Raspberry Pi-இல் VPN நுழைவாயில்: ஒரு பிணைய அட்டை அல்லது தனி வாடிக்கையாளர் துறை
Pi-இன் ஒரு துறை தேர்ந்தெடுத்த வாடிக்கையாளர்களுக்குச் சேவை செய்யலாம், அல்லது இரண்டாவது துறை சாதனங்களை உள்ளே அடைக்கலாம். தனிமைப்படுத்தல், மாற்று வழிக் கொள்கை மற்றும் DNS யாருக்குச் சொந்தம் என்பதன் அடிப்படையில் அமைப்பைத் தேர்ந்தெடுக்கவும்.
உங்களிடம் ஒரு Pi, செயல்படும் வெளியேறும் VPN சுயவிவரம், மற்றும் அதன் வழியாக இணையத்தை அடைய வேண்டிய இரண்டு சாதனங்கள் உள்ளன. முழு கட்டமைப்பையும் தீர்மானிக்கும் கேள்வி எந்த வழிகாட்டியைப் பின்பற்றுவது என்பதல்ல, எவ்வளவு தனிமைப்படுத்தல் தேவை என்பதே. ஒரு துறை Pi-ஐ அந்தச் சாதனங்களுக்கு அருகில் திசைவியின் LAN-இல் இருக்கவும் கூடுதல் நுழைவாயிலாகச் செயல்படவும் அனுமதிக்கிறது; இரண்டாவது துறை அவற்றை Pi ஒரே வழியாக இருக்கும் பிரிவில் வைக்க அனுமதிக்கிறது. அந்தத் தேர்வுக்குப் பிறகு அனைத்தும் — DHCP, தீவனச் சுவரின் வீச்சு, DNS, துண்டிப்பு நிலை — அதிலிருந்தே வருகிறது.
இரு அமைப்புகளும் உண்மையில் எதில் வேறுபடுகின்றன
இரு வடிவமைப்புகளும் திசைவழி செய்கின்றன. வேறுபாடு என்னவென்றால் கம்பியில் வேறு யார் நிற்கிறார்கள், உங்கள் கொள்கை தவறாக இருக்கும்போது என்ன நடக்கிறது என்பதே.
| Layout A: Pi on the ISP LAN | Layout B: dedicated client port | |
|---|---|---|
| Cabling | One Ethernet port, existing switch port | Two interfaces: uplink plus a separate LAN port |
| Can a client bypass the Pi? | Yes, by using the ISP router as its gateway | No, unless the device has another radio or link |
| Who hands out addresses | The ISP router, with a per-client setting or a DHCP option | The Pi, on its own LAN interface only |
| Blast radius of a mistake | Any LAN host, if a rule is too broad | The attached segment |
| Good fit for | One laptop, a console, a temporary test client | Appliances, always-on boxes, untrusted devices |
உண்மையான அச்சு தனிமைப்படுத்தல். அமைப்பு A அறிவுறுத்தல் வகை: DHCP வழங்கிய நுழைவாயிலைப் புறக்கணித்து திசைவியைத் தேர்ந்தெடுக்கும் சாதனம் மறையாக்கம் இல்லாமலேயே இயங்கும். அமைப்பு B இயற்பியல் அமைப்பால் வலியுறுத்தப்படுகிறது, ஏனெனில் தேர்ந்தெடுக்க வேறு அடுத்த படி இல்லை.
அமைப்பு A: ஏற்கனவே உள்ள LAN-இல் கூடுதல் நுழைவாயிலாக Pi
ISP திசைவி 192.168.50.1, Pi 192.168.50.2, மற்றும் தேர்ந்தெடுத்த வாடிக்கையாளர்கள் Pi-ஐ நோக்குகின்றன என்று வைத்துக்கொள்வோம். முக்கியமானது என்னவென்றால் இரண்டு வெவ்வேறு பொதி ஓட்டங்கள் ஒரே கம்பியைப் பகிர்கின்றன. வாடிக்கையாளரின் உள் பொதி Pi-ஐ அடைந்து சுரங்கப்பாதை வழியாக வெளியேற வேண்டும்; Pi-இன் சொந்த மறையாக்கப்பட்ட பொதி VPN துணைக்கு அதே கம்பி வழியாக திசைவியை நோக்கி வெளியேற வேண்டும். அவை ஒரே இடைமுகத்தில் எதிர் திசைகளில் பயணிக்கின்றன, வெவ்வேறு கையாளுதல் தேவை.
