VPN láti ibi dé ibi tàbí ìráyè jíjìnnà: kí ni ọ̀kọ̀ọ̀kan so pọ̀

Àwọn ọ̀nà méjèèjì ni wọ́n ń pè ní VPN, wọ́n sì ń yanjú àwọn ìṣòro tí ó yàtọ̀. Ìjìnnà ìsopọ̀ láti ibi dé ibi ń so ẹnubodè méjì pọ̀, nítorí náà gbogbo ẹ̀rọ tí ó wà lẹ́yìn wọn lè dé àwọn àdírẹ́sì tí a gbà láàyè ní ẹ̀gbẹ́ kejì láìfi ohunkóhun sínú ẹ̀rọ. Ìjìnnà ìsopọ̀ ìráyè jíjìnnà ń so àwọn ẹ̀rọ kọ̀ọ̀kan mọ́ nẹ́tíwọ́kì, ọ̀kan ṣoṣo ní àkókò kan. Ìfiwéra yìí ṣe pàtàkì nítorí ọ̀pọ̀lọpọ̀ àṣìṣe ìgbékalẹ̀ ń wá láti ṣíṣe ìtòlẹ́sẹẹsẹ ọ̀kan nígbà tí a ń retí ìhùwàsí èkejì, àmì rẹ̀ sì sábà jẹ́ àkókò tí ó tán níbi iṣẹ́ tí ìjìnnà náà ti dé ní tòótọ́.

Àwọn ọ̀nà méjì, àwọn ààlà méjì

Kò sí ọ̀nà kan tí ó ń gbòòrò ìpín ìgbóhùnsáfẹ́fẹ́ LAN. Àwọn ẹ̀rọ ní ẹ̀gbẹ́ jíjìnnà kò farahàn nínú àkọsílẹ̀ ìwárí àdúgbò, àti ríretí ìyẹn ni àkọ́kọ́ àfojusun tí ó yẹ kí a fi sílẹ̀. Àwọn orúkọ DNS àdáni tí o ń tẹ̀ jáde ní àìmọ̀ọ́mọ̀ dẹ́rùn jù ju èyíkéyìí ìlànà ìwárí, wọ́n sì ń dúró bí olùpèsè bá yí padà.

Gba 10.10.0.0/24 ní ibi kan àti 10.20.0.0/24 ní ibi kejì. Ẹnubodè A nílò ọ̀nà tàbí olùyàn ìrìnàjò tí yóò fi àkọ́kọ́ 10.20.0.0/24 ránṣẹ́ sínú ìjìnnà, ẹnubodè B sì nílò àwòrán dígí rẹ̀. Lẹ́yìn náà àwọn ẹ̀rọ ní ẹ̀gbẹ́ méjèèjì máa ń lo ìsopọ̀ IP lasan, wọn kò sì mọ̀ pé ìjìnnà wà. Àìrí náà ni ẹ̀yà náà, ìdí nìyẹn tí àwọn ìkùnà fi dà bí àṣìṣe nẹ́tíwọ́kì lasan kì í ṣe àṣìṣe ìjìnnà.

Ìlànà-ìpìlẹ̀ àti ọ̀nà-ìpìlẹ̀ kì í ṣe ìjìnnà kan náà

Nínú ìgbékalẹ̀ IPsec tí ó dá lórí ìlànà, àwọn olùyàn ìrìnàjò tí a dúnúkẹ́ wọn ń ṣàlàyé pátápátá àwọn orísun àti ibi tí a dáàbò bo. Bí abẹ́lẹ̀ tuntun bá farahàn lẹ́yìn ẹnubodè kan tí kò sì sí olùyàn tó bo ó, ìjìnnà yóò dúró ṣinṣin, abẹ́lẹ̀ tuntun náà kò ní gbé. Nínú ọ̀nà tí ó dá lórí ọ̀nà, ẹ̀rọ ìsopọ̀ gba ìrìnàjò, tábìlì ọ̀nà sì ń pinnu, èyí tí ó mú àfikún àkọ́kọ́ di ìyípadà ọ̀nà kì í ṣe ìdúnúkẹ́ ìjìnnà lẹ́ẹ̀kan sí i.

StrongSwan ń fi àwọn ìwò méjèèjì hàn tààrà, kíkà wọ́n papọ̀ ni ọ̀nà láti mọ irú àwòṣe tí o gbé kalẹ̀ ní tòótọ́.

swanctl --list-sas
ip xfrm policy
ip -4 route show table all | grep -E '10\.(10|20)\.'

Àkọsílẹ̀ olùyàn tí kò ní àkọ́kọ́ tí o nílò ń ṣàlàyé ìkùnà láìní ìdíwọ́ pákítì kankan, ọ̀nà tí ó tọ́ka sí ẹ̀rọ ìsopọ̀ tí kò tọ́ ń ṣàlàyé ìkùnà dígí ní ọ̀nà àpadà. Ka méjèèjì kí o tó dúnúkẹ́ ohunkóhun lẹ́ẹ̀kan sí i, nítorí ìsọdọ̀tun kọ́kọ́rọ́ kò ní fi olùyàn kún tí o kò ṣètò rí.

