ஒரு சாதனத்தை ரவுட்டர் VPN வழியாக அனுப்ப டாகிள் அல்ல, மூன்று விதிகள் தேவை

ரவுட்டர் VPN-ல் ஒவ்வொரு சாதனத்திற்கும் ஒரு சுவிட்ச் இல்லை; நீங்கள் தேடும் டாகிள் என்பது உங்கள் சார்பாக கொள்கை வழிசெலுத்தல் விதிகளை எழுதும் ஒரு குறுக்குவழியே. ஒரு மடிக்கணினி, ஒரு போர்ட் வரம்பு, ஒரு முகவரிப் பட்டியல் அல்லது ஒரு LAN பிரிவு சுரங்கப்பாதையைப் பயன்படுத்த வேண்டும், மற்ற அனைத்தும் WAN-ல் இருக்க வேண்டும் என்ற தருணத்தில், நீங்கள் ஒரு அம்சத்தை இயக்கவில்லை, கொள்கை வழியை உருவாக்குகிறீர்கள். வேலைக்கு மூன்று அசையும் பகுதிகள் உள்ளன, ஒவ்வொன்றும் வெவ்வேறு விதத்தில் தோல்வியடைகிறது: வழியில்லாத குறிக்கப்பட்ட அட்டவணை மௌனம் போலத் தெரிகிறது, தவறான சங்கிலியில் வைக்கப்பட்ட குறி எதுவும் நடவாதது போலத் தெரிகிறது, காணாமல் போன NAT விதி இணைக்கப்பட்டு எதையும் எடுத்துச் செல்லாத சுரங்கப்பாதை போலத் தெரிகிறது. மேலும் இரண்டு பகுதிகள் mangle விதியில் ஒருபோதும் தோன்றாததால் காணாமல் போகின்றன, அவை DNS மற்றும் IPv6.

கட்டுக்கதை: சுரங்கப்பாதை என்பது கிளையண்ட் அமைப்பு

ரவுட்டர் பக்க VPN கிளையண்ட் ஒரு முரட்டுத்தனமான விஷயத்தை நன்றாகச் செய்கிறது: அது 0.0.0.0/0-ஐ பிரதான வழிசெலுத்தல் அட்டவணையில் வைத்து சுரங்கப்பாதையை நோக்கித் திருப்புகிறது. WireGuard அதை AllowedIPs-ல் இருந்து பெறுகிறது, OpenVPN சேவையகம் தள்ளும் redirect-gateway-ல் இருந்து பெறுகிறது, இரண்டும் ரவுட்டருக்குப் பின்னால் உள்ள ஒவ்வொரு ஹோஸ்ட்டின் பாதையையும் மாற்றுகின்றன. AllowedIPs-ஐ குறுகலாக்குவது அல்லது route-nopull சேர்ப்பது கிளையண்ட் நிறுவுவதை மாற்றுகிறது. அந்த நிறுவல் யாருக்குப் பொருந்துகிறது என்பதை அது மாற்றாது, ஏனெனில் கிளையண்ட் சாதனங்களை ஒருபோதும் பார்ப்பதில்லை. அது பாக்கெட்டுகளை மட்டுமே பார்க்கிறது.

மூலம் அல்லது இலக்கின் அடிப்படையிலான தேர்வு ஒரு வழிசெலுத்தல் முடிவு, எனவே அது ரவுட்டரின் கொள்கை அடுக்குக்கு உரியது: RouterOS-ல் mangle விதி மற்றும் இரண்டாவது அட்டவணை, OpenWrt அல்லது DD-WRT-ல் MARK மற்றும் ip rule, அல்லது pfSense-ல் நுழைவாயில் சுரங்கப்பாதையாக உள்ள ஃபயர்வால் விதி. Netgate-இன் WireGuard கிளையண்ட் செய்முறை யூகிப்பதற்கு முன் படிக்க வேண்டியது, ஏனெனில் அந்த தளத்தில் விதியின் நுழைவாயில், இடைமுக ஒதுக்கீடு மற்றும் வெளியேறும் NAT பதிவு அனைத்தும் ஒரு கிளையண்ட் சுரங்கப்பாதையைப் பயன்படுத்துவதற்கு முன் ஒத்துக்கொள்ள வேண்டும்.

