গন্তব্য ডোমেনের উপর ভিত্তি করে রুট করা অসম্ভব নয়, এবং সঠিক সরঞ্জামগুলি দিয়ে, এতটা কঠিন নয়।
আমি কয়েকটি পদ্ধতি উপস্থাপন করব যার জন্য খুব কম বা কোনও বিশেষ ক্লায়েন্টের পক্ষের কনফিগারেশন প্রয়োজন। এই সমস্ত ধরে নিই যে আপনি সংযোগের জন্য ওপেনভিপিএন ব্যবহার করছেন। এটি অন্যান্য ভিপিএনগুলির সাথে অর্জনযোগ্য হওয়া উচিত, তবে ভিপিএন আনার পরে আরও ম্যানুয়াল কনফিগারেশন লাগতে পারে।
উদাহরণস্বরূপ, নন-ভিপিএন দিয়ে আমরা যে ডোমেনগুলি রুট করতে চাই তার জন্য আমি "উদাহরণ.com", "us1.example.com", "us2.example.com", এবং "জিওব্লকডটকম" ডোমেনগুলি ব্যবহার করব example ইন্টারফেস.
সমস্ত কমান্ড রুট হিসাবে চালানো উচিত।
পদ্ধতি 1 - ওপেনভিপিএন
আমি কেবলমাত্র এটির প্রস্তাব দিই যদি আপনি নিশ্চিত হন যে আপনি যে আইপি ঠিকানাগুলি রাউটিং করছেন তার স্থির আইপি থাকে যা কখনই পরিবর্তন হয় না।
পেশাদাররা:
কনস:
- আইপি সহ ডোমেনগুলির জন্য কেবল নির্ভরযোগ্য যা কখনও পরিবর্তন হয় না
- প্রতিটি ডোমেন এবং সাবডোমেনের জন্য সুস্পষ্ট এন্ট্রি প্রয়োজন
পদ্ধতি:
আপনার ওপেনভিপিএন কনফিগারেশনে নিম্নলিখিত লাইনগুলি যুক্ত করুন:
route example.com 255.255.255.255 net_gateway
route us1.example.com 255.255.255.255 net_gateway
route us2.example.com 255.255.255.255 net_gateway
route geoblocked.com 255.255.255.255 net_gateway
ওপেনভিপিএন পুনরায় চালু করুন।
এটি হ'ল, তবে এই আইপি ঠিকানাগুলি যদি কখনও পরিবর্তিত হয় তবে আপনাকে আবার ভিপিএন পুনরায় চালু করতে হবে।
দ্রষ্টব্য : কিছু উত্স বলছে আপনাকেও নির্দিষ্ট করা দরকার allow-pull-fqdn, তবে এটি আমার অভিজ্ঞতার ক্ষেত্রে মনে হয় নি। YMMV।
পদ্ধতি 2 - নীতি ভিত্তিক রাউটিং
নীতি ভিত্তিক রাউটিং নির্দিষ্ট মানদণ্ডের ভিত্তিতে রুট করার ক্ষমতা; সাধারণত একটি উত্স ঠিকানা বা প্রোটোকল, তবে এই ক্ষেত্রে আমরা রাউটিংয়ের আগে গন্তব্য ডোমেন নামটি পরীক্ষা করব এবং চিহ্নিত প্যাকেটগুলি ব্যবহার করব ("fwmark")।
সুতরাং প্রথমে আমাদের যা করা দরকার তা হ'ল আপনার ভিপিএন রাউটেড প্যাকেটগুলির জন্য একটি পৃথক টেবিল তৈরি করা, যাতে আমরা ভিপিএন দিয়ে যাওয়া চিহ্নিতকারীদের এবং নন-ভিপিএন ইন্টারফেসের মাধ্যমে চিহ্নিত প্যাকেটগুলি পাস করতে পারি। (মনে রাখবেন, এটি একটি পদ্ধতির এবং এটির কাছে যাওয়ার আরও অনেকগুলি উপায় রয়েছে যেমন ভিপিএনকে প্রধান টেবিলের মাধ্যমে তার রাউটিংটিকে স্বাভাবিক হিসাবে দেওয়া এবং ভিপিএনবিহীন ট্রাফিকের জন্য পৃথক টেবিল তৈরি করা))
আপনার কার্নেলটি অবশ্যই যথেষ্ট সাম্প্রতিক এবং সঠিক মডিউল থাকতে হবে, যদিও আধুনিক সিস্টেমগুলি সম্ভবত তাদের ডিফল্ট কার্নেলের মধ্যে রয়েছে।
