क्या आप कार्यस्थल पर लिनक्स का उपयोग करना चाहते हैं, लेकिन आपका कॉर्पोरेट वीपीएन आपको इसकी अनुमति नहीं देगा? तब यह लेख मदद कर सकता है, हालाँकि यह निश्चित नहीं है। मैं आपको पहले ही चेतावनी देना चाहूँगा कि मैं नेटवर्क प्रशासन के मुद्दों को अच्छी तरह से नहीं समझता हूँ, इसलिए संभव है कि मैंने सब कुछ गलत किया हो। दूसरी ओर, यह संभव है कि मैं एक गाइड इस तरह से लिख सकूं कि यह आम लोगों को समझ में आ सके, इसलिए मैं आपको इसे आज़माने की सलाह देता हूं।

लेख में बहुत सारी अनावश्यक जानकारी है, लेकिन इस जानकारी के बिना मैं उन समस्याओं को हल नहीं कर पाता जो वीपीएन स्थापित करने में अप्रत्याशित रूप से मेरे सामने आईं। मुझे लगता है कि जो कोई भी इस गाइड का उपयोग करने का प्रयास करेगा उसे ऐसी समस्याएं होंगी जो मेरे पास नहीं थीं, और मुझे आशा है कि यह अतिरिक्त जानकारी इन समस्याओं को स्वयं हल करने में मदद करेगी।

इस गाइड में उपयोग किए गए अधिकांश कमांड को सूडो के माध्यम से चलाने की आवश्यकता है, जिसे संक्षिप्तता के लिए हटा दिया गया है। ध्यान रखें।

अधिकांश आईपी पते गंभीर रूप से अस्पष्ट हो गए हैं, इसलिए यदि आपको 435.435.435.435 जैसा कोई पता दिखाई देता है, तो वहां आपके मामले के लिए विशिष्ट कुछ सामान्य आईपी होना चाहिए।

मेरे पास उबंटू 18.04 है, लेकिन मुझे लगता है कि मामूली बदलावों के साथ गाइड को अन्य वितरणों पर लागू किया जा सकता है। हालाँकि, इस पाठ में लिनक्स == उबंटू।

सिस्को कनेक्ट

जो लोग विंडोज़ या मैकओएस पर हैं, वे सिस्को कनेक्ट के माध्यम से हमारे कॉर्पोरेट वीपीएन से जुड़ सकते हैं, जिसके लिए गेटवे पता निर्दिष्ट करना होगा और, हर बार जब आप कनेक्ट होते हैं, तो एक पासवर्ड दर्ज करें जिसमें एक निश्चित भाग और Google प्रमाणक द्वारा उत्पन्न एक कोड होता है।

लिनक्स के मामले में, मैं सिस्को कनेक्ट को चालू नहीं कर सका, लेकिन मैं सिस्को कनेक्ट को बदलने के लिए विशेष रूप से बनाई गई ओपनकनेक्ट का उपयोग करने के लिए एक सिफारिश को Google पर ढूंढने में कामयाब रहा।

ओपनकनेक्ट

सिद्धांत रूप में, उबंटू में ओपनकनेक्ट के लिए एक विशेष ग्राफिकल इंटरफ़ेस है, लेकिन यह मेरे लिए काम नहीं करता है। शायद यह बेहतरी के लिए है.

उबंटू पर, पैकेज मैनेजर से ओपनकनेक्ट स्थापित किया गया है।

apt install openconnect

इंस्टालेशन के तुरंत बाद, आप किसी वीपीएन से कनेक्ट करने का प्रयास कर सकते हैं

openconnect --user poxvuibr vpn.evilcorp.com

vpn.evilcorp.com एक काल्पनिक वीपीएन का पता है
पॉक्सवुइब्र - काल्पनिक उपयोक्तानाम

ओपनकनेक्ट आपसे एक पासवर्ड दर्ज करने के लिए कहेगा, जिसमें, मैं आपको याद दिला दूं, इसमें एक निश्चित भाग और Google प्रमाणक का एक कोड शामिल है, और फिर यह वीपीएन से कनेक्ट करने का प्रयास करेगा। यदि यह काम करता है, बधाई हो, आप सुरक्षित रूप से बीच को छोड़ सकते हैं, जिसमें बहुत कष्ट होता है, और पृष्ठभूमि में चल रहे ओपनकनेक्ट के बिंदु पर आगे बढ़ सकते हैं। यदि यह काम नहीं करता है, तो आप जारी रख सकते हैं। यद्यपि यदि यह कनेक्ट करते समय काम करता है, उदाहरण के लिए, काम पर अतिथि वाई-फाई से, तो खुशी मनाना जल्दबाजी होगी; आपको घर से प्रक्रिया को दोहराने का प्रयास करना चाहिए।