கட்டுக்கதையின் மறு பாதி இரண்டாவது ரவுட்டர். மற்றொரு பெட்டியை வாங்குவது, அல்லது சாதனத்தை விருந்தினர் SSID-க்கு நகர்த்துவது பெரும்பாலும் வேலை செய்கிறது, காரணம் வன்பொருள் அல்ல: அது சாதனத்தை அதன் சொந்த துணை வலையமைப்பில் வைக்கிறது, இது ஃபேர்ம்வேர் ஏற்கனவே புரிந்துகொள்ளும் மூலத் தேர்வியை உங்களுக்குத் தருகிறது. உங்கள் ரவுட்டரில் அந்தப் பிரிவை வரையறுக்க முடிந்தால், கூடுதல் பெட்டி உங்களிடம் இல்லாத சிக்கலைத் தீர்க்கிறது.

பகுதி ஒன்று: இயல்புநிலை வழி அல்லாத சுரங்கப்பாதை

RouterOS-ல் இயல்புநிலை வழி இல்லாமல் கிளையண்டைச் சேர்த்து சுரங்கப்பாதைக்கு அதன் சொந்த அட்டவணையைக் கொடுங்கள். முதல் வழி குறிக்கப்பட்ட இயல்புநிலை; இரண்டாவது தோல்வியின் பாதி.

/ip route add dst-address=0.0.0.0/0 gateway=VPN_GATEWAY_IP routing-mark=vpn distance=1
/ip route add dst-address=0.0.0.0/0 type=unreachable routing-mark=vpn distance=2

அடைய முடியாத வழியே குறிக்கப்பட்ட அட்டவணை பிரதான அட்டவணையின் விதிவிலக்குப் பட்டியலை வெல்லும் காரணம். சுரங்கப்பாதை வீழும்போது குறிக்கப்பட்ட பாக்கெட்டுகள் அமைதியாக WAN-க்குத் திரும்புவதற்குப் பதிலாக உடனடியாக அடைய முடியாததைப் பெறுகின்றன, எனவே தோல்வி ஒரு மணி நேரம் கழித்து சரிபார்க்கும் புவி இருப்பிடப் பக்கத்தில் அல்ல, பயன்பாட்டின் பிழைச் செய்தியில் தோன்றுகிறது.

RouterOS 7, 6.x ஒன்றாக வைத்திருந்ததைப் பிரிக்கிறது: அட்டவணையை /routing table add name=vpn fib மூலம் அறிவித்து, பின்னர் வழியிலும் mangle விதியிலும் பெயரால் அதைக் குறிப்பிடுகிறீர்கள். அட்டவணையை வரையறுக்காமல் routing-mark எழுதும் 6.x துண்டு தூய்மையாக ஏற்றப்பட்டு எதனுடனும் பொருந்தாது. மற்றொரு உன்னதமானது இரண்டு 0.0.0.0/1 பாதிகள், அல்லது ஒரே அட்டவணையில் ஒரே தூரத்தில் இரண்டு இயல்புநிலைகள்: கர்னல் ஒன்றைத் தேர்ந்தெடுக்கிறது, மறுதொடக்கம் செய்த பிறகு நடத்தை மாறலாம்.

பகுதி இரண்டு: வழியைத் தேடும் முன் குறியிடுங்கள்

எந்த பாக்கெட்டுகள் அந்த அட்டவணையில் நுழைகின்றன என்பதைத் தேர்வி முடிவு செய்கிறது. RouterOS பொதுவாக இலக்குக் கொள்கைக்கு முகவரிப் பட்டியலில் இருந்தோ, சாதனக் கொள்கைக்கு மூல முகவரியில் இருந்தோ தொடங்குகிறது:

/ip firewall mangle add chain=prerouting src-address=192.168.88.50 action=mark-routing new-routing-mark=vpn
/ip firewall mangle add chain=prerouting dst-address-list=via-vpn action=mark-routing new-routing-mark=vpn
/ip firewall address-list add list=via-vpn address=203.0.113.10

Linux ஃபேர்ம்வேர் netfilter குறி மற்றும் குறியிடப்பட்ட பாக்கெட்டுகளை நீங்கள் நிரப்பிய அட்டவணைக்கு வழிநடத்தும் விதியால் அதையே செய்கிறது:

iptables -t mangle -A PREROUTING -p tcp --dport 27000:27050 -j MARK --set-mark 0x200
ip route add default dev tun0 table 100
ip rule add fwmark 0x200 table 100

