ஒரு NIC அல்லது இரண்டா? VPN சேவையகத்தின் இடைமுக அமைப்பைத் தீர்மானித்தல்

பல VPN சேவையகங்களுக்கு ஒரு இயற்பியல் அடாப்டர் போதும், அதுவும் உலகளாவிய வடிவமைப்பு அல்ல. மறையாக்கப்பட்ட இணைப்பு அந்த அடாப்டருக்கு வருகிறது, VPN செயல்முறை அதை மறைகுறி நீக்குகிறது, பின்னர் உள் போக்குவரத்து மெய்நிகர் இடைமுகம் வழியாக வெளியேறுகிறது, உள்ளூர் சேவையை அல்லது வழித்தடமிடப்பட்ட LAN-ஐ அடைவதற்கு முன். இது வேலை செய்கிறதா என்பது மூன்று நிபந்தனைகளைப் பொருத்தது: இலக்கு எங்கே உள்ளது, LAN-க்கு வாடிக்கையாளர் குளத்திற்குத் திரும்பும் வழி உள்ளதா, மற்றும் ஒரு பகிரப்பட்ட இயற்பியல் இணைப்பு நீங்கள் கூறும் தனிமைப்படுத்தலைத் தருமா. இந்த மூன்றுக்கும் பதிலளிக்கவும், அடாப்டர் எண்ணிக்கை அதிலிருந்து வரும்.

இதைத் தீர்மானிக்கும் மூன்று நிபந்தனைகள்

முதல் நிபந்தனை இலக்கு. VPN புரவலனிலேயே உள்ள சேவையை சுரங்கப்பாதை இடைமுகம் வழியாக மட்டுமே அடைய முடியும், ஆனால் LAN-ல் உள்ள புரவலனுக்கு அனுப்புதல் மற்றும் திரும்பும் வழி தேவை. இரண்டாவது நிபந்தனை அந்தத் திரும்பும் வழி, ஏனெனில் LAN சாதனம் வாடிக்கையாளர் குளத்தை எவ்வாறு அடைவது என்பதை அறிந்திருக்க வேண்டும், வழித்தடம் வழியாகவோ சேவையகத்தில் மொழிபெயர்ப்பு வழியாகவோ.

மூன்றாவது நிபந்தனை பிரிப்பு. ஒரு அடாப்டர் என்பது மறையாக்கப்பட்டதோ இல்லையோ ஒவ்வொரு பொட்டலமும் ஒரே இணைப்பையும் பொதுவாக ஒரே கொள்கைச் சங்கிலியையும் பகிர்ந்து கொள்கிறது, எனவே தனி வன்பொருளைச் சார்ந்த தனிமைப்படுத்தல் கூற்று ஒரு இடைமுகத்தால் நிறைவேறாது. இது பாதையைப் பற்றிய உண்மை, இயக்க முறைமை எவ்வாறு அமைக்கப்பட்டுள்ளது என்பதைப் பற்றியது அல்ல. சுரங்கப்பாதைப் போக்குவரத்தை இன்னும் வடிகட்டலாம், ஆனால் உங்களிடம் இல்லாத எல்லையைக் கூற முடியாது.

இந்த மூன்றில் எதுவும் சட்டகத்தின் துறைகளின் எண்ணிக்கையைப் பற்றியது அல்ல. அவை வழித்தடம், முகவரி உரிமை மற்றும் வடிவமைப்பு இயற்பியல் பிரிப்பை எவ்வளவு சார்ந்துள்ளது என்பதைப் பற்றியவை.

இயற்பியல் மண்டலங்கள், தனி மேல்இணைப்புகள், செயல்திறன் அல்லது பட்டைக்கு வெளியேயான மீட்புப் பாதை அவற்றை நியாயப்படுத்தினால் இரண்டு அடாப்டர்கள் சட்டபூர்வமான தேர்வாகவே இருக்கும். அவை உறுதியான தேவைகள், யாராவது வன்பொருளை ஆர்டர் செய்வதற்கு முன் அவற்றை எழுதுவது மதிப்புள்ளது.

