রিমোট মেশিনে পাবলিক আইপি টানেল করা

Question

আমি লিনাক্স সার্ভার আছে একটি , 5 পাবলিক আইপি এড্রেস একটি ব্লক সঙ্গে 8.8.8.122/29। বর্তমানে, 8.8.8.122নিযুক্ত করা হয়েছে eth0, এবং 8.8.8.123নিযুক্ত করা হয়েছে eth0:1।

NAT এর পিছনে আমার কাছে অন্য একটি লিনাক্স মেশিন বি রয়েছে remote আমি দুজনের মধ্যে একটি সুড়ঙ্গ স্থাপন করতে চাই যাতে বি আইপি ঠিকানাটিকে 8.8.8.123তার প্রাথমিক আইপি ঠিকানা হিসাবে ব্যবহার করতে পারে ।

ওপেনভিপিএন সম্ভবত উত্তর, তবে কীভাবে জিনিসগুলি সেট আপ করা যায় তা আমি যথেষ্ট বুঝতে পারি না ( topology subnetবা topology p2pউপযুক্ত হতে পারে Or বা আমার কী ইথারনেট ব্রিজিং ব্যবহার করা উচিত?)। সুরক্ষা এবং এনক্রিপশন এই মুহুর্তে বড় উদ্বেগ নয়, তাই জিআরইও ঠিক থাকবে - মেশিন বি একটি পরিচিত আইপি ঠিকানা থেকে আসবে এবং তার ভিত্তিতে প্রমাণীকরণ করা যাবে।

কিভাবে আমি এটি করতে পারব? যে কেউ একটি ওপেনভিপিএন কনফিগারেশন বা অন্য কোনও পদ্ধতির পরামর্শ দিতে পারে, যা এই পরিস্থিতিতে কাজ করতে পারে? আদর্শভাবে, এটি একাধিক ক্লায়েন্টকে হ্যান্ডেল করতে সক্ষম করবে (যেমন অন্যান্য মেশিনের সাথে চারটি অতিরিক্ত আইপি ভাগ করে নিন), সেই ক্লায়েন্টদের আইপি ব্যবহার করার অনুমতি দেওয়া হয়নি যার জন্য তারা অধিকারী নয়।

Comments

উভয় স্থানে ফায়ারওয়ালগুলি কী?

— রবার্ট

আমি আশা করি আপনি গুগলে প্রকৃতপক্ষে কাজ করার চেয়ে আপনি কেবলমাত্র এই ঠিকানাগুলি তৈরি করেছেন। আপনি যদি না করেন তবে আপনি তাদের ঠিকানা স্থান ব্যবহার করতে সক্ষম হবেন না।

— মাইকেল হ্যাম্পটন

রবার্ট: এ একটি লিনাক্স সার্ভার যা কিছু সাধারণ iptablesনিয়ম সহ। বি একটি NAT এর পিছনে রয়েছে যা অন্য একটি লিনাক্স সার্ভার চলছে shorewall।

— জিম প্যারিস 21

মাইকেল: হ্যাঁ, আমি প্রথম তিনটি অক্টেটগুলিকে আটকে 8 এ পরিবর্তন করেছি, তবে এখনও তারা ইঙ্গিত দিচ্ছি যে তারা সর্বজনীন। দুঃখিত, গুগল

— জিম প্যারিস 21

ভবিষ্যতের রেফারেন্সের জন্য, আমাদের এটির জন্য একটি আরএফসি রয়েছে ।

— মাইকেল হ্যাম্পটন

Answer 1

আমি ইথারনেট ব্রিজিং দিয়ে শেষ করেছি। অনলাইনের মাধ্যমে প্রচুর ভার্জোজ উদাহরণ, তবে এটি বেশ সহজ বলে প্রমাণিত হয়েছে:

প্রথমত, উপর একটি , /etc/network/interfacesথেকে পরিবর্তিত হয়েছে:

auto eth0
iface eth0 inet static
    address 8.8.8.122
    netmask 255.255.255.248
    gateway 8.8.8.121