Ṣètò àdírẹ́sì kí ìjìnnà tó wà

Àwọn ibiti ó ń bo ara wọn ni àṣìṣe ọ̀nà tí a kò lè tún ṣe pẹ̀lú ìtòlẹ́sẹẹsẹ. Bí àwọn ibi méjèèjì bá ń lo 192.168.1.0/24, ẹ̀rọ tí ó nílò 192.168.1.50 ní olùdíje méjì, kò sì ní ọ̀nà láti yàn. Ìjìnnà yóò jẹ́rìí, àwọn ìsopọ̀ ààbò yóò fìdí kalẹ̀, ìpinnu ọ̀nà yóò sì ṣì jẹ́ aṣiṣe tàbí àìdánilójú.

Yan ọ̀kan nínú àwọn àṣàyàn mẹ́ta tí ó ṣe ojúṣe: tún ibi kan kà, túmọ̀ ibiti ó ń bo ara wọn ní ẹnubodè kí ẹ̀gbẹ́ kọ̀ọ̀kan lè rí àkọ́kọ́ ọ̀tọ̀, tàbí fi ọ̀nà tààrà sílẹ̀ fún àwọn ẹ̀rọ wọ́n yẹn kí o sì tẹ iṣẹ́ náà jáde lọ́nà mìíràn. Ọ̀kọ̀ọ̀kan ní iye owó, èyí àkọ́kọ́ sì sábà jẹ́ èyí tí ó pọ̀ jù ní ọdún méjì. Pinnu kí ìjìnnà tó wà, nítorí lẹ́yìn náà ìyípadà yóò kan gbogbo ẹ̀rọ tí ó ní àdírẹ́sì àtijọ́.

Tún yanjú ìṣòro MTU ní kùtùkùtù. Ìjìnnà ń dín ẹrù tí ó wúlò kù, ọ̀nà tí ó gbára lé pípín yóò sì hùwà yàtọ̀ sí èyí tí ó so MSS mọ́ ẹnubodè.

Ìfiránṣẹ́ àti ìlànà wà ní ìta ìjìnnà

Ẹnubodè gbọ́dọ̀ ṣetán láti fi pákítì ránṣẹ́ láàrín ẹ̀rọ ìsopọ̀ ìjìnnà àti ẹ̀rọ ìsopọ̀ LAN, ẹ̀gbẹ́ méjèèjì sì nílò ìlànà tí ó gbà iṣẹ́ náà láàyè. Ní Linux, ìwọ̀nyí jẹ́ ètò méjì ọ̀tọ̀, pẹ̀lú àwọn òfin ògiri iná tí ó ń pinnu bóyá a gbà ṣísàn tí a fi ránṣẹ́ láàyè rárá.

sysctl -w net.ipv4.ip_forward=1
iptables -A FORWARD -s 10.20.0.0/24 -d 10.10.0.0/24 -j ACCEPT
iptables -A FORWARD -s 10.10.0.0/24 -d 10.20.0.0/24 -j ACCEPT

Ẹ̀rọ tí ó ń gbà á fi ìpele kẹta kún: ògiri iná tirẹ̀ ṣì gbọ́dọ̀ gba alábàáṣepọ̀ láti abẹ́lẹ̀ jíjìnnà. Olùpèsè fáìlì tí ó gbà /24 àdúgbò tirẹ̀ nìkan yóò kọ ìrìnàjò tí a fi ránṣẹ́ láti 10.20.0.7, bí ìjìnnà tilẹ̀ dà bí aláìlera, kíkà ìkọ̀ náà gẹ́gẹ́ bí ìkùnà ọ̀nà sì rọrùn.

Dán wò láti orí ẹ̀rọ, kì í ṣe láti ẹnubodè

Ping tí ẹnubodè fúnra rẹ̀ rán lè tẹ̀lé àdírẹ́sì orísun àti ìlànà tí ó yàtọ̀ sí ìrìnàjò olùlò tí a fi ránṣẹ́. Èyí mú kí ó jẹ́ ìdánwò aláìlera, nígbà mìíràn sì ń ṣi lọ́nà: ó máa ń ṣàṣeyọrí nígbà tí ohun èlò ń kùnà, tàbí ó ń kùnà nígbà tí ohun èlò ń ṣiṣẹ́.

ip route get 10.10.0.5 from 10.20.0.7
ping -I 10.20.0.7 10.10.0.5
curl -sv --max-time 5 http://files.10-10.internal/ -o /dev/null

Lo ẹ̀rọ gidi, àdírẹ́sì orísun gidi àti ìlànà gidi tí ohun èlò ń lò. Lẹ́yìn náà ka ọ̀nà àpadà lọ́tọ̀, nítorí ìtọ́sọ́nà iwájú tí ó ń ṣiṣẹ́ láìsí ọ̀nà àpadà ń mú àkókò tán tí ó dà bí iṣẹ́ tí a dí.

Yan ọ̀nà náà gẹ́gẹ́ bí ìbéèrè tí o ń dáhùn: ṣé ìwọ ń so àwọn nẹ́tíwọ́kì pọ̀ tàbí ń gba àwọn ẹ̀rọ? Gbogbo ohun mìíràn, pẹ̀lú olùpèsè tí o ń ṣètò, wá láti inú ìdáhùn yẹn.