प्रमाणपत्र

इस बात की बहुत अधिक संभावना है कि कुछ भी शुरू नहीं होगा, और ओपनकनेक्ट आउटपुट कुछ इस तरह दिखेगा:

POST https://vpn.evilcorp.com/
Connected to 777.777.777.777:443
SSL negotiation with vpn.evilcorp.com
Server certificate verify failed: signer not found

Certificate from VPN server "vpn.evilcorp.com" failed verification.
Reason: signer not found
To trust this server in future, perhaps add this to your command line:
    --servercert sha256:4444444444444444444444444444444444444444444444444444444444444444
Enter 'yes' to accept, 'no' to abort; anything else to view: fgets (stdin): Operation now in progress

एक ओर, यह अप्रिय है, क्योंकि वीपीएन से कोई संबंध नहीं था, लेकिन दूसरी ओर, इस समस्या को कैसे ठीक किया जाए, सिद्धांत रूप में, यह स्पष्ट है।

यहां सर्वर ने हमें एक प्रमाणपत्र भेजा, जिसके द्वारा हम यह निर्धारित कर सकते हैं कि कनेक्शन हमारे मूल निगम के सर्वर से किया जा रहा है, न कि किसी दुष्ट घोटालेबाज से, और यह प्रमाणपत्र सिस्टम के लिए अज्ञात है। और इसलिए वह यह जांच नहीं कर पाती कि सर्वर असली है या नहीं. और इसलिए, किसी भी स्थिति में, यह काम करना बंद कर देता है।

ओपनकनेक्ट को सर्वर से कनेक्ट करने के लिए, आपको —servercert कुंजी का उपयोग करके यह स्पष्ट रूप से बताना होगा कि वीपीएन सर्वर से कौन सा प्रमाणपत्र आना चाहिए

और आप यह पता लगा सकते हैं कि सर्वर ने हमें कौन सा प्रमाणपत्र सीधे ओपनकनेक्ट से भेजा है। यहाँ इस टुकड़े से है:

To trust this server in future, perhaps add this to your command line:
    --servercert sha256:4444444444444444444444444444444444444444444444444444444444444444
Enter 'yes' to accept, 'no' to abort; anything else to view: fgets (stdin): Operation now in progress

इस कमांड से आप दोबारा कनेक्ट करने का प्रयास कर सकते हैं

openconnect --servercert sha256:4444444444444444444444444444444444444444444444444444444444444444 --user poxvuibr vpn.evilcorp.com

शायद अब यह काम कर रहा है, तो आप अंत तक आगे बढ़ सकते हैं। लेकिन व्यक्तिगत रूप से, उबुंटा ने मुझे इस रूप में एक अंजीर दिखाया

POST https://vpn.evilcorp.com/
Connected to 777.777.777.777:443
SSL negotiation with vpn.evilcorp.com
Server certificate verify failed: signer not found
Connected to HTTPS on vpn.evilcorp.com
XML POST enabled
Please enter your username and password.
POST https://vpn.evilcorp.com/
Got CONNECT response: HTTP/1.1 200 OK
CSTP connected. DPD 300, Keepalive 30
Set up DTLS failed; using SSL instead
Connected as 192.168.333.222, using SSL
NOSSSSSHHHHHHHDDDDD
3
NOSSSSSHHHHHHHDDDDD
3
RTNETLINK answers: File exists
/etc/resolvconf/update.d/libc: Warning: /etc/resolv.conf is not a symbolic link to /run/resolvconf/resolv.conf

