VPN வழியில் அடுத்த ஹாப்: கேட்வே உள்ளூரில் அடையக்கூடியதாக இருக்க வேண்டியதன் காரணம்

VPN நெட்வொர்க்கிற்குச் செல்லும் வழி குழப்பிக்கொள்ள எளிதான இரண்டு முகவரிகளைச் சுமக்கிறது: பாக்கெட் அடைய முயலும் இலக்கு முன்னொட்டு மற்றும் அதை ஒரு அடி நெருக்கமாக நகர்த்தும் அடுத்த ஹாப். ஒரு LAN ஹோஸ்டில், அந்த அடுத்த ஹாப் அதே இணைப்பில் நீங்கள் உண்மையில் அடையக்கூடிய ஒரு ரவுட்டராக இருக்க வேண்டும். தொலைதூர VPN முகவரி அடுத்த ஹாப் அல்ல, உங்கள் மனதில் உள்ள இலக்குடன் அது எவ்வளவு நேர்த்தியாகப் பொருந்தினாலும்.

இந்தக் கையேடு வழக்கமான நிலையை உள்ளடக்குகிறது: 192.168.20.0/24 இல் ஒரு மடிக்கணினி, LAN முகவரி 192.168.20.5 கொண்ட VPN கேட்வே, மற்றும் அந்தக் கேட்வேக்குப் பின்னால் 10.70.0.0/24 தொலைதூர நெட்வொர்க். கீழேயுள்ள அனைத்துக் கட்டளைகளும் நீங்கள் மடிக்கணினியில் இருக்கிறீர்கள் என்று கருதுகின்றன, வேறுவிதமாகக் கூறப்படாவிட்டால்.

இரண்டு முகவரிகள், ஒரு வழி

எண்ணப்பட்ட பதிவு 10.70.0.0/24 via 192.168.20.5. முன்னொட்டு பாக்கெட் எங்கே செல்கிறது என்பதைக் கூறுகிறது; via முகவரி அதை அங்கே யார் எடுத்துச் செல்கிறார் என்பதைக் கூறுகிறது. நீங்கள் பெயரிடும் இடைமுகம் வழியாக கேட்வேயை அடைய முடியாத வழியை நிறுவ கர்னல் மறுக்கிறது, அந்த மறுப்பே முழு விஷயம்: அடையக்கூடியதாக இருக்கச் சுரங்கப்பாதை தேவைப்படும் அடுத்த ஹாப், சுரங்கப்பாதையைக் கட்டும் அடுத்த ஹாபாக இருக்க முடியாது.

எனவே முதல் சோதனை «கேட்வே இயங்குகிறதா» அல்ல, «கேட்வே இந்த இணைப்பில் உள்ளதா» என்பதே. மடிக்கணினியின் சொந்த சப்நெட், அதன் ARP அல்லது அண்டைப் பதிவு, மற்றும் வழியில் உள்ள இடைமுகம் — அனைத்தும் ஒத்துப்போக வேண்டும். 10.70.0.0/24 இற்குள் மட்டுமே உள்ள முகவரி இரண்டாவது வழியின் இலக்காக இருக்கலாம், ஆனால் முதல் வழியின் via ஒருபோதும் இருக்க முடியாது.

அடுத்த ஹாப் கேட்வேயை எதற்குக் கட்டுப்படுத்துகிறது

மடிக்கணினியில் வழியை நிறுவுவது முதல் கையளிப்பை மட்டுமே தீர்மானிக்கிறது. பிறகு கேட்வேக்கு அதன் சொந்தப் பாதை தேவை: இயக்கப்பட்ட முன்னனுப்பல், 10.70.0.0/24 இற்கான சுரங்கப்பாதை வழி, மற்றும் யார் இதைப் பயன்படுத்தலாம் என்பதை நிர்ணயிக்கும் எந்த அணுகல் கொள்கையும். Linux இல் அது net.ipv4.ip_forward=1 மற்றும் ஒரு சுரங்கப்பாதை வழி; அதற்கு முன்னால் உள்ள ஃபயர்வாலுக்கு முன்னனுப்பப்படும் ஓட்டத்தை அனுமதிக்கும் விதி தேவை.

திரும்பும் திசை மக்கள் மறக்கும் பகுதி. தொலைதூரப் பக்கம் 192.168.20.0/24 இற்குத் திரும்பும் வழியைக் கொண்டிருக்க வேண்டும், அல்லது வடிவமைப்பு மடிக்கணினியின் மூலத்தைத் தொலைதூரப் பக்கம் அறிந்த ஒன்றாக மொழிபெயர்க்க வேண்டும். கேட்வேயிலிருந்து வேலை செய்யும் ping, கேட்வே தொலைதூர நெட்வொர்க்கை அடைய முடியும் என்பதை நிரூபிக்கிறது; மடிக்கணினியின் பாக்கெட்டுகள் திரும்பும் பயணத்தில் தப்பிப் பிழைக்கின்றனவா என்பதைப் பற்றி அது எதுவும் கூறவில்லை.

அனுப்பும் ஹோஸ்டிலிருந்து தேடலைச் சரிபாருங்கள்

எந்த அடுத்த ஹாப்பைக் கர்னல் தேர்ந்தெடுக்கும் என்று கேளுங்கள், பதிலில் உள்ள இடைமுகத்தைப் படியுங்கள்:

ip route get 10.70.0.10
ip route show 10.70.0.0/24
ip neigh show 192.168.20.5

தேடல் கேட்வேயையும் LAN இடைமுகத்தையும் தெரிவித்தால், முதல் பகுதி எண்ணியபடி அமைக்கப்பட்டுள்ளது. அது சுரங்கப்பாதை சாதனத்தைத் தெரிவித்தால், அட்டவணையில் முன்புள்ள ஒன்று மேலும் குறிப்பிட்டதாக உள்ளது, அது வெல்கிறது. வழி அறவே நிறுவப்படாவிட்டால், கேட்வே அடையக்கூடியதல்ல என்று கர்னல் உங்களுக்குக் கூறுகிறது, அந்தச் செய்தி எந்தப் பாக்கெட் பிடிப்பையும் விட பயனுள்ளது.