சங்கிலி ஒரு பாணித் தேர்வு அல்ல. ஒரு பாக்கெட் FORWARD-ஐ அடையும் போது வழித் தேடல் ஏற்கனவே நிகழ்ந்துவிட்டது, எனவே அங்கு MARK அல்லது DROP செய்வது மீண்டும் எழுதவோ தள்ளவோ மட்டுமே முடியும். குறி அனுப்பப்படும் டிராஃபிக்கிற்கு PREROUTING-ல், ரவுட்டர் தானே உருவாக்கும் டிராஃபிக்கிற்கு OUTPUT-ல் விழ வேண்டும், ரவுட்டரின் DNS, NTP மற்றும் புதுப்பிப்புச் சரிபார்ப்புகள் அங்கே வாழ்கின்றன. அந்த வெளியீட்டுப் பாதையே முழுமையாக சுரங்கப்பாதையில் இணைக்கப்பட்ட அமைப்பு கசிவுச் சோதனையில் இன்னும் ISP தீர்வியிலிருந்து பதிலளிக்கும் வழக்கமான காரணம்.

சாதனக் கொள்கைக்கு நழுவாத பொருத்தம் தேவை. DHCP-ல் முகவரியை ஒதுக்கி வைக்கவும், அல்லது அர்ப்பணிக்கப்பட்ட பிரிவுக்கு இடைமுகத்தைப் பொருத்தவும்; பின்னர் வேறு சாதனத்திற்கு நகரும் முகவரி அமைதியாக தவறான கிளையண்டிற்கு சுரங்கப்பாதையைப் பயன்படுத்துகிறது. சொந்த துணை வலையமைப்புடன் ஒவ்வொரு SSID பாலம் அதே கருத்தின் நீடித்த பதிப்பு, அது IPv6 விதிகளுக்கும் வாழ இடம் தருகிறது.

பகுதி மூன்று: NAT, DNS மற்றும் LAN விதிவிலக்கு

சுரங்கப்பாதை வழியாக வெளியேறும் டிராஃபிக்கிற்கு மறுபக்கம் பதிலளிக்கும் மூல முகவரி தேவை. மொழிபெயர்ப்பை சுரங்கப்பாதை இடைமுகத்திற்கு மட்டுப்படுத்துங்கள்: RouterOS-ல் out-interface=VPN_NAME, Linux-ல் -o tun0, pfSense-ல் பொருந்தும் வெளியேறும் NAT பதிவு. அந்த வரம்பு இல்லாத masquerade விதி நீங்கள் விட்டுவிட நினைத்த டிராஃபிக்கையும் மீண்டும் எழுதுகிறது, அறிகுறி என்பது சுரங்கப்பாதை இல்லாத சாதனம் அதன் பொது முகவரியை இழப்பதே.

LAN விதிவிலக்கு சுரங்கப்பாதையை விட அதிக ஆதரவு இழைகளை உருவாக்குகிறது. குறிக்கப்பட்ட அட்டவணையில் இயல்புநிலை வழி மட்டும் இருந்தால், தேர்ந்தெடுக்கப்பட்ட சாதனத்திலிருந்து அச்சுப்பொறி அல்லது NAS இலக்கு அந்த இயல்புநிலையுடன் பொருந்தி சுரங்கப்பாதையில் மறைந்துவிடும். அதே அட்டவணையில் LAN வழியைச் சேர்க்கவும், அல்லது தேர்வியில் உள்ளூர் துணை வலையமைப்பை விலக்கவும்; இரண்டும் வேலை செய்கின்றன, பின்னர் VLAN சேர்க்கும்போது விலக்குவதைச் சரியாக வைத்திருப்பது எளிது.

DNS தனிப் பாதையை எடுக்கிறது. ரவுட்டர் அனுப்பும் வினவல்கள் ரவுட்டரிலிருந்து தோன்றி OUTPUT-ஐப் பின்பற்றுகின்றன, அனுப்பப்பட்ட குறியை அல்ல, எனவே முழுமையாக சுரங்கப்பாதையில் இணைக்கப்பட்ட மடிக்கணினியும் ISP வழியாகப் பெயர்களைத் தீர்க்க முடியும். கிளையண்டுகளை சுரங்கப்பாதை வழியாக அடையக்கூடிய தீர்விக்கு திருப்புங்கள், அல்லது ரவுட்டரின் சொந்த port-53 டிராஃபிக்கைக் குறியிடுங்கள், பின்னர் பதில் வலைக் கோரிக்கையுடன் பயணித்தது என்று கருதாமல் தீர்க்கப்பட்ட முகவரியைச் சரிபார்க்கவும்.