/ Etc / resolv.conf

# Generated by NetworkManager
search gst.evilcorpguest.com
nameserver 127.0.0.53

/run/resolvconf/resolv.conf

# Dynamic resolv.conf(5) file for glibc resolver(3) generated by resolvconf(8)
#     DO NOT EDIT THIS FILE BY HAND -- YOUR CHANGES WILL BE OVERWRITTEN
# 127.0.0.53 is the systemd-resolved stub resolver.
# run "systemd-resolve --status" to see details about the actual nameservers.

nameserver 192.168.430.534
nameserver 127.0.0.53
search evilcorp.com gst.publicevilcorp.com

habr.com समाधान कर देगा, लेकिन आप वहां नहीं जा पाएंगे। jira.evilcorp.com जैसे पते बिल्कुल भी हल नहीं होते हैं।

यहां क्या हुआ यह मुझे स्पष्ट नहीं है. लेकिन प्रयोग से पता चलता है कि यदि आप /etc/resolv.conf में लाइन जोड़ते हैं

nameserver 192.168.430.534

फिर वीपीएन के अंदर के पते जादुई रूप से हल होने लगेंगे और आप उनके माध्यम से चल सकते हैं, यानी, पते को हल करने के लिए DNS जो खोज रहा है वह विशेष रूप से /etc/resolv.conf में दिखता है, और कहीं और नहीं।

आप सत्यापित कर सकते हैं कि वीपीएन से कोई कनेक्शन है और यह /etc/resolv.conf में कोई बदलाव किए बिना काम करता है; ऐसा करने के लिए, बस ब्राउज़र में वीपीएन से संसाधन का प्रतीकात्मक नाम नहीं, बल्कि उसका आईपी पता दर्ज करें

परिणामस्वरूप, दो समस्याएँ हैं

किसी वीपीएन से कनेक्ट होने पर, उसका डीएनएस नहीं उठाया जाता है
सारा ट्रैफ़िक वीपीएन के माध्यम से जाता है, जो इंटरनेट तक पहुंच की अनुमति नहीं देता है

मैं आपको बताऊंगा कि अब क्या करना है, लेकिन पहले थोड़ा स्वचालन।

पासवर्ड के निश्चित भाग की स्वचालित प्रविष्टि

अब तक, आप संभवतः कम से कम पांच बार अपना पासवर्ड दर्ज कर चुके हैं और इस प्रक्रिया ने आपको पहले ही थका दिया है। पहला, क्योंकि पासवर्ड लंबा है, और दूसरा, क्योंकि प्रवेश करते समय आपको एक निश्चित समय अवधि के भीतर फिट होना होगा

समस्या का अंतिम समाधान लेख में शामिल नहीं किया गया था, लेकिन आप यह सुनिश्चित कर सकते हैं कि पासवर्ड के निश्चित भाग को कई बार दर्ज नहीं करना पड़ेगा।

आइए मान लें कि पासवर्ड का निश्चित भाग फिक्स्डपासवर्ड है, और Google प्रमाणक का भाग 567 है। पूरे पासवर्ड को --passwd-on-stdin तर्क का उपयोग करके मानक इनपुट के माध्यम से ओपनकनेक्ट में पारित किया जा सकता है।

echo "fixedPassword567987" | openconnect --servercert sha256:4444444444444444444444444444444444444444444444444444444444444444 --user poxvuibr vpn.evilcorp.com --passwd-on-stdin

अब आप लगातार अंतिम दर्ज किए गए कमांड पर लौट सकते हैं और वहां Google प्रमाणक का केवल भाग बदल सकते हैं।

एक कॉर्पोरेट वीपीएन आपको इंटरनेट सर्फ करने की अनुमति नहीं देता है।

सामान्य तौर पर, यह बहुत असुविधाजनक नहीं है जब आपको हैबर पर जाने के लिए एक अलग कंप्यूटर का उपयोग करना पड़ता है। स्टैकओवरफ़ॉ से कॉपी-पेस्ट करने में असमर्थता आम तौर पर काम को बाधित कर सकती है, इसलिए कुछ करने की ज़रूरत है।

हमें इसे किसी तरह व्यवस्थित करने की आवश्यकता है ताकि जब आपको आंतरिक नेटवर्क से किसी संसाधन तक पहुंचने की आवश्यकता हो, तो लिनक्स वीपीएन पर चला जाए, और जब आपको हैबर पर जाने की आवश्यकता हो, तो यह इंटरनेट पर चला जाए।