প্রতি:

auto br0
iface br0 inet static
    address 8.8.8.122
    netmask 255.255.255.248
    gateway 8.8.8.121
    pre-up openvpn --mktun --dev tap0
    bridge_ports eth0 tap0
    bridge_fd 3

বুট এ (একটি নতুন টানেল ইন্টারফেস) eth0দিয়ে tap0( আসল WAN ইন্টারফেস) ব্রিজ করার জন্য ।

তারপর, উপর একটি সঙ্গে OpenVPN সার্ভার সঞ্চালন করুন:

openvpn --dev tap0

উপর বি , এর মাধ্যমে এতে সংযোগ:

openvpn --remote 8.8.8.122 --dev tap0 --route-gateway 8.8.8.121 \
        --redirect-gateway def1 --ifconfig 8.8.8.123 255.255.255.248

এটি যে সর্বাধিক সহজ কনফিগারেশনটি আমি সন্ধান করছিলাম এবং এটি কাজ করে - বি এখন 8.8.8.123 এ সর্বজনীনভাবে অ্যাক্সেসযোগ্য এবং বহির্গামী সংযোগগুলি একই ঠিকানা থেকে উত্পন্ন।

অবশ্যই প্রয়োজন হিসাবে সুরক্ষা ( --secret, --tls-serverইত্যাদি) যুক্ত করুন।

Comments

নিস! আমি চেষ্টা করতে যাচ্ছি। আপনি কী এটি কনফিগার করার কোনও উপায় খুঁজে পেয়েছেন: "সেই ক্লায়েন্টদের আইপি ব্যবহার না করে যার জন্য তারা এনটাইটেলড নয়"?

— বাস্তিয়ান

আমি আমার সেটআপটিতে বিরক্ত করিনি (যা অস্থায়ী ছিল) তবে আমি ধারণা করি আপনি এটি ebtables দিয়ে করতে পারেন।

— জিম প্যারিস 21

খুব দরকারী. একটি প্রশ্ন: আমার যদি A: A => B এবং A => C (যেখানে সি অন্য হোস্ট হয়) থেকে দুটি আইপি রুট করতে হয় তবে একটি কনফিগারেশনে আমার কী পরিবর্তন করতে হবে? আমার কি আর একটি ব্রিজ কনফিগার করতে হবে?

— ফ্র্যাক করুন

হ্যাঁ। আরেকটি জুড়ুন pre-up openvpnতৈরি করতে লাইন tap1খুব সহজেই tap1করতে bridge_ports, এবং OpenVPN আরেকটি দৃষ্টান্ত চালানো openvpn --dev tap1।

— জিম প্যারিস

আপনি কীভাবে বি এর মাধ্যমে এ এর ​​প্রবেশদ্বারকে স্থানীয় করতে চান যাতে ল্যানের কোনও সিস্টেম বি ব্যবহার করতে পারে এবং রিমোট ডিফল্ট গেটওয়ে বরাদ্দ করতে পারে এবং পাবলিক আইপি ব্যবহার করতে পারে?

— আরিব সু ইয়াসির

Answer 2

আমি মনে করি আপনি একটি কঠিন সময় যাবেন। ভিপিএন এর উভয় দিক একই সাবনেটে থাকলে বেশিরভাগ ফায়ারওয়ালের ওপেনভিপিএন ট্র্যাফিক রুট করতে অসুবিধা হবে।

আপনি যদি সর্বজনীন অ্যাক্সেসের জন্য রুট করার চেষ্টা করছেন, আমি উভয় সার্ভারগুলি আপনার সর্বজনীন ঠিকানা থেকে বিভিন্ন সাবনেটগুলিতে সরিয়ে নিয়েছি এবং তারপরে সংযোগের জন্য ভার্চুয়াল আইপি (1 থেকে 1 নাট) ব্যবহার করব। দুটি সাইট সংযোগ করতে, ওপেনভিপিএন কাজ করবে বা একটি আইপি-সেক টানেল।