விதி பொருந்துகிறது ஆனால் பயன்பாடு இன்னும் WAN-ஐப் பயன்படுத்தும்போது

இலக்குப் பட்டியல்கள் விரைவில் பழையவாகும். ஒரு பெயர் பட்டியலில் இல்லாத முகவரிக்குத் தீர்க்கப்படுகிறது, எனவே கோரிக்கை WAN-ஐ எடுக்கிறது, பட்டியலிடப்பட்ட முகவரிக்கு நீங்கள் செய்த ஒவ்வொரு சோதனையும் வேலை செய்திருந்தது. கிளையண்ட் பயன்படுத்தும் அதே தீர்வியிலிருந்து பட்டியலைப் புதுப்பிக்கவும், ஒரு சாதனத்திலிருந்து முழு டிராஃபிக்கும் உண்மையில் வேண்டும் என்றால் மூல அடிப்படையிலான தேர்வியை விரும்புங்கள்.

IPv6 என்பது அமைதியான தவிர்ப்பு. சாதனத்திற்கு அதன் சொந்த இயல்புநிலை வழி மற்றும் சொந்த விதித் தொகுப்புடன் இரண்டாவது முகவரிக் குடும்பம் உள்ளது, IPv4 முகவரியுடன் மட்டும் பொருத்துவது கொள்கையின் பாதி. அதே தேர்வியை ip6tables அல்லது nftables சமன்பாட்டிற்குப் பயன்படுத்துங்கள், அல்லது அந்தப் பிரிவில் IPv6-ஐ விபத்தாக அல்ல, வேண்டுமென்றே முடக்குங்கள்.

நிறுவப்பட்ட இணைப்புகளும் முக்கியம். மாற்றத்திற்கு முன் உருவாக்கப்பட்ட conntrack பதிவு காலாவதியாகும் வரை பழைய பாதையைத் தொடர்கிறது, எனவே திருத்தத்தின் போது திறந்திருந்த உலாவி ஒருபோதும் பயன்படுத்தப்படாத விதி போலவே தெரிகிறது. கொள்கையை மதிப்பிடுவதற்கு முன் புதிய இணைப்பைத் திறக்கவும், அல்லது நிலையை அழிக்கவும்.

இரண்டு சாதனங்கள் மற்றும் ஒரு மறுதொடக்கத்துடன் சரிபார்க்கவும்

சுரங்கப்பாதையில் இருக்க வேண்டிய சாதனத்தையும் இருக்கக் கூடாத சாதனத்தையும் சோதித்து, வேக எண்ணுக்குப் பதிலாக இரண்டாவது ஹாப்பை ஒப்பிடுங்கள். ஒவ்வொன்றிலிருந்தும் traceroute இரண்டாவது ஹாப்பில் சுரங்கப்பாதை நுழைவாயிலை அல்லது ISP நுழைவாயிலைக் காட்டுகிறது; இரண்டும் ஒரே மாதிரி தெரிந்தால் குறி அல்லது அட்டவணை விதி சொல்வதைச் செய்யவில்லை. சோதனைக்கு புதிய இணைப்புகளைப் பயன்படுத்துங்கள்.

பின்னர் மறுதொடக்கம் செய்யுங்கள். வேலை செய்யும் கொள்கை உடையும் இடம் தொடக்க வரிசையே, ஏனெனில் அடைய முடியாத வழி நிறுவப்படும் முன் கிளையண்ட் எழுந்திருக்க வேண்டும், பழைய விதித் தொகுப்பை மீட்டெடுக்கும் சேமிக்கப்பட்ட நிலைப்படிவம் உங்கள் அட்டவணையை மேலெழுதும். ஒவ்வொரு விதியும் சேமிக்கப்பட்ட உள்ளமைவில் உள்ளதா, குறிக்கப்பட்ட இயல்புநிலை துவக்கத்திற்குப் பிறகு உள்ளதா என்பதை நீங்கள் தட்டச்சு செய்த பிறகு மட்டுமல்ல, சரிபார்க்கவும்.

ஏதேனும் தோல்வியடைந்தால் முதலில் குறியை நீக்கி சாதாரண டிராஃபிக் திரும்புகிறதா என்று பாருங்கள், பின்னர் அட்டவணையை நீக்குங்கள். அந்த வரிசை நீங்கள் வழிசெலுத்தல் சிக்கலையா ஃபயர்வால் சிக்கலையா துரத்துகிறீர்கள் என்று சொல்லும், வேலையை முடிக்கும் வரை வீட்டில் வேலை செய்யும் அச்சுப்பொறியையும் விட்டுச் செல்லும்.