নাম "vpn_table" (রাউটিং টেবিলের নাম), এবং "201" (রাউটিং টেবিল আইডি) এবং "3" (fwmark) নম্বরগুলি নির্বিচারে বেছে নেওয়া হয়েছে।
নতুন রুটিং টেবিলটি তৈরি করুন (রুট হিসাবে):
echo 201 vpn_table >> /etc/iproute2/rt_tables
ওপেনভিপিএন কনফিগার করুন:
নিম্নলিখিত স্ক্রিপ্টটি কোথাও তৈরি করুন (আমি এটি "/ etc / openvpn / ক্লায়েন্ট / সেটআপ-রাউটিং" বলছি) এবং এটি কার্যকর করার যোগ্য করে তুলুন:
#!/bin/bash
ip route add 0.0.0.0/1 via $route_vpn_gateway dev $dev scope global table vpn_table
ip route add 128.0.0.0/1 via $route_vpn_gateway dev $dev scope global table vpn_table
sysctl -w net.ipv4.conf.$dev.rp_filter=2
# You can optionally leave the next two lines out but run the `ip rule add`
# command at each boot instead
ip rule del fwmark 3 table vpn_table &>/dev/null # This might fail but that's ok
ip rule add fwmark 3 table vpn_table
উপরের স্ক্রিপ্টের ভেরিয়েবলগুলি ওপেনভিপিএন দ্বারা পরিবেশ পরিবর্তনশীল হিসাবে পপুলেটেড হবে। এছাড়াও "vpn_table" রাউটিং টেবিলের ভিপিএন গেটওয়ে দিয়ে সমস্ত ঠিকানায় রুটিং সেট আপ করুন । যদি আপনার ভিপিএন সেটআপের আরও জটিল রাউটিংয়ের প্রয়োজন হয় তবে ওপেনভিপিএন ডকুমেন্টেশন পড়ুন এবং সে অনুযায়ী সামঞ্জস্য করুন।
আপনার ওপেনভিপিএন কনফিগারেশনে নিম্নলিখিতগুলি যুক্ত করুন:
## Policy routing
route-noexec
script-security 2
route-up /etc/openvpn/client/setup-routing
"রুট-নয়েেক্সেক" লাইনটি ওপেনভিপিএনকে সার্ভার থেকে রুটটি আনতে অনুমতি দেয়, তবে এটিকে প্রকৃতপক্ষে রুটগুলি পপুলেশন থেকে বাধা দেয়। পরিবর্তে রুট-আপ স্ক্রিপ্ট বলা হয়। একটি ব্যবহারকারী-সংজ্ঞায়িত স্ক্রিপ্ট কল করার জন্য "স্ক্রিপ্ট-সুরক্ষা 2" প্রয়োজনীয়।
চিহ্নিত প্যাকেটগুলি রুট করার জন্য এটি প্রয়োজনীয় সমস্ত সেট আপ, তবে প্যাকেটগুলি চিহ্নিত করার জন্য আমাদের একটি উপায় সেট আপ করতে হবে। দুটি বিকল্প আইপসেট সহ ডেনমাস্ক ব্যবহার করছে বা স্কুইড প্রক্সি স্থাপন করছে।
পদ্ধতি 2 এ - আইপসেট এবং ডিএনএসম্যাক ব্যবহার করে নীতি ভিত্তিক রাউটিং
আপনি যদি ইতিমধ্যে ডিএনএসম্যাস্ক-ভিত্তিক রাউটারটিতে এটি চালাচ্ছেন বা আপনার ক্লায়েন্টরা প্রক্সি কনফিগারেশন সমর্থন না করে তবে আমি এই পদ্ধতির সুপারিশ করব। এটি কার্যকরভাবে ক্যাচিং ডিএনএসের মতোই যা যখনই কোনও ডোমেইনের নাম সন্ধান করা হয় তখন রাউটিং টেবিল আপডেট করে।
পেশাদাররা:
- সাবডোমেনগুলি পরিচালনা করে
- এমন ডিভাইসগুলিতে কাজ করে যা প্রক্সিগুলি অ্যাক্সেস করতে পারে না (সেগুলি কি বিদ্যমান?)