Pi-க்கு அதன் முகவரியை நிறுவப்பட்ட பிணைய மேலாளர் வழியாக வழங்குங்கள், சாதனத்திற்காக அதனுடன் போராடும் பழைய இடைமுகக் கோப்பு செய்முறை வழியாக அல்ல. பின்னர் வாடிக்கையாளர்களை அமைக்கவும்: ஒரு சாதனத்தில் நிலையான நுழைவாயில், அல்லது 192.168.50.2-ஐ திசைவியாக வழங்கும் DHCP ஒதுக்கீடு. இரண்டு சாதனங்களுக்காக திசைவியின் முழு DHCP வீச்சையும் மாற்ற வேண்டாம், வாடிக்கையாளர் அந்த விருப்பத்தை மதிக்கிறார் என்று கருத வேண்டாம் — சரிபார்க்கவும்.
பலவீனம் கட்டமைப்பு ரீதியானது, சரிசெய்ய முடியாதது. அந்தப் பிரிவில் உள்ள எந்த வாடிக்கையாளரும் 192.168.50.1-ஐ நோக்கி திறந்த நிலையில் வெளியேறலாம், இரண்டாவது இடைமுகம் அல்லது கைபேசி வானொலி உள்ள சாதனம் உங்கள் அமலாக்கப் பாதையை முழுமையாக விட்டு விடுகிறது. அந்த வாக்கியம் சம்பந்தப்பட்ட சாதனத்திற்கு ஏற்றுக்கொள்ள முடியாதது என்றால், பதில் ஏற்கனவே உங்களிடம் உள்ளது: அமைப்பு B-ஐப் பயன்படுத்துங்கள்.
அமைப்பு B: தனித் துறை சாதனங்களை உள்ளே அடைக்கிறது
இங்கே Pi மேல்நோக்கிய இணைப்பில் நுழைவாயில் 192.168.50.1 உடன் 192.168.50.2-ஐ வைத்துக்கொண்டு, இணைக்கப்பட்ட சாதனங்களுக்காக இரண்டாவது இடைமுகத்தில் 10.20.0.1/24-ஐ எடுக்கிறது. இப்போது Pi இரண்டு பிணையங்கள் கொண்ட திசைவி, இணைக்கப்பட்ட பிரிவுக்கு சரியாக ஒரு வெளியேறும் வழி உள்ளது.
உறுதியளிக்கும் முன் வீச்சை மற்ற அனைத்துடனும் சரிபார்க்கவும்: சுரங்கப்பாதையின் சொந்த துணைப் பிணையம், பிற தளங்களுக்கு இடையிலான முன்னொட்டுகள், VPN வழியாக அடையக்கூடிய அனைத்தும். தொலைதூர LAN-உடன் மோதும் 10.20.0.0/24 ஒரு மாலை நேரம் நோயறிதலுக்கு எடுக்கும் அரை-வேலை முடிவைத் தருகிறது. இரண்டாவது துறை USB தகவமைப்பான் என்றால், அது ஆதரிக்கப்படுகிறது என்பதை உறுதிசெய்து, மீள் தொடக்கத்திற்குப் பின் மறுவரிசை உங்கள் LAN முகவரியை நகர்த்தாதிருக்க அதன் பெயரை பிணைய மேலாளரில் பொருத்தவும்.
DHCP கேட்பியை அந்த இடைமுகத்தில் மட்டும் இயக்கவும். மேல்நோக்கிய இணைப்பில் பதிலளிக்கும் சேவையகம் ISP திசைவியுடன் போட்டியிடுகிறது, உங்கள் பிரிவின் முகவரிகளை வீட்டின் மற்ற பகுதிக்கு வழங்குகிறது. அதை LAN இடைமுகத்தில் பிணைத்து, அறிவிக்கப்பட்ட வீச்சுக்கு வரம்பிட்டு, Pi-இன் சொந்த முகவரியை குளத்திற்கு வெளியே வைக்கவும்.
