Bí a ṣe lè fi ẹ̀ka àwín kan ṣoṣo ránsẹ́ nípasẹ̀ VPN

Ẹ̀ka àwín kan ṣoṣo nípasẹ̀ ọ̀nà àbẹ̀mí, gbogbo ohun mìíràn sì ní ọ̀nà déédéé rẹ, jẹ́ ìbéèrè kékeré pẹ̀lú ọ̀pọ̀ ọ̀nà láti ṣe é ní àṣìṣe. Ohun tí ó pinnu àbájáde kì í ṣe pátákó àmì tí a pè ní split tunneling, bí kò ṣe ibi tí a ti fi ìpinnu à miṣẹ́: nínú tábìlì ọ̀nà olùgbà fúnra rẹ̀, nínú ọ̀nà tí olùpèsè tì kalẹ̀, tàbí nínú ìlànà tí ẹ̀gbẹ́ méjèèjì dúnnáàdúrà lórí. Bí o bá yan ìpele tí kò tọ́, ìwọ yóò rí ọ̀nà àbẹ̀mí kíkún tí ìwọ kò fẹ́ rí, tàbí ọ̀nà tí ó lọ sí ọ̀nà àbẹ̀mí tí ẹ̀gbẹ́ kejì kọ̀ láti gbà. Mo ń lo ìdánwò pẹ̀lú ìpinnu mẹ́ta ṣáájú kí mo tó ṣí ìṣètò kankan, lẹ́yìn náà mo yan ọ̀kan nínú àwọn ọ̀nà tí ó wà nísàlẹ̀.

Ìpinnu mẹ́ta tí ó ń pinnu àpẹẹrẹ

Ní àkọ́kọ́, ìwọ nílò àkọ́sọ́ àti bojù exact láti ọ̀dọ̀ ẹni tí ó ni nẹ́tíwọ́kì. Nẹ́tíwọ́kì 10.x kì í ṣe àkọ́sọ́; 10.20.0.0/16 ni àkọ́sọ́. Rí i dájú pé kò ní ìkọ̀lù pẹ̀lú LAN ilé rẹ, afárá Docker tàbí VPN mìíràn tí ìwọ ń ṣiṣẹ́, nítorí ìkọ̀lù ń mú ọ̀nà di àìdánilójú, kí kọ́npútà sì yan àkọsílẹ̀ tí ìwọ kò ní lọ́kàn.

Ní ẹ̀ẹ̀kejì, ta ni ó ń dáhùn fún ìrìnàjò tí ó ń padà. Sísọ pákẹ́tì sínú ọ̀nà àbẹ̀mí kì í mú un lọ ju sí olùpèsè VPN lọ. Bí ẹ̀ka àwín bá wà lẹ́yìn olùdarí ọ̀nà mìíràn tí kò ní ọ̀nà padà sí àkójọpọ̀ olùgbà rẹ, olùpèsè gbọ́dọ̀ fi bojù ṣe ìrìnàjò náà, tàbí olùdarí ọ̀nà yẹn gbọ́dọ̀ kọ́ àkójọpọ̀ rẹ. Kò sí ọ̀nà kankan ní ẹ̀gbẹ́ olùgbà tí ó ń tún ọ̀nà ìpadà tí ó sọnù ṣe.

Ní ẹ̀ẹ̀kẹta, ibi ìfiṣe. Àwọn olùgbà kan ń fi ọ̀nà sórí ẹ̀rọ, kí ẹ̀rọ ìṣiṣẹ́ ṣe ìyókù. Àwọn mìíràn ń dúnnáàdúrà lórí ìlànà, ìlànà tí ẹnubodè kò gbà kì í dá ọ̀nà àbẹ̀mí kankan sílẹ̀: a ń sọ àwọn pákẹ́tì nù láìsí àṣìṣe tí ó ṣe kedere. Ṣàwárí èwo nínú àwọn méjèèjì ni tìrẹ kí o tó kọ ohunkóhun.

