Àwọn ọ̀nà OpenVPN méjì lórí Linux host kan: ta ni ó ni ọ̀nà?

Àwọn profaili méjì so pọ̀, ọ̀kan nínú wọn ń gbé ìrìn àjò tí wọ́n gbèrò fún èkejì lọ́nà ìdákẹ́jẹ́. Linux host lè ṣiṣẹ́ àwọn OpenVPN oníbàárà méjèèjì lẹ́sẹẹsẹ láìsí ìṣòro. Ohun tí kò lè ṣe ni láti pinnu fún ọ irú iṣẹ́ wo ni ó lẹ́tọ̀ọ́ láti béèrè irú ìpilẹ̀ ọ̀rọ̀ wo. Ìpinnu yẹn gbọ́dọ̀ ṣe kí ọ̀nà kejì tó gòkè, kì í ṣe lẹ́yìn tí orísun kan bá dá ìdáhùn dúró.

Bẹ̀rẹ̀ láti inú iṣẹ́ tí ọ̀nà kejì gbọ́dọ̀ ṣe

Ọ́fíìsì tí a lè dé nípasẹ̀ profaili kan àti yàrá ìdánwò tí a lè dé nípasẹ̀ òmíràn nílò àwọn ọ̀nà méjèèjì lórí, kí èyíkéyìí má sì béèrè ohun gbogbo. Ohun èlò aláìlẹ́gbẹ́ kan tí ó gbọ́dọ̀ jáde nípasẹ̀ profaili kejì nílò ìlànà ìwà, kì í ṣe ọ̀nà àkọ́kọ́ kejì. Ọ̀nà àfipamọ́ nílò ọ̀nà kan ṣoṣo tí ń ṣiṣẹ́ ní àkókò kan, nítorí náà kò yẹ kí àfipamọ́ bẹ̀rẹ̀ pẹ̀lú ẹ̀rọ náà.

Ìwọ̀nyí jẹ́ àwọn ètò mẹ́ta ọ̀tọ̀ọ̀tọ̀, wọ́n sì ń dàrú nítorí pé àwọn mẹ́tẹẹ̀ta bẹ̀rẹ̀ ní ọ̀nà kan náà: profaili kejì àti ìsopọ̀ àṣeyọrí. Kọ́kọ́ kọ ètò tí a gbèrò, lẹ́yìn náà ṣètò sí ọ̀nà rẹ̀. Gbólóhùn kan nípa èròǹgbà ń fi wákàtí kan pamọ́ nínú gbígba àwọn pákẹ́tì.

systemctl list-units --type=service 'openvpn-client@*'
ip -4 route show default

Àṣẹ àkọ́kọ́ ń ṣàkọsílẹ̀ àwọn ẹ̀dà tí ń ṣiṣẹ́, pẹ̀lú àwọn tí a fi ọwọ́ bẹ̀rẹ̀ níta olùṣàkóso. Èkejì ń tẹ́ ẹ̀sùn àkọ́kọ́ tí ó wà lọ́wọ́lọ́wọ́, ìyẹn ni ipò tí ìwọ yóò ní láti ṣàlàyé nígbà tó ń bọ̀.

Àwọn àdágún tí ó wà lórí ara wọn ń já lẹ́yìn pípẹ̀tù

Àwọn sẹ́bà méjì yóò fi inú dídùn pín àwọn àdírẹ́sì láti inú 10.8.0.0/24 kan náà. Nígbà náà oníbàárà yóò di àwọn ìbáraẹnisọ̀rọ̀ méjì mú nínú ìpilẹ̀ ọ̀rọ̀ kan láìsí ohunkóhun tí ó sọ ìdí tí ó jẹ́ ti èwo, ìhùwàsí tí ó jáde sì dà bí àṣìṣe pípẹ̀tù sílẹ̀ ṣùgbọ́n ní ti gidi àṣìṣe ìnọ́mbà ni. Títún àdágún kọ̀ọ̀kan nọ́mbà náà gba àtúnṣe ètò kan; gbogbo ọ̀nà àbáyọ pípẹ̀tù tí ó tẹ̀lé e gba ìparí ọ̀sẹ̀ kan. Ṣàyẹ̀wò àdágún náà kí o tó fi ọ̀nà kún un.

Wo LAN àdúgbò pẹ̀lú. LAN ilé tí ó ní nọ́mbà 192.168.1.0/24 tí ọ̀nà kan tún ń fi hàn ń ṣe irú ìṣiyèméjì kan náà, àmì rẹ̀ sì ni orúkọ host tí ń yanjú nígbà tí ìsopọ̀ kò parí rárá. Ìyẹn dà bí àṣìṣe yíyanjú orúkọ títí tí ìwọ yóò fi tẹ̀ àwọn ọ̀nà jáde.

ip -4 addr show
ip route show table all | grep -E '10\.|192\.168\.'

Fi àwọn ìjáde méjèèjì wé àwọn ètò sẹ́bà méjèèjì kí o tó fọwọ́ kan oníbàárà. Bí àwọn ìpilẹ̀ ọ̀rọ̀ bá wà lórí ara wọn, dá dúró kí o sì tún nọ́mbà ṣe, nítorí iye ìgbà tí o bá tún bẹ̀rẹ̀ kò ní yà wọ́n.

