VPN சேவையகம் மற்றும் வாடிக்கையாளராக pfSense: இரண்டு பாதைகள், ஒரு ரவுட்டர்

ஒரு சாதனம் ஒரே நேரத்தில் இரு திசைகளில் பார்க்க முடியும்: நடமாடும் பயனர்கள் உள்ளே இணைகிறார்கள், அதே பெட்டி தேர்ந்தெடுக்கப்பட்ட போக்குவரத்து வேறு வலையமைப்பு வழியாக வெளியேற வெளியேற்ற வழங்குநரிடம் வெளியே இணைகிறது. இரு சேவைகளையும் இயக்க சில நிமிடங்கள் ஆகும்; அவற்றை ஒன்றாக வாழவைக்க ஒரு வடிவமைப்பு தேவை, ஏனெனில் இரண்டாவது பங்கு முதலில் தங்கியிருக்கும் வழித்தட அட்டவணையை மீண்டும் எழுதுகிறது. இந்த அமைப்பு வேலை செய்கிறதா என்பதை மூன்று நிபந்தனைகள் தீர்மானிக்கின்றன, அதாவது உள்நுழையும் சேவை தனது சொந்த திரும்பும் பாதையை வைத்திருக்கிறதா, வெளியேறும் சுரங்கம் இன்னும் தனது இணையை அடைகிறதா, மேலும் நீங்கள் அனுப்ப நினைத்த போக்குவரத்து வெளியேற்றத்திற்குத் தேர்ந்தெடுக்கப்படுகிறதா என்பதே. ஒன்றில் தவறினால் இரண்டும் இணைந்ததாகத் தெரிவிக்கும் ஆனால் அவற்றுக்கிடையே பயனுள்ள எதுவும் கடக்காத இரண்டு சுரங்கங்கள் கிடைக்கும். கீழே உள்ள சோதனைகள் ஒவ்வொரு நிபந்தனையையும் தோல்விகள் பொதுவாகத் தோன்றும் வரிசையில் நிறுவுகின்றன.

எந்த அமைப்பையும் தொடுவதற்கு முன் இரு பங்குகளுக்கும் பெயரிடுங்கள்

ஒவ்வொரு நிகழ்விற்கும் நான்கு உண்மைகளை எழுதுங்கள்: அதன் தொலை இணை, அதன் அங்கீகாரப் பொருள், அது விநியோகிக்கும் முகவரிக் குளம், மற்றும் அதன் பின்னால் உள்ள வலையமைப்புகள். இரு நிகழ்வுகளும் சாதனத்தில் தனித்தனி பொருட்கள் மற்றும் உங்கள் குறிப்புகளிலும் தனித்தனியாக இருக்க வேண்டும். பின்னர் வரும் கிட்டத்தட்ட ஒவ்வொரு குழப்பமான அறிகுறியும் அவற்றின் மதிப்புகள் கலப்பதிலிருந்து வருகிறது, ஒரே குறிப்புத் தொகுப்பைப் பகிரும் இரு நிகழ்வுகளே தவறான குளம் தவறான புலத்தில் வந்து சேரும் வழி.

உள்நுழையும் சேவைக்கு வெளியேறும் சுரங்கத்தின் முகவரிகளுடனோ சாதனம் வழிநடத்தும் எந்தத் தனியார் வலையமைப்புடனோ ஒன்றிணையாத சுரங்க வலையமைப்பு தேவை. ஒன்றிணைவே இரு பங்குகளிலும் ஒரே நேரத்தில் அறிகுறிகளை உருவாக்கும் ஒரே தவறு, மேலும் காகிதத்தில் அதைப் பிடிப்பது மிகவும் மலிவு. எந்தச் சேவையையும் அமைப்பதற்கு முன் இரு குளங்களையும் ஒவ்வொரு வழிநடத்தப்பட்ட தனியார் வலையமைப்பையும் ஒரே இடத்தில் ஒப்பிடுங்கள்.