WireGuard: AllowedIPs ni tábìlì ọ̀nà

Lórí olùgbà, AllowedIPs ń kójọ àwọn ibi tí ó lè wọ inú ọ̀nà àbẹ̀mí, wg-quick sì ń yí àkọsílẹ̀ kọ̀ọ̀kan padà sí ọ̀nà déédéé. Nítorí náà ìlà kan ni ìdajì olùgbà ti iṣẹ́ yìí.

[Peer]
PublicKey = ...
Endpoint = vpn.example.net:51820
AllowedIPs = 10.20.0.0/16

Nísinsìnyí fi àkọsílẹ̀ olùpèsè fún olùgbà kan náà wé. Ó ń ṣàpèjúwe ohun tí olùpèsè yóò rán sí olùgbà, èyí tí ó sábà máa ń jẹ́ àdírẹ́sì ọ̀nà àbẹ̀mí olùgbà, kì í ṣe ẹ̀ka àwín àsọ̀tọ̀.

[Peer]
PublicKey = ...
AllowedIPs = 10.99.0.2/32

Pípààrọ̀ àwọn méjèèjì yìí ni àṣìṣe tí mo ń rí jùlọ. Fífi 10.20.0.0/16 sábẹ́ apá peer olùpèsè sọ pé gbogbo ẹ̀ka àwín wà lẹ́yìn olùgbà yẹn, ìyẹn sì jẹ́ ẹ̀sùn láti ojú-ìwé dé ojú-ìwé, kì í ṣe ìyọ̀nda. Àwọn pákẹ́tì tí kò bá AllowedIPs ẹnikẹ́ni mu ni a ń sọ nù ní ìdákẹ́jẹ́, nítorí náà àkọsílẹ̀ tí kò tọ́ dà bí ìṣòro ògiri iná gan-an.

Bí ìwọ fúnra rẹ ń ṣàkóso àwọn ọ̀nà, ṣètò Table = off sábẹ́ [Interface] kí o sì fi ọ̀nà tí o fẹ́ kún un. Nígbà náà kò sí ohun tí a ń fi kún un fúnra rẹ̀, nítorí náà ọ̀nà gbọ́dọ̀ wà nínú ohun tí ó ń gbé ojú-ìwé network sókè.

OpenVPN: tì ọ̀nà kalẹ̀, lẹ́yìn náà rí i dájú pé ó dé

Lórí olùpèsè déédéé, ìyípadà jẹ́ ìtọ́nisọ́nà kan nínú ìṣètò olùpèsè, lẹ́gbẹ̀ẹ́ àkójọpọ̀ olùgbà.

push "route 10.20.0.0 255.255.0.0"

Olùgbà ń fi kún un nígbà tí ó bá so mọ́. Ipò ìkùnà ń farahàn nígbà tí prófáìlì kan náà tún tì redirect-gateway kalẹ̀, tàbí nígbà tí ẹnìkan ti fi route-nopull kún un tẹ́lẹ̀: èyí àkọ́kọ́ yí ìpàdé náà padà sí ọ̀nà àbẹ̀mí kíkún, èyí kejì sì ń sọ gbogbo ọ̀nà tí a tì kalẹ̀ nù, pẹ̀lú tìrẹ.

Olùgbà tí ó nílò ìhùwàsí dín níwájú olùpèsè ọ̀nà àbẹ̀mí kíkún gbọ́dọ̀ fojú fo àwọn apá tí kò fẹ́ nìkan. Nínú OpenVPN 2.4 àti ìkan tí ó tẹ̀lé, pull-filter wà fún ìdí yẹn gan-an.

pull-filter ignore "redirect-gateway"
route 10.20.0.0 255.255.0.0

Pa àwọn ẹbí àdírẹ́sì mọ́ lọ́tọ̀ọ̀tọ̀: ọ̀nà IPv4 tí a tì kalẹ̀ kò ṣe ohunkóhun fún iṣẹ́ inú tí ó ń yanjú sí IPv6, iṣẹ́ yẹn sì ń kùnà nípasẹ̀ ọ̀nà àbẹ̀mí nígbà tí gbogbo ohun mìíràn ń dára.

