VPN సర్వర్ మరియు క్లయింట్‌గా pfSense: రెండు మార్గాలు, ఒక రౌటర్

ఒక పరికరం ఒకేసారి రెండు దిశలకు చూడగలదు: తిరిగే వినియోగదారులు లోపలికి కనెక్ట్ అవుతారు, అదే పెట్టె ఎంచుకున్న ట్రాఫిక్ మరో నెట్‌వర్క్ ద్వారా బయటకు వెళ్లేందుకు బయట నిష్క్రమణ ప్రదాతకు కనెక్ట్ అవుతుంది. రెండు సేవలను ప్రారంభించడానికి నిమిషాలు పడతాయి; వాటిని కలిసి నిలబెట్టడానికి ఒక రూపకల్పన అవసరం, ఎందుకంటే రెండో పాత్ర మొదటిది ఆధారపడే రూటింగ్ పట్టికను తిరిగి రాస్తుంది. ఈ ఏర్పాటు పనిచేస్తుందా అని మూడు షరతులు నిర్ణయిస్తాయి, అవి లోపలికి వచ్చే సేవ తన సొంత తిరిగి వెళ్లే మార్గాన్ని ఉంచుకుంటుందా, బయటకు వెళ్లే సొరంగం ఇంకా తన జోడిని చేరుతుందా, మరియు మీరు పంపాలనుకున్న ట్రాఫిక్ నిష్క్రమణ కోసం ఎంపిక అవుతుందా. ఒకదానిలో తప్పు జరిగితే రెండూ కనెక్ట్ అయ్యాయని నివేదించే కానీ వాటి మధ్య ఉపయోగకరమైనది ఏదీ దాటని రెండు సొరంగాలు లభిస్తాయి. క్రింది తనిఖీలు ప్రతి షరతును వైఫల్యాలు సాధారణంగా కనిపించే క్రమంలో నిర్ధారిస్తాయి.

ఏ సెట్టింగ్‌ను తాకే ముందు రెండు పాత్రలకు పేరు పెట్టండి

ప్రతి ఇన్‌స్టాన్స్‌కు నాలుగు వాస్తవాలు రాయండి: దాని దూరపు జోడి, దాని ప్రామాణీకరణ పదార్థం, అది పంచే చిరునామా పూల్, మరియు దాని వెనుక ఉన్న నెట్‌వర్క్‌లు. రెండు ఇన్‌స్టాన్స్‌లు పరికరంపై వేర్వేరు వస్తువులు మరియు మీ నోట్స్‌లో కూడా వేరుగా ఉండాలి. తర్వాత వచ్చే దాదాపు ప్రతి గందరగోళ లక్షణం వాటి విలువలు కలిసిపోవడం నుండి వస్తుంది, ఒకే నోట్స్ సెట్‌ను పంచుకునే రెండు ఇన్‌స్టాన్స్‌లే తప్పు పూల్ తప్పు ఫీల్డ్‌లో చేరే మార్గం.

లోపలికి వచ్చే సేవకు బయటకు వెళ్లే సొరంగం చిరునామాలతో గానీ పరికరం రూట్ చేసే ఏ ప్రైవేట్ నెట్‌వర్క్‌తో గానీ అతిపాతం కాని సొరంగ నెట్‌వర్క్ అవసరం. అతిపాతమే రెండు పాత్రల్లో ఒకేసారి లక్షణాలు కలిగించే ఏకైక తప్పు, మరియు కాగితంపై దాన్ని పట్టుకోవడం చాలా చవకైనది. ఏదైనా సేవను కాన్ఫిగర్ చేసే ముందు రెండు పూల్లను మరియు ప్రతి రూట్ చేసిన ప్రైవేట్ నెట్‌వర్క్‌ను ఒకే చోట పోల్చండి.

పంచుకున్న హార్డ్‌వేర్ అంటే పంచుకున్న ఆధారాలు కాదు, మరియు దూర ప్రాప్యత పూల్ నుండి వచ్చిన క్లయింట్ ధృవపత్రం నిష్క్రమణ ప్రదాతకు వ్యతిరేకంగా ఉపయోగించగలిగి ఉండకూడదు. వేరైన పదార్థం రద్దును కూడా మొత్తం దళం సంఘటనకు బదులు స్థానిక నిర్ణయంగా మారుస్తుంది.

సర్వర్ ప్రతిస్పందనలను WAN మార్గంలో ఉంచండి

పరికరం తనే సృష్టించే ప్రతిస్పందనలు నిర్లక్ష్య డిఫాల్ట్ మార్గానికి మొదటి బలి. తిరిగే వినియోగదారు ప్యాకెట్ వచ్చినప్పుడు, ప్రతిస్పందన స్థానికంగా పుట్టిన ట్రాఫిక్ మరియు ఆ వినియోగదారు వచ్చిన ఇంటర్‌ఫేస్ ద్వారానే బయటకు వెళ్లాలి. బయటకు వెళ్లే క్లయింట్ దాన్ని పట్టుకునే డిఫాల్ట్ మార్గాన్ని ఇన్‌స్టాల్ చేసి ఉంటే, ప్రతిస్పందన తప్పు సొరంగంలోకి వెళ్తుంది మరియు సేవ ఇంకా ఆరోగ్యంగా కనిపిస్తుండగానే సెషన్ ఆగిపోతుంది.