பகிரப்பட்ட வன்பொருள் பகிரப்பட்ட சான்றுகள் என்று பொருள் அல்ல, மேலும் தொலை அணுகல் குளத்திலிருந்து வரும் வாடிக்கையாளர் சான்றிதழ் வெளியேற்ற வழங்குநருக்கு எதிராகப் பயன்படுத்தக்கூடியதாக இருக்கக் கூடாது. தனிப் பொருள் ரத்தையும் முழுக் கப்பற்படையின் நிகழ்வாக இல்லாமல் உள்ளூர் முடிவாக மாற்றுகிறது.

சேவையகத்தின் பதில்களை WAN பாதையில் வைத்திருங்கள்

சாதனம் தானே உருவாக்கும் பதில்கள் கவனக்குறைவான இயல்புநிலைப் பாதையின் முதல் இரையாகும். நடமாடும் பயனரின் மூடப்பட்ட பொதி வரும்போது, பதில் உள்ளூரில் தோன்றிய போக்குவரத்து மற்றும் அந்தப் பயனர் வந்த இடைமுகம் வழியாகவே வெளியேற வேண்டும். வெளியேறும் வாடிக்கையாளர் அதைப் பிடிக்கும் இயல்புநிலைப் பாதையை நிறுவியிருந்தால், பதில் தவறான சுரங்கத்திற்குள் செல்கிறது, சேவை இன்னும் ஆரோக்கியமாகத் தெரியும் நிலையில் அமர்வு நிற்கிறது.

இதைத் தீர்க்கும் ஒரே பெட்டி இல்லை, ஏனெனில் முடிவு வெளியேறும் வாடிக்கையாளர் எந்தப் போக்குவரத்தைப் பிடிக்கலாம் என்பதைப் பற்றியது. ஒன்று எந்தப் பாதையையும் இழுக்காமல் நீங்கள் தேர்ந்தெடுத்ததை மட்டும் அனுப்புங்கள், அல்லது பாதைகளை இழுத்து சாதனத்தின் சொந்தச் சேவைகள் இயங்க வைக்கும் விதிவிலக்குகளைச் சேருங்கள். தேர்வை நிகழ்வின் பக்கத்தில் எழுதுங்கள், இல்லையேல் அடுத்தவர் மற்றதைக் கருதுவார்.

netstat -rn | head -20
pfctl -sr | grep -i vpn
ifconfig | grep -A3 ovpn

வழித்தட அட்டவணையை நீண்ட பொருத்தத்தின் அடிப்படையில் படியுங்கள், நீங்கள் எதையாவது அமைத்த வரிசையில் அல்ல. கேள்வி என்னவென்றால் வெளியேற்ற இணையின் முகவரிக்கு எந்தப் பதிவு வெல்கிறது மற்றும் உள்நுழையும் சேவையின் பதிலுக்கு எந்தப் பதிவு வெல்கிறது, அந்த இரு பதில்களும் வேறுபடலாம்.

வெளியேறும் சுரங்கம் தனது சொந்த முடிவுப் புள்ளியை உண்ண விடாதீர்கள்

வெளியேறும் வாடிக்கையாளர் சுரங்கத்தை உருவாக்க தனது இணையின் பொது முகவரியை அடைய வேண்டும். அந்த முகவரியே சுரங்கத்திற்குள் வழிநடத்தப்பட்டால், வாடிக்கையாளர் தனது வாலைத் துரத்துகிறார்: போக்குவரத்து ஒருபோதும் மேலெழுவதில்லை, அல்லது மேலெழுந்து பாதை நிறுவப்படும் அந்தக் கணத்தில் விழுகிறது. பதிவு வழிநடத்தல் குறைபாட்டை விட அங்கீகார நேரம் முடிந்ததைப் போலத் தெரிகிறது, அதனால்தான் பாதை முதலில் சோதிக்கப்பட வேண்டும்.