சேவை VPN புரவலனில் இயங்கும்போது

எளிய நிலையில் அனுப்புதல் தேவையே இல்லை. டீமன் சுரங்கப்பாதை இடைமுகத்தில் வாடிக்கையாளரின் பொட்டலங்களைப் பெற்று உள்ளூர் சாக்கெட்டுக்கு அளிக்கிறது, பதில் அதே இடைமுகம் வழியாகத் திரும்புகிறது. புரவலனைப் பொருத்தவரை வாடிக்கையாளர் குளத்தின் முகவரி உண்மையான உள்ளூர் முகவரி.

இருப்பினும் இரண்டு விஷயங்கள் சரியாக இருக்க வேண்டும்: சேவை சுரங்கப்பாதை அடையக்கூடிய முகவரியில் கேட்க வேண்டும், புரவலனின் தீச்சுவர் சுரங்கப்பாதை இடைமுகத்திற்கு வரும் போக்குவரத்தை ஏற்க வேண்டும். இரண்டும் கீழே உள்ள கட்டளைகளில் தெரிகின்றன.

ss -lntup | grep -E "5432|8080"
ip -brief addr show
ip route get 10.8.0.6 from 10.8.0.1

சேவையை பொது முகவரியில் மட்டும் பிணைப்பது, அல்லது தவறுதலாக சுரங்கப்பாதை இடைமுகத்தை வடிகட்டுவது, புரவலனை அடைந்து பின்னர் இறக்கும் இணைப்பை உருவாக்குகிறது. இது VPN குறைபாடு போலத் தெரிகிறது, பொதுவாக சாக்கெட் அல்லது தீச்சுவர் முடிவு.

இலக்கு LAN-ல் இருக்கும்போது

இங்குதான் ஒரு அடாப்டர் வடிவமைப்பு சிக்கலானது எனப் பெயர் பெறுகிறது. சேவையகம் வாடிக்கையாளரின் பொட்டலங்களை LAN நோக்கி அனுப்ப வேண்டும், LAN சாதனம் பதில்களை வாடிக்கையாளர் குளத்திற்குத் திருப்பி அனுப்ப வேண்டும். அந்தக் குளத்தை LAN-ல் வழித்தடமாக எடுத்துச் செல்லுங்கள், அல்லது சேவையகத்தில் மூல முகவரியை மொழிபெயர்த்து பதில்கள் சேவையகத்திற்கே திரும்ப வரும்படி செய்யுங்கள்.

இரண்டு பதில்களும் சட்டபூர்வமானவை, அவை வெவ்வேறு வழிகளில் தோல்வியடைகின்றன. திரும்பும் வழித்தடம் அசல் வாடிக்கையாளர் முகவரியை இலக்குக்குத் தெரியும்படி வைக்கிறது, இது பதிவுகளுக்கு நல்லது, LAN முகவரிகளை எண்ணும் தீச்சுவர் விதிகளுக்கு மோசம். மொழிபெயர்ப்பு LAN-ஐ எளிமையாக வைத்து இலக்கிலிருந்து வாடிக்கையாளர் அடையாளத்தை மறைக்கிறது.

sysctl net.ipv4.ip_forward
nft list ruleset | grep -A4 'chain forward'
ip route show table main | grep 10.8.0

சமச்சீரற்ற பாதை பொதுவான அறிகுறி: வாடிக்கையாளர் கோரிக்கை வருகிறது, பதில் வேறு திசைவழியாக வெளியேறுகிறது, இணைப்பு இரு முனைகளிலும் பிழையின்றி நேரம் முடிந்து நிற்கிறது. சுரங்கப்பாதையைப் பற்றி எந்த முடிவும் எடுப்பதற்கு முன் இரு பக்கங்களிலும் பதிவு செய்யுங்கள்.

alias ஏன் இரண்டாவது மண்டலத்தை உருவாக்காது

அதே அடாப்டரில் இரண்டாவது முகவரியைச் சேர்ப்பது, அல்லது இரண்டாவது துறையைப் பின்பற்ற dummy இடைமுகத்தை உருவாக்குவது மிகக் குறைவாகவே மாற்றுகிறது. பொட்டலங்கள் இன்னும் அதே இயற்பியல் இணைப்பு, அதே சுவிச் துறை மற்றும் பொதுவாக அதே தீச்சுவர் சங்கிலி வழியாகவே வெளியேறுகின்றன, எனவே அவற்றிடையே புதிய எல்லை உருவாகாது. இது அமைப்பு வசதி, பிரிவாக்கம் அல்ல. அதை மண்டல எல்லையாகக் கருதுவதே தனிமைப்படுத்தல் கூற்று காகிதத்தில் மட்டும் தப்பிப்பிழைக்கும் வழி.