Nígbà tí ẹ̀ka àwín àsọ̀tọ̀ kò bá wà lórí olùpèsè VPN bí kò ṣe lẹ́yìn olùgbà mìíràn, a gbọ́dọ̀ sọ fún olùpèsè. Fi fáìlì kan fún olùgbà kọ̀ọ̀kan kún un nípasẹ̀ client-config-dir tí ó ní iroute 10.20.0.0 255.255.0.0, pẹ̀lú route tí ó bá a mu kí àwọn olùgbà mìíràn lè kọ́ ọ̀nà náà. Láìsí iroute olùpèsè kò ní ìdí láti rán àkọ́sọ́ yẹn nípasẹ̀ ọ̀nà àbẹ̀mí yẹn gan-an.

IPsec: àwọn olùyàn ìrìnàjò gbọ́dọ̀ fohùn ṣọ̀kan

Nínú IPsec kò sí ọ̀nà láti tì kalẹ̀. Ẹ̀gbẹ́ méjèèjì ń dúnnáàdúrà lórí àwọn àdírẹ́sì tí ó wà nínú ọ̀nà àbẹ̀mí, ìrìnàjò tí ó wà lẹ́yìn àwọn olùyàn tí a gbà kò sì ní í ṣe àkọsílẹ̀ tàbí kí ó gbà á kọjá. Lórí olùgbà strongSwan, àwọn olùyàn wà ní gbangba.

leftsubnet=192.168.1.0/24
rightsubnet=10.20.0.0/16

Bí a bá ṣètò ẹnubodè pẹ̀lú 0.0.0.0/0 ní ẹ̀gbẹ́ méjèèjì, ìdínkù IKEv2 sábà máa ń dín SA ọmọ kù sí ìpàdé àwọn àbá méjèèjì, èyí sì ni àbájáde tí a fẹ́. Àwọn ẹnubodè kan kọ̀ láti gba àbá tí kò bá àwọn olùyàn tí a ṣètò mu, àkọsílẹ̀ yóò sì fi SA ọmọ tí ó kùnà hàn dípò ẹ̀sùn ìtọ́sọ́nà ọ̀nà. Nígbà tí èyí bá ṣẹlẹ̀, ìyípadà jẹ́ ti ẹnubodè, nítorí ọ̀nà olùgbà kò lè dá ọ̀nà àbẹ̀mí fún olùyàn tí ẹ̀gbẹ́ kejì kò ní gbà.

Lórí Windows, olùgbà tí a kọ́ sínú ń fi ìpinnu kan náà pa mọ́ sẹ́yìn ètò méjì. Pípín ọ̀nà àbẹ̀mí gbọ́dọ̀ wà ní ṣíṣí, àkọ́sọ́ sì gbọ́dọ̀ forúkọsílẹ̀ lórí prófáìlì.

Set-VpnConnection -Name Office -SplitTunneling $true
Add-VpnConnectionRoute -ConnectionName Office -DestinationPrefix 10.20.0.0/16

Ìforúkọsílẹ̀ àkọ́sọ́ ni ó ń jẹ́ kí ó le kọjá ìsopọ̀ mìíràn, èyí tí ọ̀nà tí a fi ọwọ́ kún un kò ṣe.

Pa ibi-ìparí àti DNS mọ́ ní ìta ìpinnu

Ibi-ìparí VPN gbọ́dọ̀ wà ní àárín ìwọ̀n láìsí ọ̀nà àbẹ̀mí, bí bẹ́ẹ̀ kọ́ ọ̀nà àbẹ̀mí yóò wó lulẹ̀ sínú ara rẹ̀. Nígbà tí a bá ń tọ́ ọ̀nà 10.20.0.0/16 nìkan, èyí jẹ́ fúnra rẹ̀ nítorí ibi-ìparí jẹ́ àdírẹ́sì gbangba. Nínú prófáìlì ọ̀nà àbẹ̀mí kíkún kì í ṣe bẹ́ẹ̀, olùgbà sì nílò ọ̀nà agbalejo tí ó ṣe kedere sí ibi-ìparí kí ọ̀nà àbẹ̀mí tó gòkè.