దీన్ని పరిష్కరించే ఒకే చెక్‌బాక్స్ లేదు, ఎందుకంటే నిర్ణయం బయటకు వెళ్లే క్లయింట్ ఏ ట్రాఫిక్‌ను పట్టుకోవచ్చు అనే దానిపై ఉంది. ఒకటి ఏ మార్గాన్ని లాగకుండా మీరు ఎంచుకున్నది మాత్రమే పంపండి, లేదా మార్గాలను లాగి పరికరం సొంత సేవలు నడిచేలా ఉంచే మినహాయింపులను జోడించండి. ఎంపికను ఇన్‌స్టాన్స్ పక్కన రాయండి, లేకపోతే తర్వాతి వ్యక్తి మరొకటి ఊహిస్తారు.

netstat -rn | head -20
pfctl -sr | grep -i vpn
ifconfig | grep -A3 ovpn

రూటింగ్ పట్టికను పొడవైన సరిపోలిక ప్రకారం చదవండి, మీరు ఏదైనా కాన్ఫిగర్ చేసిన క్రమం ప్రకారం కాదు. ప్రశ్న ఏమిటంటే నిష్క్రమణ జోడి చిరునామాకు ఏ నమోదు గెలుస్తుంది మరియు లోపలికి వచ్చే సేవ ప్రతిస్పందనకు ఏ నమోదు గెలుస్తుంది, ఆ రెండు సమాధానాలు భిన్నంగా ఉండవచ్చు.

బయటకు వెళ్లే సొరంగం తన సొంత చివరి బిందువును తిననివ్వండి

బయటకు వెళ్లే క్లయింట్ సొరంగాన్ని నిర్మించడానికి తన జోడి ప్రజా చిరునామాను చేరుకోవాలి. ఆ చిరునామా సొరంగంలోకి రూట్ అయితే, క్లయింట్ తన తోకను తానే తరుముతుంది: రవాణా ఎప్పుడూ పైకి రాదు, లేదా వచ్చి మార్గం ఇన్‌స్టాల్ అయిన క్షణంలో పడిపోతుంది. లాగ్ రూటింగ్ లోపం కంటే ప్రామాణీకరణ సమయం ముగిసినట్లు కనిపిస్తుంది, అందుకే మార్గం మొదటి తనిఖీకి అర్హం.

ఆధారాలకు ముందు మార్గాన్ని తనిఖీ చేయండి మరియు సొరంగం పైకి వచ్చిన తర్వాత మళ్లీ, ఎందుకంటే నమోదు బూట్‌లో సరిగ్గా ఉండి ఒక నిమిషం తర్వాత తప్పుగా ఉండవచ్చు. జోడి చిరునామా సాధారణ WAN మార్గాన్ని చూపాలి, ఎప్పుడూ సొరంగ పరికరాన్ని కాదు. రవాణా స్థిరపడిన తర్వాత ఆసక్తికర ప్రశ్న పంపిన ట్రాఫిక్‌కు మారుతుంది, అదే తర్వాతి నిర్ణయం.

netstat -rn | grep -F '198.51.100.10'
traceroute -n 198.51.100.10

ఏ వినియోగదారులు నిష్క్రమణ పొందుతారో ఎంచుకోండి

మూల విధానం ట్రాఫిక్ పరికరంలోకి ప్రవేశించే ద్వారానికి చెందుతుంది, కాబట్టి దూర ప్రాప్యత పూల్‌ను లేదా దానిలోపల ఇరుకైన గుర్తింపులను ఎంచుకోండి. ఎప్పుడూ నిష్క్రమణకు పంపకూడని ప్రైవేట్ గమ్యాలను మరియు నిర్వహణ మినహాయింపులను కాపాడి, ఆ నియమాలను విశాల నియమానికి ముందు ఉంచండి. తర్వాత నిష్క్రమణ మార్గానికి దాని సొంత అనువాదం లేదా రూట్ చేసిన తిరిగి వెళ్లే ఏర్పాటు అవసరం, ఇది చాలా రూపకల్పనల్లో పూల్‌ను కవర్ చేసే నిష్క్రమణ ఇంటర్‌ఫేస్‌పై బయటకు వెళ్లే NAT. అనువాదం నిష్క్రమణను ఎంచుకోదు; ఇప్పటికే బయటకు వెళ్లినదాన్ని మాత్రమే తిరిగి రాస్తుంది, కాబట్టి సంబంధం లేని WAN పై NAT నియమం ఎంపికలో ఏమీ మార్చదు.