முன்னனுப்பல், மொழிபெயர்ப்பு மற்றும் தோல்வியில் மூடும் விதி
நான்கு விஷயங்கள் பெரும்பாலும் ஒன்றாக விவரிக்கப்படுகின்றன, ஆனால் ஒன்றல்ல. முன்னனுப்பலை இயக்குவது (net.ipv4.ip_forward=1) கர்னலுக்கு இடைமுகங்களுக்கு இடையே பொதிகளை நகர்த்தலாம் என்று மட்டுமே சொல்கிறது; அது தானாக எதையும் அனுமதிக்காது, எந்தப் பாதையையும் உறுதி செய்யாது. வெளியேறும் வழியைத் தேர்ந்தெடுப்பது திசைவழி முடிவு. பொதியை அனுமதிப்பது forward சங்கிலியில் கொள்கை முடிவு. அதன் மூலத்தை மீண்டும் எழுதுவது postrouting முடிவு. முதலாவதை மட்டும் செய்யும் கட்டமைப்பு வாடிக்கையாளர் போக்குவரத்தை மகிழ்ச்சியுடன் மேல்நோக்கிய இணைப்பு வழியாக வெளியே அனுப்பும் Pi-ஐத் தருகிறது.
அனுமதியை நீங்கள் கருதிய மூலங்களுக்கும், போக்குவரத்து பயன்படுத்த வேண்டிய இடைமுகத்திற்கும் வரம்பிடுங்கள், திரும்பும் பாதையையும் Pi-க்குத் தேவையான இடங்களையும் சேர்க்கவும். பின்னர் வழங்குநர் உங்கள் LAN முன்னொட்டை உங்களை நோக்கித் திருப்பி திசைவழி செய்யவில்லை என்றால் சுரங்கப்பாதையின் வெளியேற்றத்தில் மொழிபெயர்க்கவும். nftables கையேடு முன்னனுப்பல், உள்ளூர் வெளியீடு மற்றும் மூல மொழிபெயர்ப்பை தனித்தனி செயல்பாடுகளாகக் கருதுகிறது, இது இங்கே சரியான சிந்தனை மாதிரி.
பொதுவான தோல்வி இயற்பியல் இடைமுகத்தில் பரந்த masquerade விதி. அப்போது போக்குவரத்து ISP பாதை வழியாக இணையத்தை அடைகிறது, ஆனால் வாடிக்கையாளர் பக்கத்திலிருந்து அது இயங்கும் VPN போலவே தெரிகிறது. அது எதையும் நிரூபிக்காது. மொழிபெயர்ப்பை அறிவிக்கப்பட்ட வெளியேற்றத்துடன் பிணைத்து வைத்திருங்கள், விதிகளை ஹோஸ்ட் ஏற்கனவே பயன்படுத்தும் தீவனச் சுவரிலேயே வைத்திருங்கள், பகிரப்பட்ட postrouting சங்கிலியை காலி செய்யும் போட்டி விதித்தொகுப்பைச் சேர்ப்பதற்குப் பதிலாக.
பின்னர் சுரங்கப்பாதை இல்லாத நிலையைக் கையாளுங்கள். பரந்த இயல்புநிலை வழியை நிறுவும் வாடிக்கையாளர் சுயவிவரம் என்றால், சுரங்கப்பாதை விழும்போது சாதாரண இயல்புநிலை திரும்பி வரலாம், வாடிக்கையாளர் போக்குவரத்து அமைதியாக மேல்நோக்கிய இணைப்புக்குத் திரும்புகிறது என்பதும் பொருள். எங்கே தெளிவான உரைக்குத் திரும்புவது ஏற்றுக்கொள்ள முடியாததோ, அங்கே forward கொள்கை வாடிக்கையாளரிலிருந்து மேல்நோக்கிய இணைப்புக்கான போக்குவரத்தை வெளிப்படையாக மறுக்க வேண்டும், VPN பாதை போன நிலையில். அதை அனுமானமாக அல்ல, மறுப்பு விதியாக எழுதுங்கள். Pi-இன் சொந்த மறையாக்கப்பட்ட போக்குவரத்து VPN துணைக்கு தனி local-output ஓட்டம், அது அனுமதிக்கப்பட்டே இருக்க வேண்டும், இல்லையேல் சுரங்கப்பாதை ஒருபோதும் திரும்ப முடியாது.