ओपनकनेक्ट, वीपीएन के साथ कनेक्शन शुरू करने और स्थापित करने के बाद, एक विशेष स्क्रिप्ट निष्पादित करता है, जो /usr/share/vpnc-scripts/vpnc-script में स्थित है। कुछ वेरिएबल्स को इनपुट के रूप में स्क्रिप्ट में पास किया जाता है, और यह वीपीएन को कॉन्फ़िगर करता है। दुर्भाग्य से, मैं यह समझ नहीं पाया कि मूल स्क्रिप्ट का उपयोग करके कॉर्पोरेट वीपीएन और बाकी इंटरनेट के बीच ट्रैफ़िक प्रवाह को कैसे विभाजित किया जाए।

जाहिर है, वीपीएन-स्लाइस उपयोगिता विशेष रूप से मेरे जैसे लोगों के लिए विकसित की गई थी, जो आपको टैम्बोरिन के साथ नृत्य किए बिना दो चैनलों के माध्यम से ट्रैफ़िक भेजने की अनुमति देती है। ठीक है, यानी, आपको नृत्य करना होगा, लेकिन आपको जादूगर नहीं बनना है।

वीपीएन-स्लाइस का उपयोग करके ट्रैफ़िक पृथक्करण

सबसे पहले आपको vpn-slice इनस्टॉल करना होगा, ये आपको खुद ही पता लगाना होगा. यदि टिप्पणियों में कोई प्रश्न हैं, तो मैं इस बारे में एक अलग पोस्ट लिखूंगा। लेकिन यह एक नियमित पायथन प्रोग्राम है, इसलिए इसमें कोई कठिनाई नहीं होनी चाहिए। मैंने वर्चुअलएन्व का उपयोग करके इंस्टॉल किया।

और फिर उपयोगिता को -स्क्रिप्ट स्विच का उपयोग करके लागू किया जाना चाहिए, जो ओपनकनेक्ट को इंगित करता है कि मानक स्क्रिप्ट के बजाय, आपको वीपीएन-स्लाइस का उपयोग करने की आवश्यकता है

echo "fixedPassword567987" | openconnect --servercert sha256:4444444444444444444444444444444444444444444444444444444444444444 --user poxvuibr --passwd-on-stdin 
--script "./bin/vpn-slice 192.168.430.0/24  " vpn.evilcorp.com

--स्क्रिप्ट को एक कमांड के साथ एक स्ट्रिंग पास किया जाता है जिसे स्क्रिप्ट के बजाय कॉल करने की आवश्यकता होती है। ./bin/vpn-slice - वीपीएन-स्लाइस निष्पादन योग्य फ़ाइल का पथ 192.168.430.0/24 - वीपीएन में जाने के लिए पतों का मुखौटा। यहां, हमारा मतलब यह है कि यदि पता 192.168.430 से शुरू होता है, तो इस पते वाले संसाधन को वीपीएन के अंदर खोजना होगा

स्थिति अब लगभग सामान्य होनी चाहिए. लगभग। अब आप हैबर पर जा सकते हैं और आईपी द्वारा इंट्रा-कॉर्पोरेट संसाधन पर जा सकते हैं, लेकिन आप प्रतीकात्मक नाम से इंट्रा-कॉर्पोरेट संसाधन पर नहीं जा सकते। यदि आप होस्ट में प्रतीकात्मक नाम और पते के बीच एक मिलान निर्दिष्ट करते हैं, तो सब कुछ काम करना चाहिए। और आईपी बदलने तक काम करें। लिनक्स अब आईपी के आधार पर इंटरनेट या इंट्रानेट तक पहुंच सकता है। लेकिन गैर-कॉर्पोरेट DNS का उपयोग अभी भी पता निर्धारित करने के लिए किया जाता है।

