lntup | grep -E "5432|8080"
ip -brief addr show
ip route get 10.8.0.6 from 10.8.0.1

Kufunga huduma kwenye anwani ya umma pekee, au kuchuja violango vya handaki kwa makosa, hutoa muunganisho unaofikia mwenyeji kisha kufa. Hiyo inaonekana kama hitilafu ya VPN na kwa kawaida ni uamuzi wa soketi au ukuta wa moto.

Wakati lengwa liko kwenye LAN

Hapa ndipo ubunifu wa adapta moja hupata sifa ya kuwa mgumu. Seva lazima ipeleke pakiti za mteja kuelekea LAN, na kifaa cha LAN lazima kirudishe majibu kwenye dimbwi la wateja. Ama hubeba dimbwi hilo kama njia kwenye LAN, au hutafsiri anwani ya chanzo kwenye seva ili majibu yarudi kwa seva yenyewe.

Majibu yote mawili ni halali na hushindwa kwa namna tofauti. Njia ya kurudi huacha anwani ya awali ya mteja ionekane kwa lengwa, jambo ambalo ni zuri kwa kumbukumbu na baya kwa kanuni za ukuta wa moto zinazodhani anwani za LAN. Tafsiri huweka LAN rahisi na kuficha utambulisho wa mteja kutoka kwa lengwa.

sysctl net.ipv4.ip_forward
nft list ruleset | grep -A4 'chain forward'
ip route show table main | grep 10.8.0

Njia isiyo sawa ni dalili ya kawaida: ombi la mteja linafika, jibu linatoka kwa kipitishio kingine, na muunganisho unaisha kwa muda bila hitilafu kwenye ncha zote mbili. Nasa trafiki pande zote mbili kabla ya kuhitimisha kitu kuhusu handaki.

Kwa nini alias haiundi kanda ya pili

Kuongeza anwani ya pili kwenye adapta hiyo hiyo, au kuunda violango dummy vinavyoiga mlango wa pili, hubadilisha kidogo sana. Pakiti bado zinatoka kupitia kiungo kile cha kimwili, mlango ule wa swichi na kwa kawaida mnyororo ule wa ukuta wa moto, kwa hiyo hakuna mpaka mpya kati yao. Hiyo ni urahisi wa usanidi, si ugawaji. Kuichukulia kama mpaka wa kanda ndiyo njia ambayo dai la utengano huishi kwenye karatasi pekee.

Kanda tofauti huhitaji utengano halisi katika njia, na hilo ni sharti linalotimizwa na adapta ya pili. Ikiwa kanuni inategemea kwamba trafiki inayoelekea VPN haishiriki kamwe kikoa cha matangazo na trafiki inayoelekea LAN, kebo moja haiwezi kutoa sifa hiyo, vyovyote anwani ya mwenyeji inavyowekwa.

Pale bidhaa inapoeleza topolojia ya violango vingi kwa hali maalum, fuata nyaraka za bidhaa hiyo badala ya kubuni njia ya kukwepa. Wauzaji pia hubadilisha topolojia zinazotumika kati ya matoleo, jambo ambalo ni sababu nyingine ya kusoma mwongozo wa sasa badala ya picha ya skrini ya msaidizi wa zamani.

Angalia mpangilio kwa kulinganisha na trafiki unayoiruhusu

Orodhesha makundi ya trafiki ambayo seva inapaswa kubeba: mteja hadi mwenyeji, mteja hadi LAN, mwenyeji hadi LAN, na muunganisho wa nje uliosimbwa. Kila kundi lina chanzo, lengwa na violango, na mpangilio lazima utimize yote manne kwa wakati mmoja. Ubunifu unaoshughulikia matatu kati ya hayo kwa kawaida ni ule unaozalisha tiketi.

Kisha thibitisha violango halisi na unasa halisi, si mchoro ulio kwenye hati ya ubunifu. Amri zilizo hapa chini huchapisha maoni yote mawili.

ip -brief addr
ip route
tcpdump -ni any udp port 51820 -c 5
tcpdump -ni tun0 -c 5

Ikiwa unasa wa nje unaonyesha trafiki iliyosimbwa na unasa wa ndani unaonyesha trafiki iliyofunguliwa kwenye violango vya handaki wakati adapta ya kimwili inabeba vyote, NIC moja inafanya kazi hiyo. Ikiwa unasa wa ndani ni tupu, tatizo liko kwenye handaki au kanuni za upelekaji, si kwa idadi ya adapta. Amua topolojia kutokana na unasa huo mawili na jedwali la uelekezaji, na mabadiliko yajayo yatakuwa na kipimo cha kulinganisha.