ভার্চুয়াল আইপি: http://doc.pfsense.org/index.php/Wat_are_ ভার্চুয়াল_আইপি_এড্রেসেস ১০৩ এফ

সাইটে সাইটে: http://doc.pfsense.org/index.php/VPN_Capability_IPsec

মন্তব্যের ভিত্তিতে সম্পাদনা করুন:

আমি ব্যক্তিগতভাবে একটি বাক্সে পিএফএসেন্স ইনস্টল করব এবং এটির ওয়ানের জন্য আপনি যে বন্দরটি চেয়েছিলেন সেটি দিয়ে দেব। তারপরে একটি স্থানীয় সাবনেটে একটি ওপেনভিপিএন সার্ভার সেটআপ করুন (যা pfSense ওয়েব ইন্টারফেসে যাওয়ার জন্য প্রস্তুত) এবং ভার্চুয়াল আইপি সহ অন্যান্য মেশিনটিকে স্থানীয় ওপেনভিপিএন আইপিতে নির্দেশিত করুন। এটি আপনাকে পরবর্তীকালে সম্প্রসারণের জন্য জায়গা দেবে (ভার্চুয়াল আইপি সহ আরও মেশিন যুক্ত করুন, যুক্তিযুক্তভাবে বিভিন্ন সার্ভারে নির্দিষ্ট পোর্টগুলি ফরোয়ার্ড করুন, ভার্চুয়াল অ্যাক্সেসের জন্য ওপেনভিপিএন সহ সত্যই একটি সম্পূর্ণ প্রস্ফুটিভ ল্যান / ডাব্লান / ডিএনজেড সেটআপ রয়েছে mention পূর্ণ ব্লাউন্ড রাউটার যাতে এটি সম্ভবত আরও সুরক্ষিত থাকে।

Comments

মধ্যবর্তী ফায়ারওয়ালগুলি কীভাবে জড়িত তা আমি বুঝতে পারি না; তারা অবশ্যই A এবং B এর মধ্যে ওপেনভিপিএন প্যাকেটের ভিতরে খুঁজছেন না । নিজেই push "route 50.7.19.122 255.255.255.255 net_gateway"ওপেনভিপিএন কনফিগারেশনের জন্য, আমি প্রত্যাশা করছিলাম যে এর মতো কিছু নিশ্চিত করা যায় যে ভিপিএন ডেটা এখনও স্বাভাবিক নেটওয়ার্কের উপরে চাপছে।

— জিম প্যারিস 21

স্পষ্টতই, আমি প্রতিটি এবং পৃথক ফায়ারওয়ালগুলিতে নয়, সরাসরি এ এবং বি এর মধ্যে সুড়ঙ্গ তৈরি করতে চাই ।

— জিম প্যারিস

কিন্তু যখন কম্পিউটার এ কম্পিউটার বি তে রুট করতে চায় তবে তা জানতে পারবে না যে এটি ডাব্লুএএন (আপনার পাবলিক আইপি সহ), ল্যান (এটির স্ট্যাটিক আইপি সহ) বা ওপেনভিপিএন (আপনার পাবলিক আইপি সহ) ব্যবহার করবে কারণ তারা সব একই সাবনেট বি টু এ কাজ করা উচিত।

— রবার্ট

এছাড়াও এটি আছে, আমি এটি কাজ করেছিলাম তবে পাবলিক আইপি দিয়ে নেই। আমি মনে করি ভার্চুয়াল আইপিস যে কোনও উপায়ে আরও ভাল হবে। openvpn.net/index.php/open-source/docamentation/miscellaneous/…

— রবার্ট

"স্পষ্ট করে বলার জন্য, আমি সরাসরি এ এবং বি এর মধ্যে সুড়ঙ্গ তৈরি করতে চাই, প্রতিটি প্রান্তে পৃথক ফায়ারওয়াল দিয়ে নয়।" আপনাকে কোনও ওপেনভিপিএন সার্ভারের জন্য কোথাও একটি বন্দর খুলতে হবে

— রবার্ট