Hatua inayofuata katika njia ya VPN: kwa nini lango lazima lifikiwe kwa ndani

Njia inayoingia kwenye mtandao wa VPN hubeba anwani mbili ambazo ni rahisi kuchanganya: kiambishi cha lengwa ambacho kifurushi kinajaribu kufikia na hatua inayofuata itakayoihamisha hatua moja karibu zaidi. Kwenye mwenyeji wa LAN, hatua hiyo inayofuata lazima iwe kipanga njia ambacho kwa kweli unaweza kufikia kwenye kiungo hicho hicho. Anwani ya VPN ya mbali si hatua inayofuata, hata ikilingane vipi na lengo ulilo nalo akilini.

Mwongozo huu unashughulikia hali ya kawaida: kompyuta ya mkononi kwenye 192.168.20.0/24, lango la VPN lenye anwani ya LAN 192.168.20.5, na mtandao wa mbali 10.70.0.0/24 nyuma ya lango hilo. Amri zote hapa chini zinachukulia kuwa uko kwenye kompyuta ya mkononi isipokuwa imeelezwa vingine.

Anwani mbili, njia moja

Ingizo linalokusudiwa ni 10.70.0.0/24 via 192.168.20.5. Kiambishi kinaeleza kifurushi kinaenda wapi; anwani ya via inaeleza nani anakisafirisha kufika huko. Kiini kinakataa kufunga njia ambayo hakiwezi kufikia lango lake kupitia kiolesura unachotaja, na kukataa huko ndilo wazo zima: hatua inayofuata inayohitaji handaki ili ifikiwe haiwezi kuwa hatua inayofuata inayojenga handaki.

Kwa hiyo ukaguzi wa kwanza si «lango linafanya kazi» bali «lango liko kwenye kiungo hiki». Subneti ya kompyuta ya mkononi yenyewe, ingizo lake la ARP au jirani, na kiolesura kilicho kwenye njia vyote vinapaswa kukubaliana. Anwani inayopatikana ndani ya 10.70.0.0/24 tu inaweza kuwa lengo la njia ya pili, lakini kamwe si via ya kwanza.

Hatua inayofuata inamlazimisha lango kwa nini

Kufunga njia kwenye kompyuta ya mkononi huamua uhamishaji wa kwanza tu. Kisha lango linahitaji njia yake mwenyewe: usambazaji umewashwa, njia ya handaki kwa 10.70.0.0/24, na sera yoyote ya ufikiaji inayoamua nani anaweza kuitumia. Kwenye Linux hiyo ni net.ipv4.ip_forward=1 pamoja na njia ya handaki; ukuta wa moto mbele yake unahitaji kanuni inayoruhusu mtiririko unaosambazwa.

Mwelekeo wa kurudi ndio sehemu ambayo watu huisahau. Upande wa mbali lazima uwe na njia ya kurudi 192.168.20.0/24, au muundo lazima utafsiri chanzo cha kompyuta ya mkononi kuwa kitu ambacho upande wa mbali unakijua. Ping inayofanya kazi kutoka langoni inathibitisha kuwa lango linaweza kufikia mtandao wa mbali; haisemi chochote kuhusu kama vifurushi vya kompyuta ya mkononi vinaendelea kuishi katika safari ya kurudi.

Thibitisha utafutaji kutoka kwa mwenyeji anayetuma

Uliza kiini ni hatua gani inayofuata itakayochagua, na usome kiolesura kilicho kwenye jibu:

ip route get 10.70.0.10
ip route show 10.70.0.0/24
ip neigh show 192.168.20.5

Ikiwa utafutaji unaripoti lango na kiolesura cha LAN, sehemu ya kwanza imesanidiwa kama ilivyokusudiwa. Ikiwa unaripoti kifaa cha handaki, kitu kilicho mbele zaidi kwenye jedwali ni mahususi zaidi na kinashinda. Ikiwa njia haifungiki kabisa, kiini kinakuambia kuwa lango halifikiki, na ujumbe huo ni muhimu zaidi kuliko kunasa kifurushi chochote.

Kisha rudia jaribio kutoka mahali sahihi. Ombi lililoundwa kwenye lango hutumia anwani ya chanzo ya lango yenyewe, jambo ambalo linaweza kuficha njia ya kurudi inayokosekana au sera inayoruhusu vyanzo fulani tu. Mwongozo wa ip-route hutenganisha lengo, lango na ubatilishaji wa onlink, na ubatilishaji unafaa kueleweka kabla ya kuutumia.

Usitumie onlink kughushi ufikikaji

onlink inamwambia kiini iruke ukaguzi wa ufikikaji wa lango na itume huko hata hivyo. Haiundi njia, haitatui ARP kwa anwani ambayo haipo, na haifanyi kipanga njia cha mbali kujibu kwenye sehemu yako ya Ethernet. Ni halali kwa malango yanayojibu lakini hayakai kwenye subneti iliyounganishwa, na ni mtego inapotumika kunyamazisha hitilafu ambayo hukueleza.

Ikiwa njia inafungika tu na onlink, swali linalofuata ni kwa nini lango haliko mahali unapofikiri. VLAN isiyo sahihi, anwani ya pili kwenye kiolesura kisicho sahihi, au makosa ya kuandika kwenye okteti ya mwisho yote yanazalisha hili, na kila moja yao pia huvunja njia ya kurudi mara tu trafiki inapoanza kutiririka.

Handaki za nukta-hadi-nukta si Ethernet

Kifaa cha handaki hakifanyi ARP na mara nyingi hakina subneti yenye maana ya majirani. Njia zake mara nyingi zinaonekana kama 10.70.0.0/24 dev tun0, bila via yoyote, kwa sababu mwenzake ndiye mwisho mwingine pekee. Kunakili via kwa mtindo wa LAN kwenye jedwali hilo huzalisha njia ambayo kiini kinaweza kuikataa au, mbaya zaidi, ile inayoelekeza kwenye anwani ambayo mwenzake hajibu kamwe.

Tenganisha mifano miwili kwenye mwongozo: njia ya LAN ina lango linalofikika, njia ya handaki ina kiolesura na mwenza. WireGuard, OpenVPN na IPsec zote zinaonyesha maumbo tofauti kidogo, kwa hiyo andika umbo ulilotumia kwa kweli badala ya kujumlisha kutoka kwa mwenyeji mmoja.

Ongeza, thibitisha, rudi nyuma

Mabadiliko yote ni amri tatu na ukaguzi mmoja, na yanapaswa kuandikwa kwa mpangilio huo:

sudo ip route add 10.70.0.0/24 via 192.168.20.5
ip route get 10.70.0.10
ping -c 3 10.70.0.10
sudo ip route del 10.70.0.0/24 via 192.168.20.5

Thibitisha njia, thibitisha lengo moja, kisha weka mstari wa kufuta tayari ikiwa mabadiliko yatafanya mwenyeji asifikike kwa namna usiyoitarajia. Ikiwa njia lazima idumu baada ya kuwasha upya, iweke kwenye usanidi wa mtandao wa mwenyeji na si kwenye wasifu wa shell, na ujaribu kuwasha upya kabla ya kuitegemea. Njia iliyopo tu kwenye shell iliyoiongeza ni njia utakayoitatua mara mbili.