কনস:
- রেফারার ক্ষেত্রটি পরিচালনা করে না (পদ্ধতি 2 বি দেখুন)
- জটিল আইপসেট এবং iptables কনফিগারেশন প্রয়োজন
- একটি রাউটার হিসাবে সেট আপ করতে ভিপিএন সংযুক্ত সিস্টেমের প্রয়োজন (ডেডিকেটেড ইন্টারফেসের প্রয়োজন)
- আইপসেটটি কী পরিমাণ স্কেলযোগ্য (আমার ব্যবহারের ক্ষেত্রটি পুরো সিসিটিএলডি এর জন্য) তা আমার কোনও ধারণা নেই
এটি ধরে নিয়েছে যে আপনি ইতিমধ্যে dnsmasq কনফিগার করেছেন এবং সেট আপ করেছেন এবং ডেডিকেটেড ইন্টারফেস "এথ 1" এর সাথে সংযুক্ত ক্লায়েন্টদের জন্য গেটওয়ে এবং ডিএনএস সার্ভার হিসাবে অভিনয় করছেন।
আইপসেট তৈরি করুন:
ipset create SKIP_VPN_IPSET iphash
আইপেটেবলকে আইপসেট প্যাকেটগুলি চিহ্নিত করতে বলুন (এনবি, আইপসেট তালিকা তৈরি করার পরে এটি করা আবশ্যক ):
# Mark ALL packets coming in on eth1 - change this to the interface dnsmasq listens on
iptables -A PREROUTING -i eth1 -t mangle -j MARK --set-mark 3
# REMOVE mark on any addresses that match our ipset
iptables -A PREROUTING -t mangle -m set --match-set SKIP_VPN_IPSET dst -j MARK --set-mark 0/3
দ্রষ্টব্য : উপরের কমান্ডগুলি ( ipsetএবং iptables) প্রতিটি বুটে চালানো আবশ্যক। বিকল্পভাবে, আপনার ওএস iptable নিয়ম এবং আইপসেটগুলি সংরক্ষণ / পুনরুদ্ধার করার জন্য কিছু বিকল্প সরবরাহ করতে পারে।
দ্রষ্টব্য : এখানে একটি বিপরীতমুখী নথিবদ্ধ আছে ! --match-setতবে এর ফলে যখন আমি চেষ্টা করেছি তখন সমস্ত প্যাকেটগুলি অদৃশ্য হয়ে গেল।
আপনার dnsmasq.conf এ নিম্নলিখিতগুলি যুক্ত করুন:
ipset=/example.com/geoblocked.com/SKIP_VPN_IPSET
স্পষ্টতই আপনি যে কোনও ডোমেইনের নাম রুট করতে চান সেই লাইনটি খুব সামঞ্জস্য করুন। এটাও যোগ হবে সব যাতে আপনি স্পষ্টভাবে তাদের নির্দিষ্ট করতে হবে না, ipset করার সাবডোমেন। এমনকি একটি টিএলডি ব্যবহার করলেও কাজ হবে।
Dnsmasq পুনরায় চালু করুন এবং ভিপিএন সংযুক্ত সিস্টেমকে গেটওয়ে এবং ডিএনএস উভয় হিসাবে ব্যবহার করতে আপনার ক্লায়েন্টগুলি সেট আপ করুন (এটি যদি ডিএইচসিপি সার্ভার হিসাবে সেট আপ করা থাকে তবে তা বোঝানো উচিত)।