பிறகு சரியான இடத்திலிருந்து சோதனையை மீண்டும் செய்யுங்கள். கேட்வேயில் உருவாக்கப்பட்ட கோரிக்கை கேட்வேயின் சொந்த மூல முகவரியைப் பயன்படுத்துகிறது, இது காணாமல் போன திரும்பும் வழியையோ சில மூலங்களுக்கு மட்டும் அனுமதி அளிக்கும் கொள்கையையோ மறைக்கலாம். ip-route கையேடு இலக்கு, கேட்வே மற்றும் onlink மேலெழுதலைப் பிரிக்கிறது, மேலெழுதலைப் பயன்படுத்துவதற்கு முன் புரிந்துகொள்வது மதிப்புள்ளது.

அடையக்கூடிய தன்மையைப் போலியாகக் காட்ட onlink பயன்படுத்த வேண்டாம்

onlink கர்னலுக்கு கேட்வேயின் அடையக்கூடிய சோதனையைத் தவிர்த்துவிட்டு இருந்தாலும் அங்கே அனுப்பச் சொல்கிறது. அது பாதையை உருவாக்காது, இல்லாத முகவரிக்கு ARP தீர்க்காது, உங்கள் Ethernet பிரிவில் தொலைதூர ரவுட்டரைப் பதிலளிக்க வைக்காது. பதிலளிக்கும் ஆனால் இணைக்கப்பட்ட சப்நெட்டில் இல்லாத கேட்வேகளுக்கு இது செல்லுபடியாகும், நீங்கள் விளக்காத பிழையை அமைதிப்படுத்தப் பயன்படுத்தினால் இது ஒரு பொறி.

வழி onlink உடன் மட்டுமே நிறுவப்பட்டால், அடுத்த கேள்வி கேட்வே நீங்கள் நினைக்கும் இடத்தில் ஏன் இல்லை என்பதே. தவறான VLAN, தவறான இடைமுகத்தில் இரண்டாவது முகவரி, அல்லது கடைசி ஆக்டெட்டில் தட்டச்சுப் பிழை — இவை அனைத்தும் இதை உருவாக்குகின்றன, அவற்றில் ஒவ்வொன்றும் போக்குவரத்து பாயத் தொடங்கியதும் திரும்பும் பாதையையும் உடைக்கிறது.

புள்ளி-முதல்-புள்ளி சுரங்கப்பாதைகள் Ethernet அல்ல

சுரங்கப்பாதை சாதனம் ARP செய்யாது, பல நேரங்களில் அண்டைக்காரர்களின் அர்த்தமுள்ள சப்நெட்டும் இருக்காது. அதன் வழிகள் பல நேரங்களில் 10.70.0.0/24 dev tun0 போலத் தோன்றும், எந்த via இல்லாமல், ஏனெனில் இணை மட்டுமே மற்றொரு முனை. அந்த அட்டவணையில் LAN பாணி via ஐ நகலெடுத்தால், கர்னல் நிராகரிக்கக்கூடிய வழியோ, மோசமானது, இணை ஒருபோதும் பதிலளிக்காத முகவரியைச் சுட்டிக்காட்டும் வழியோ உருவாகும்.

கையேட்டில் இரண்டு மாதிரிகளையும் தனித்தனியாக வைத்திருங்கள்: LAN வழிக்கு அடையக்கூடிய கேட்வே உண்டு, சுரங்கப்பாதை வழிக்கு இடைமுகமும் இணையும் உண்டு. WireGuard, OpenVPN மற்றும் IPsec அனைத்தும் சற்று வேறுபட்ட வடிவங்களைக் காட்டுகின்றன, எனவே ஒரு ஹோஸ்டிலிருந்து பொதுமைப்படுத்துவதற்குப் பதிலாக நீங்கள் உண்மையில் பயன்படுத்திய வடிவத்தைப் பதிவு செய்யுங்கள்.

சேர்க்கவும், உறுதிப்படுத்தவும், திரும்பப் பெறவும்

முழு மாற்றமும் மூன்று கட்டளைகள் மற்றும் ஒரு சோதனை, அதை அதே வரிசையில் எழுத வேண்டும்:

sudo ip route add 10.70.0.0/24 via 192.168.20.5
ip route get 10.70.0.10
ping -c 3 10.70.0.10
sudo ip route del 10.70.0.0/24 via 192.168.20.5

பாதையை உறுதிப்படுத்துங்கள், ஒரு இலக்கை உறுதிப்படுத்துங்கள், பிறகு மாற்றம் ஹோஸ்டை நீங்கள் எதிர்பார்க்காத வகையில் அடைய முடியாததாக்கினால் நீக்கும் வரியைத் தயாராக வைத்திருங்கள். வழி மறுதொடக்கத்திற்குப் பிறகும் நீடிக்க வேண்டுமானால், அதை shell சுயவிவரத்தில் அல்ல, ஹோஸ்டின் நெட்வொர்க் கட்டமைப்பில் வைத்து, அதை நம்புவதற்கு முன் மறுதொடக்கத்தைச் சோதியுங்கள். தன்னைச் சேர்த்த shell இல் மட்டுமே உள்ள வழி நீங்கள் இருமுறை பிழைதிருத்தும் வழி.