DNS மற்றும் IPv6-க்கு அவற்றின் சொந்த பதில் தேவை
வாடிக்கையாளர்கள் Pi-ஐ தீர்வியாகப் பயன்படுத்தினால், அவர்கள் உள்ளூர் கேட்பியை அடைகிறார்கள், Pi புதிய வினவலைத் தொடங்குகிறது. அந்த மேல்நோக்கிய வினவல் வாடிக்கையாளர்களுக்காக நீங்கள் எழுதிய forward விதியை அல்ல, Pi-இன் சொந்த பாதையைப் பின்பற்றுகிறது, எனவே சுரங்கப்பாதை வழியாக மட்டும் செல்லும் வாடிக்கையாளர் பாதை மற்றும் நேரடியாக வெளியேறும் தீர்வி — இது எந்தப் பிழைச் செய்தியும் இல்லாத கசிவு. வேண்டுமென்றே முடிவு செய்யுங்கள்: சுரங்கப்பாதை வழியாக அடையக்கூடிய தீர்வி, அல்லது நேரடியாக ஏற்கும் உள்ளூர் தீர்வி, Pi-இன் சொந்த வெளியீட்டுக் கொள்கையை அந்த முடிவுடன் பொருந்தச் செய்யுங்கள்.
IPv6 மீண்டும் தனி நிலை. IPv4-க்கான forward விதி IPv6 பற்றி எதையும் வரம்பிடாது, மேல்நோக்கிய இணைப்பில் உள்ள திசைவி அறிவிப்புகள் Pi-க்கும், அதன் வழியாக இணைக்கப்பட்ட பிரிவுக்கும், உங்கள் கொள்கையைத் தவிர்க்கும் இரண்டாவது இயல்புநிலையைத் தரலாம். ஒன்று அதே கொள்கையில் IPv6-க்கு அதன் சொந்த பாதுகாக்கப்பட்ட பாதையைக் கொடுங்கள், அல்லது வாடிக்கையாளர் பிரிவில் அதை வெளிப்படையாக வரம்பிட்டு அதைச் சொல்லுங்கள்.
நம்புவதற்கு முன் எல்லையைச் சோதியுங்கள்
நான்கு தனித்தனி சரிபார்ப்புகளுக்குப் பிறகே வடிவமைப்பை ஏற்றுக்கொள்ளுங்கள், ஏனெனில் கவரும் ஒற்றைச் சோதனை — ஒரு வாடிக்கையாளரில் உலாவியைத் திறப்பது — பல உடைந்த நிலைகளில் தேர்ச்சி பெறுகிறது.
ஒரு உண்மையான வாடிக்கையாளர் சுரங்கப்பாதை வழியாக இணையத்தை அடைகிறார் என்பதை உறுதிசெய்து, பின்னர் அதே வாடிக்கையாளர் சுரங்கப்பாதை கீழே இருக்கும்போது இணையத்தை அடைய முடியாது என்பதை உறுதிசெய்யுங்கள். DNS தீர்வு செயல்படுகிறது என்பதையும் வினவல் நீங்கள் கருதிய இடத்திலிருந்து வெளியேறுகிறது என்பதையும் உறுதிசெய்யுங்கள். சுரங்கப்பாதை மீள் தொடக்கத்திற்குப் பிறகும் Pi-இன் சொந்த போக்குவரத்து செயல்படுகிறது என்பதையும், மீட்புக்கு இயந்திர மீள் தொடக்கம் தேவையில்லை என்பதையும் உறுதிசெய்யுங்கள். இறுதியாக, நீங்கள் தேர்ந்தெடுக்காத சாதனத்தைச் சரிபார்க்கவும்: அமைப்பு A-வில் அது வழக்கம்போல் இயங்க வேண்டும், அமைப்பு B-வில் அது அந்தப் பிரிவில் இருக்கவே கூடாது.
- இரண்டு துறைகளும் மறுப்பு விதியும் அமலாக்கத்தைத் தருகின்றன; ஒரு துறையும் DHCP விருப்பமும் அறிவுரை தருகின்றன.
- தவறான இடைமுகத்தில் மொழிபெயர்ப்பு வெற்றி போலத் தெரிகிறது, அது அல்ல.
- Pi-இன் சொந்த போக்குவரத்து, DNS மற்றும் IPv6 ஒவ்வொன்றும் முடிவு தேவை, ஊகம் அல்ல.