Fún profaili kọ̀ọ̀kan ní ẹ̀ka tirẹ̀ àti ìpilẹ̀ ọ̀rọ̀ kọ̀ọ̀kan ní olówó

Profaili kọ̀ọ̀kan gba orúkọ ẹ̀dà tirẹ̀ àti fáìlì ètò tirẹ̀, nítorí náà ẹ̀dà tí a ń pè ní office ń gbé office.conf wọlé nígbà tí èyí tí a ń pè ní lab ń gbé lab.conf wọlé. Jẹ́rìí ìsopọ̀ yẹn nípasẹ̀ olùṣàkóso iṣẹ́ dípò gbígbẹ́kẹ̀lé àkọsílẹ̀ àpò, nítorí drop-in lè yí i padà èwo fáìlì tí a ń gbé wọlé. Ìsopọ̀ tí kò tọ́ túmọ̀ sí pé ìwọ ń ṣàtúnṣe profaili tí kò ń ṣiṣẹ́.

Lẹ́yìn náà pinnu ẹni tí ń fi àwọn ọ̀nà sórí ẹ̀rọ. Nígbà tí àwọn sẹ́bà bá ń tì àwọn àkójọ tí kò bá ara wọn mu, yálà kọ̀ ìtì náà kí o sì ṣàkọsílẹ̀ àwọn ìpilẹ̀ ọ̀rọ̀ fúnra rẹ, tàbí jẹ́ kí profaili kan di àkọ́kọ́ mú kí o sì darí èkejì pẹ̀lú àwọn ìlànà ìwà. Àwọn ìlana méjì tí wọ́n jọ ń fi àkọ́kọ́ sórí ẹ̀rọ yóò parí pẹ̀lú olùborí ìdákẹ́jẹ́ àti láìsí àkọsílẹ̀ ìpinnu ní àkọsílẹ̀.

systemctl cat [email protected]
grep -E 'route-nopull|pull-filter|redirect-gateway' /etc/openvpn/client/lab.conf

Èkíní fi ẹ̀ka hàn pẹ̀lú àyípadà èyíkéyìí tí ó yí àwọn àríyànjiyàn rẹ̀ padà. Èkejì fi hàn bóyá profaili gba àwọn ọ̀nà tí a tì rárá, ìyẹn sì ni ìyípadà tí ń pinnu ohun gbogbo tí ó tẹ̀lé.

Àwọn àmì ń pa àwọn ìdáhùn mọ́ lórí ìbáraẹnisọ̀rọ̀ tí wọ́n ti wá

Nígbà tí ọ̀nà kọ̀ọ̀kan bá ń sin orísun ọ̀tọ̀ọ̀tọ̀, ìdáhùn lè jáde nípasẹ̀ ọ̀nà tí kò tọ́, ìsopọ̀ yóò sì kú lẹ́yìn pákẹ́tì àkọ́kọ́. Àpẹẹrẹ tí ó dúró ni láti fi àmì sí àwọn pákẹ́tì tí ń wọlé nípasẹ̀ ìbáraẹnisọ̀rọ̀ ìwọlé, láti mú àmì yẹn padà lórí ìdáhùn, àti láti fún àmì kọ̀ọ̀kan ní tábìlì pẹ̀lú ẹnubodè àkọ́kọ́ tirẹ̀.

Ìdánwò ọ̀nà ẹ̀yìn aláìlóye máa ń nílò ìtúpalẹ̀ fún àwọn ìbáraẹnisọ̀rọ̀ tí ó kan, nítorí ìdáhùn máa ń dé lọ́nà tí ó tọ́ nípasẹ̀ ọ̀nà tí tábìlì àkọ́kọ́ kò ní yàn rárá. Jẹ́ kí àwọn àmì jẹ́ ní dín kí wọ́n má baà gbá ìrìn àjò àkọ́kọ́ tí a fi àmì fi pamọ́ ti àwọn ọ̀nà fúnra wọn, èyí tí yóò fi ọ̀nà náà ránṣẹ́ nípasẹ̀ ara rẹ̀.

ip rule show
ip route show table 101
sysctl net.ipv4.conf.all.rp_filter

Ka àwọn ìlànà tí ó wà kí o tó fi kún un. Àwọn ipò àkọ́kọ́ tí ó ṣe é lẹ́ẹ̀mejì àti àwọn tábìlì tí a gbàgbé ni ìdí tí ó wọ́pọ̀ tí ìlànà àmì fi dà bí kò ní ipa rárá.

Fi ìsọ̀tọ̀ hàn nípasẹ̀ dídá ọ̀nà kan dúró

Pẹ̀lú àwọn ọ̀nà méjèèjì lórí, ṣàkọsílẹ̀ àdírẹ́sì ìbáraẹnisọ̀rọ̀ kọ̀ọ̀kan, ọ̀nà sí host kan lẹ́yìn ọ̀nà kọ̀ọ̀kan, àti ipa tí ìdí tí kò ní í ṣe ń gbà. Béèrè lọ́wọ́ kérnẹ́lì fún ìwádìí dípò kíka tábìlì kan, nítorí tábìlì kan kò fi ìpinnu ìparí hàn rárá.

Lẹ́yìn náà dá ẹ̀dà kan dúró kí o sì wo bí ìbáraẹnisọ̀rọ̀ àti àwọn ọ̀nà rẹ̀ ṣe ń pòórá nígbà tí èkejì ń tẹ̀síwájú. Ìjákùn nínú ẹni tí ó yè yóò túmọ̀ sí pé àwọn méjèèjì ṣì ń pín orúkọ ẹ̀rọ, ọ̀nà tàbí ìlànà odi iná tí ẹnikẹ́ni kò yà sọ́tọ̀.

Mú profaili tí a dá dúró padà kí o sì tún àwọn àyẹ̀wò kan náà ṣe. Nígbà tí ọ̀nà bá yè kìkì ìgbà àkọ́kọ́ lẹ́yìn àtúntò, ìwọ ń wo àbùkù ìgbèsí-ayé kì í ṣe àwòrán pípẹ̀tù.