சான்றுகளுக்கு முன் பாதையைச் சரிபார்த்து, சுரங்கம் மேலெழுந்த பிறகு மீண்டும், ஏனெனில் ஒரு பதிவு தொடக்கத்தில் சரியாகவும் ஒரு நிமிடம் கழித்துத் தவறாகவும் இருக்கலாம். இணையின் முகவரி சாதாரண WAN பாதையை நோக்கியிருக்க வேண்டும், ஒருபோதும் சுரங்க சாதனத்தை நோக்கி அல்ல. போக்குவரத்து நிலைத்ததும், சுவாரசியமான கேள்வி அனுப்பப்பட்ட போக்குவரத்திற்கு நகர்கிறது, அதுவே அடுத்த முடிவு.

netstat -rn | grep -F '198.51.100.10'
traceroute -n 198.51.100.10

எந்தப் பயனர்கள் வெளியேற்றத்தைப் பெறுவார்கள் என்பதைத் தேர்ந்தெடுங்கள்

மூலக் கொள்கை போக்குவரத்து சாதனத்திற்குள் நுழையும் நுழைவாயிலுக்கு உரியது, எனவே தொலை அணுகல் குளத்தையோ அதற்குள் உள்ள குறுகிய அடையாளங்களையோ தேர்ந்தெடுங்கள். ஒருபோதும் வெளியேற்றத்திற்கு அனுப்பக்கூடாத தனியார் இடங்களையும் நிர்வாக விதிவிலக்குகளையும் பாதுகாத்து, அந்த விதிகளை அகலமான விதிக்கு முன் வையுங்கள். பிறகு வெளியேற்ற பாதைக்கு அதன் சொந்த மொழிபெயர்ப்போ வழிநடத்தப்பட்ட திரும்பும் ஏற்பாடோ தேவை, இது பெரும்பாலான வடிவமைப்புகளில் குளத்தை மூடும் வெளியேற்ற இடைமுகத்தில் வெளியேறும் NAT என்பதாகும். மொழிபெயர்ப்பு வெளியேற்றத்தைத் தேர்ந்தெடுக்காது; ஏற்கனவே வெளியேறியதை மட்டும் மீண்டும் எழுதுகிறது, எனவே தொடர்பற்ற WAN இல் உள்ள NAT விதி தேர்வில் எதையும் மாற்றாது.

தொலை முனை இந்த வடிவமைப்பிலிருந்து அனுப்பப்படும் போக்குவரத்தை அனுமதிக்கிறதா என்பதை உறுதிசெய்யுங்கள், ஏனெனில் சில வழங்குநர்கள் அனுமதிக்கிறார்கள் சிலர் இல்லை. வேறுபாடு இணைக்கும் ஆனால் எதையும் சுமக்காத சுரங்கமாகத் தெரிகிறது, அதை உள்ளூர் குறைபாடாகப் படிப்பது எளிது. மூன்று ஓட்டங்களையும் தனித்தனியாகச் சோதியுங்கள், ஏனெனில் அவைத் தனித்தனியாகத் தோல்வியடைகின்றன, மூன்றில் இரண்டு என்பது பாதி கட்டப்பட்ட வடிவமைப்பு.

openvpn --config user07.ovpn
curl -sS https://ifconfig.me
curl --interface 10.10.10.1 -sS https://intranet.corp.example/health