এটি আমার প্রিয় পদ্ধতি এবং আমার PS4 এবং আমি সংযোগ করার জন্য ব্যবহার করি এমন অন্যান্য ডিভাইসের সাথে ভাল কাজ করে।
পেশাদাররা:
- সাবডোমেনগুলি পরিচালনা করে
- রেফারার ক্ষেত্র পরিচালনা করে
- আপনার বিদ্যমান রাউটারটি প্রতিস্থাপনের প্রয়োজন নেই
- ক্লায়েন্ট (ব্রাউজারগুলি) এটি বিকল্পভাবে ব্যবহার করতে পারে বা না পারে
কনস:
- ক্লায়েন্টদের অবশ্যই প্রক্সি সংযোগ সমর্থন করবে
এটি ধরে নিয়েছে যে আপনার কাছে একটি ওয়ার্কিং স্কুইড সেটআপ এবং স্কুইড কনফিগারেশনের প্রাথমিক জ্ঞান রয়েছে।
স্কুইড.কনফ-এ নিম্নলিখিত লাইনগুলি যুক্ত করুন:
# redirect example domains
acl domain_to_remote_proxy dstdomain .example.com
acl ref_to_remote_proxy referer_regex [^.]*\.example.com.*
# redirect geoblocked domain
acl domain_to_remote_proxy dstdomain .geoblocked.com
acl ref_to_remote_proxy referer_regex [^.]*\.geoblocked.com.*
# mark packets that we want routed through the VPN
tcp_outgoing_mark 0x03 !ref_to_remote_proxy !domain_to_remote_proxy
নোট করুন প্রতি ডোমেনে 2 টি লাইন রয়েছে এবং সাবডোমেনগুলি মিলছে। প্রথম লাইনটি গন্তব্য ডোমেনটি পরীক্ষা করে এবং দ্বিতীয়টি "রেফারার" শিরোনামের সাথে মেলে। এটি দরকারী কারণ ব্রাউজারগুলি কোনও ওয়েবপৃষ্ঠায় চিত্র, সিএসএস বা জাভাস্ক্রিপ্টের মতো সামগ্রী আনার সময় রেফারার প্রেরণ করে; এর অর্থ এই যে সাইটের অনুরোধ করা সামগ্রীটি কোনও অন্য ডোমেনে (যেমন, উদাহরণস্বরূপ- cdn.com) হোস্ট করা হলেও নন-ভিপিএন ঠিকানার মাধ্যমেও রুট করবে।
ক্লায়েন্টগুলিতে, স্বাভাবিকের মতো সংযোগ স্থাপন করুন তবে এই সিস্টেমের জন্য প্রক্সি সার্ভার এবং পোর্ট ব্যবহার করতে প্রক্সি সেটিংস সেট করুন। বেশিরভাগ ডিভাইস (গেম কনসোল সহ) সিস্টেম-ব্যাপী কনফিগারেশনের অনুমতি দেয়। পিসিগুলিতে, বেশিরভাগ ব্রাউজারগুলি সিস্টেম সেটগগুলি থেকে স্বতন্ত্রভাবে একটি প্রক্সি ব্যবহার করতে কনফিগার করা যায়।
চূড়ান্ত দ্রষ্টব্য - আমার ব্যবহারের ক্ষেত্রটি আসলে ভিপিএন এর মাধ্যমে নির্দিষ্ট ডোমেনগুলি এবং নন-ভিপিএন এর মাধ্যমে সমস্ত কিছু রুট করার জন্য। পদ্ধতিগুলি উপরের মতো, তবে বিপরীত।