దూర ముఖం ఈ రూపకల్పన నుండి పంపిన ట్రాఫిక్‌ను అనుమతిస్తుందా అని నిర్ధారించండి, ఎందుకంటే కొందరు ప్రదాతలు అనుమతిస్తారు కొందరు కాదు. భేదం కనెక్ట్ అయ్యే కానీ ఏమీ మోయని సొరంగంగా కనిపిస్తుంది, దాన్ని స్థానిక లోపంగా చదవడం సులభం. మూడు ప్రవాహాలను విడివిడిగా పరీక్షించండి, ఎందుకంటే అవి స్వతంత్రంగా విఫలమవుతాయి, మూడింటిలో రెండు అంటే సగం నిర్మించిన రూపకల్పన.

openvpn --config user07.ovpn
curl -sS https://ifconfig.me
curl --interface 10.10.10.1 -sS https://intranet.corp.example/health

మొదటి ఆదేశం తిరిగే వినియోగదారు బయటి కనెక్షన్, క్లయింట్ ప్రారంభ క్రమం పూర్తయిందని నివేదించినప్పుడు అది పనిచేస్తుంది. రెండోది ఆ కనెక్ట్ అయిన ల్యాప్‌టాప్ నుండి నడుస్తుంది మరియు మీ WAN చిరునామా బదులు నిష్క్రమణ ప్రదాత చిరునామాను నివేదించాలి. మూడోది పరికరంపై పూల్ చిరునామాకు కట్టుబడి నడుస్తుంది, ఏ దూర వినియోగదారుని కూడా చేర్చకుండా పంపిన ట్రాఫిక్ కోసం మూల విధానాన్ని పరీక్షిస్తుంది. బదులుగా అది WAN నుండి సమాధానమిస్తే, విధానం సరిపోలలేదు, ఏ NAT సవరణ కూడా ఎంపిక సమస్యను సరిచేయదు.

నిష్క్రమణ విఫలమైనప్పుడు ఏమి జరుగుతుందో నిర్ణయించండి

వైఫల్య ప్రవర్తనను జరగక ముందే రాయండి: బయటకు వెళ్లే సొరంగం పడిపోయినప్పుడు వినియోగదారులు సాధారణ WAN కు తిరిగి వెళ్తారా లేదా నిష్క్రమణ తిరిగి వచ్చే వరకు నిరోధించబడతారా? రెండు సమాధానాలు సమర్థనీయం, పరికరం మీ తరఫున ఎంచుకోదు. తీసివేసిన మార్గం లేదా చనిపోయిన గేట్‌వేను చూపే విధానం ఆటోమేటిక్‌గా పూర్తి నిరోధ ఫలితాన్ని ఇవ్వదు. మీకు నిరోధం కావాలంటే, విధానం దాన్ని స్పష్టంగా చెప్పాలి, నిష్క్రమణను తీసివేసి పరీక్షించాలి, దాని గురించి ఆలోచించడం ద్వారా కాదు. మీకు తిరిగి రావడం కావాలంటే, వినియోగదారులకు ప్రకటించండి, ఎందుకంటే నిశ్శబ్దంగా సాధారణ మార్గం తీసుకునే ట్రాఫికే ఎవరో కవర్ చేయబడిందని భావించిన ట్రాఫిక్.

క్లయింట్ ఇన్‌స్టాన్స్‌ను నిష్క్రియం చేయండి, కనెక్ట్ అయిన వినియోగదారు ఇంకా ఏమి చేరుకుంటారో చూడండి, తర్వాత మళ్లీ ప్రారంభించండి. సమయం ముగిసే అభ్యర్థన మీరు కోరిన పూర్తి నిరోధ ఫలితం; WAN చిరునామాతో సమాధానమిచ్చే అభ్యర్థన మీరు నమోదు చేయని తిరిగి రావడం. IPv6 మరియు DNS కోసం తనిఖీని పునరావృతం చేయండి, ఎందుకంటే IPv4 కోసం రాసిన విధానం AAAA ట్రాఫిక్ గురించి ఏమీ చెప్పదు మరియు ఏ సొరంగం నెట్టిన పరిష్కర్త ప్రశ్న నిజంగా బయటకు వెళ్లే చోటి నుండే సమాధానమిస్తుంది.

pfSsh.php playback svc stop openvpn client 2
curl --max-time 6 -sS https://ifconfig.me
pfSsh.php playback svc start openvpn client 2

రూట్ చేసిన OpenVPN కోసం Netgate వంటకం మూల విధానం, ఇంటర్‌ఫేస్ కేటాయింపు మరియు బయటకు వెళ్లే అనువాదం ఎలా సరిపోతాయో చూపిస్తుంది, దాని సైట్ నుండి సైట్ పరిధే పూర్తిగా కాపీ చేయకూడని భాగం. అది మీకు చెప్పనిది ఏమిటంటే పైన ఉన్న మూడు షరతుల్లో ఏది మీ సొంత రూపకల్పన ఇప్పటికే బద్దలు కొట్టిందో.