முதல் கட்டளை நடமாடும் பயனரின் வெளிப்புற இணைப்பு, வாடிக்கையாளர் தொடக்க வரிசை முடிந்ததாகத் தெரிவிக்கும்போது அது வேலை செய்கிறது. இரண்டாவது அந்த இணைக்கப்பட்ட மடிக்கணினியிலிருந்து இயக்கப்படுகிறது மற்றும் உங்கள் WAN முகவரிக்குப் பதிலாக வெளியேற்ற வழங்குநரின் முகவரியைத் தெரிவிக்க வேண்டும். மூன்றாவது சாதனத்தில் குளத்தின் முகவரிக்குக் கட்டப்பட்டு இயங்குகிறது, எந்தத் தொலைப் பயனரையும் சேர்க்காமல் அனுப்பப்பட்ட போக்குவரத்திற்கான மூலக் கொள்கையைச் சோதிக்கிறது. அதற்குப் பதிலாக WAN இலிருந்து பதிலளித்தால், கொள்கை பொருந்தவில்லை, எந்த NAT திருத்தமும் தேர்வுச் சிக்கலைச் சரிசெய்யாது.

வெளியேற்றம் தோல்வியடையும்போது என்ன நடக்கும் என்பதை முடிவு செய்யுங்கள்

தோல்வி நடப்பதற்கு முன் அதன் நடத்தையை எழுதுங்கள்: வெளியேறும் சுரங்கம் விழும்போது பயனர்கள் சாதாரண WAN க்குத் திரும்புகிறார்களா அல்லது வெளியேற்றம் திரும்பும் வரை தடுக்கப்படுகிறார்களா? இரு பதில்களும் நியாயப்படுத்தக்கூடியவை, சாதனம் உங்களுக்குப் பதிலாகத் தேர்ந்தெடுக்காது. நீக்கப்பட்ட பாதையோ இறந்த நுழைவாயிலை நோக்கும் கொள்கையோ தானாக முழுத் தடுப்பு முடிவைத் தராது. தடுப்பு வேண்டுமானால், கொள்கை அதை வெளிப்படையாகச் சொல்ல வேண்டும், வெளியேற்றத்தை அகற்றிச் சோதிக்க வேண்டும், அதைப் பற்றி யோசிப்பதால் அல்ல. திரும்புதல் வேண்டுமானால், பயனர்களுக்கு அறிவியுங்கள், ஏனெனில் அமைதியாகச் சாதாரண பாதையை எடுக்கும் போக்குவரத்தே யாரோ மூடப்பட்டதாக நினைத்த போக்குவரத்து.

வாடிக்கையாளர் நிகழ்வை முடக்கி, இணைந்த பயனர் இன்னும் எதை அடைகிறார் என்பதைப் பார்த்து, பிறகு மீண்டும் தொடங்குங்கள். நேரம் முடியும் கோரிக்கையே நீங்கள் கேட்ட முழுத் தடுப்பு முடிவு; WAN முகவரியுடன் பதிலளிக்கும் கோரிக்கையே நீங்கள் ஆவணப்படுத்தாத திரும்புதல். IPv6 மற்றும் DNS க்கும் சோதனையை மீண்டும் செய்யுங்கள், ஏனெனில் IPv4 க்கு எழுதப்பட்ட கொள்கை AAAA போக்குவரத்தைப் பற்றி எதுவும் சொல்லாது, எந்தச் சுரங்கமும் தள்ளிய தீர்வி வினா உண்மையில் வெளியேறும் இடத்திலிருந்தே பதிலளிக்கிறது.

pfSsh.php playback svc stop openvpn client 2
curl --max-time 6 -sS https://ifconfig.me
pfSsh.php playback svc start openvpn client 2

வழிநடத்தப்பட்ட OpenVPN க்கான Netgate சமையல் குறிப்பு மூலக் கொள்கை, இடைமுக ஒதுக்கீடு மற்றும் வெளியேறும் மொழிபெயர்ப்பு எவ்வாறு பொருந்துகின்றன என்பதைக் காட்டுகிறது, அதன் தளத்திலிருந்து தளம் வரையிலான எல்லையே முழுமையாக நகலெடுக்கக் கூடாத பகுதி. அது உங்களுக்குச் சொல்லாதது மேலே உள்ள மூன்று நிபந்தனைகளில் எதை உங்கள் சொந்த வடிவமைப்பு ஏற்கனவே உடைத்துள்ளது என்பதே.