தனி மண்டலத்திற்குப் பாதையில் உண்மையான பிரிப்பு தேவை, அந்தத் தேவையை இரண்டாவது அடாப்டர் நிறைவேற்றுகிறது. VPN நோக்கிய போக்குவரத்து LAN நோக்கிய போக்குவரத்துடன் ஒருபோதும் ஒளிபரப்பு களத்தைப் பகிர்ந்து கொள்ளக்கூடாது என்பதை ஒரு விதி சார்ந்திருந்தால், புரவலன் எவ்வாறு முகவரியிடப்பட்டாலும் ஒரு கேபிள் அந்தப் பண்பைத் தர முடியாது.

ஒரு குறிப்பிட்ட பயன்முறைக்கு ஒரு தயாரிப்பு பல இடைமுக அமைப்பை ஆவணப்படுத்தியிருந்தால், தீர்வைக் கண்டுபிடிக்காமல் அந்தத் தயாரிப்பின் ஆவணங்களைப் பின்பற்றுங்கள். விற்பனையாளர்கள் வெளியீடுகளுக்கிடையே ஆதரிக்கப்படும் அமைப்புகளையும் மாற்றுகிறார்கள், இது பழைய வழிகாட்டியின் திரைப்பிடிப்பை விட தற்போதைய வழிகாட்டியைப் படிக்க மற்றொரு காரணம்.

நீங்கள் அனுமதிக்கும் போக்குவரத்திற்கு எதிராக அமைப்பைச் சரிபார்க்கவும்

சேவையகம் சுமக்க வேண்டிய போக்குவரத்து வகைகளைப் பட்டியலிடுங்கள்: வாடிக்கையாளரிலிருந்து புரவலன், வாடிக்கையாளரிலிருந்து LAN, புரவலனிலிருந்து LAN, மற்றும் மறையாக்கப்பட்ட வெளி இணைப்பு. ஒவ்வொரு வகைக்கும் மூலம், இலக்கு மற்றும் இடைமுகம் உள்ளன, அமைப்பு நான்கையும் ஒரே நேரத்தில் நிறைவேற்ற வேண்டும். அவற்றில் மூன்றைக் கையாளும் வடிவமைப்பே பொதுவாக டிக்கெட்டுகளை உருவாக்குகிறது.

பின்னர் வடிவமைப்பு ஆவணத்தின் வரைபடத்தை அல்ல, உண்மையான இடைமுகங்களையும் உண்மையான பதிவையும் உறுதிப்படுத்துங்கள். கீழே உள்ள கட்டளைகள் இரண்டு காட்சிகளையும் அச்சிடுகின்றன.

ip -brief addr
ip route
tcpdump -ni any udp port 51820 -c 5
tcpdump -ni tun0 -c 5

வெளிப் பதிவு மறையாக்கப்பட்ட போக்குவரத்தையும் உள் பதிவு சுரங்கப்பாதை இடைமுகத்தில் மறைகுறி நீக்கப்பட்ட போக்குவரத்தையும் காட்டி, இயற்பியல் அடாப்டர் இரண்டையும் சுமந்தால், ஒரு NIC வேலையைச் செய்கிறது. உள் பதிவு காலியாக இருந்தால், சிக்கல் சுரங்கப்பாதையில் அல்லது அனுப்புதல் விதிகளில் உள்ளது, அடாப்டர் எண்ணிக்கையில் அல்ல. அந்த இரண்டு பதிவுகள் மற்றும் வழித்தட அட்டவணையிலிருந்து அமைப்பைத் தீர்மானியுங்கள், அடுத்த மாற்றத்திற்கு ஒப்பிட ஏதாவது இருக்கும்.