DNS jẹ́ ìpinnu kejì tí títì ọ̀nà kalẹ̀ kò gbà fún ọ. Àwọn orúkọ inú ni a sábà máa ń yanjú nípasẹ̀ olùyanjú tí nẹ́tíwọ́kì àsọ̀tọ̀ nìkan lè dé. Bí olùpèsè bá tì olùpèsè DNS kalẹ̀, gbogbo orúkọ yóò gba inú rẹ̀ kọjá; bí kò bá ṣe bẹ́ẹ̀, àwọn orúkọ inú yóò kùnà tàbí a ó yanjú wọn ní gbangba sí ohun tí ìwọ kò ní lọ́kàn. DNS pípín ń pa ẹ̀ka ìwá kan mọ́ lórí olùyanjú inú, ṣùgbọ́n èyí gbára lé àtìlẹ́yìn olùgbà, nítorí náà kà á sí iṣẹ́ tirẹ̀ kì í ṣe àbájáde ẹ̀gbẹ́ ìtọ́sọ́nà.

Ṣàyẹ̀wò, lẹ́yìn náà tún bẹ̀rẹ̀ kí o sì tún ṣàyẹ̀wò

Àwọn ìdánwò mẹ́ta ń bo ìbéèrè ìtọ́sọ́nà ọ̀nà. Béèrè lọ́wọ́ kọ́npútà ibi tí àdírẹ́sì jíjìnnà yóò lọ, gbà ohun kan láti inú ẹ̀ka àwín, lẹ́yìn náà jẹ́rìí pé ìbéèrè gbangba déédéé ṣì ń jáde nípasẹ̀ ìsopọ̀ déédéé rẹ.

ip route get 10.20.5.7
curl -sS http://10.20.5.7/health
curl -sS https://ifconfig.me

Ìlà àkọ́kọ́ ń dárúkọ ojú-ìwé network kan. Bí ó bá dárúkọ ojú-ìwé network ti ara rẹ, ọ̀nà kò dé rí. Lórí Windows, Find-NetRoute -RemoteIPAddress 10.20.5.7 ń dáhùn ìbéèrè kan náà, ìdánwò ìkẹyìn sì gbọ́dọ̀ ṣì fi àdírẹ́sì déédéé rẹ hàn kì í ṣe ti olùpèsè VPN.

Lẹ́yìn náà tún bẹ̀rẹ̀. Àwọn ọ̀nà tí a fi ọwọ́ kún un ń pòórá, nígbà tí àwọn ọ̀nà láti prófáìlì, láti ìṣètò tí a tì kalẹ̀ tàbí láti AllowedIPs ń padà wá. Bí ìwọ̀n àárín bá ń ṣiṣẹ́ kí àtúnbẹ̀rẹ̀ tó ṣiṣẹ́, tí ó sì kùnà lẹ́yìn náà, ẹ̀bi wà nínú bí ọ̀nà àbẹ̀mí ṣe ń bẹ̀rẹ̀, kì í ṣe nínú ọ̀nà náà fúnra rẹ̀.

Kí o tó pè é ní parí, jẹ́rìí ohun mẹ́rin: àkọ́sọ́ ti ọ̀dọ̀ ẹni tí ó ni nẹ́tíwọ́kì wá, kò sì ní ìkọ̀lù pẹ̀lú ohunkóhun tí ó wà níbílẹ̀, ọ̀nà ìpadà wà tàbí ìlànà bojù kan rọ́pò rẹ̀, ọ̀nà tí ìwọ ṣètò ni ó ń fi ìtọ́sọ́nà ọ̀nà ṣiṣẹ́ lórí pẹpẹ rẹ, àwọn ìdánwò kan náà sì ń kọjá lẹ́yìn àtúnbẹ̀rẹ̀ mímọ́. Àwọn àkọsílẹ̀ strongSwan nípa gbígbé kọjá yẹ láti kà bí ọ̀nà ìpadà bá jẹ́ apá tí ó ń kùnà nígbà gbogbo.