समस्या इस रूप में भी प्रकट हो सकती है - काम पर सब कुछ ठीक है, लेकिन घर पर आप केवल आईपी के माध्यम से आंतरिक कॉर्पोरेट संसाधनों तक पहुंच सकते हैं। ऐसा इसलिए है क्योंकि जब आप कॉर्पोरेट वाई-फाई से कनेक्ट होते हैं, तो कॉर्पोरेट डीएनएस का भी उपयोग किया जाता है, और वीपीएन से प्रतीकात्मक पते इसमें हल किए जाते हैं, इस तथ्य के बावजूद कि वीपीएन का उपयोग किए बिना ऐसे पते पर जाना अभी भी असंभव है।

होस्ट फ़ाइल का स्वचालित संशोधन

यदि वीपीएन-स्लाइस से विनम्रतापूर्वक पूछा जाए, तो वीपीएन बढ़ाने के बाद, वह अपने डीएनएस पर जा सकता है, वहां आवश्यक संसाधनों के आईपी पते उनके प्रतीकात्मक नामों से ढूंढ सकता है और उन्हें होस्ट में दर्ज कर सकता है। वीपीएन बंद करने के बाद, ये पते होस्ट से हटा दिए जाएंगे। ऐसा करने के लिए, आपको प्रतीकात्मक नामों को वीपीएन-स्लाइस में तर्क के रूप में पास करना होगा। इस कदर।

echo "fixedPassword567987" | openconnect --servercert sha256:4444444444444444444444444444444444444444444444444444444444444444 --user poxvuibr --passwd-on-stdin
--script "./bin/vpn-slice 192.168.430.0/24  jira.vpn.evilcorp.com git.vpn.evilcorp.com " vpn.evilcorp.com

अब सब कुछ कार्यालय और समुद्र तट दोनों जगह काम करना चाहिए।

वीपीएन द्वारा दिए गए डीएनएस में सभी उपडोमेन के पते खोजें

यदि नेटवर्क के भीतर कुछ पते हैं, तो होस्ट फ़ाइल को स्वचालित रूप से संशोधित करने का दृष्टिकोण काफी अच्छी तरह से काम करता है। लेकिन अगर नेटवर्क पर बहुत सारे संसाधन हैं, तो आपको लगातार zoidberg.test.evilcorp.com जैसी पंक्तियों को स्क्रिप्ट में जोड़ने की आवश्यकता होगी zoidberg परीक्षण बेंचों में से एक का नाम है।

लेकिन अब जब हम थोड़ा समझ गए हैं कि इस आवश्यकता को क्यों समाप्त किया जा सकता है।

यदि, वीपीएन बढ़ाने के बाद, आप /etc/hosts में देखते हैं, तो आप यह लाइन देख सकते हैं

192.168.430.534 डीएनएस0.ट्यून0 # वीपीएन-स्लाइस-ट्यून0 स्वत: निर्मित

और resolv.conf में एक नई लाइन जोड़ी गई। संक्षेप में, वीपीएन-स्लाइस ने किसी तरह यह निर्धारित किया कि वीपीएन के लिए डीएनएस सर्वर कहाँ स्थित है।

अब हमें यह सुनिश्चित करने की ज़रूरत है कि ईविलकॉर्प.कॉम पर समाप्त होने वाले डोमेन नाम के आईपी पते का पता लगाने के लिए, लिनक्स कॉर्पोरेट डीएनएस पर जाता है, और यदि कुछ और चाहिए, तो डिफ़ॉल्ट पर।

मैंने काफी समय तक गूगल किया और पाया कि ऐसी कार्यक्षमता उबंटू में बॉक्स से बाहर उपलब्ध है। इसका मतलब नामों को हल करने के लिए स्थानीय DNS सर्वर dnsmasq का उपयोग करने की क्षमता है।

यानी, आप यह सुनिश्चित कर सकते हैं कि लिनक्स हमेशा आईपी पते के लिए स्थानीय डीएनएस सर्वर पर जाता है, जो बदले में, डोमेन नाम के आधार पर, संबंधित बाहरी डीएनएस सर्वर पर आईपी की तलाश करेगा।

नेटवर्क और नेटवर्क कनेक्शन से संबंधित हर चीज को प्रबंधित करने के लिए, उबंटू नेटवर्कमैनेजर का उपयोग करता है, और चयन के लिए ग्राफिकल इंटरफ़ेस, उदाहरण के लिए, वाई-फाई कनेक्शन इसका सिर्फ एक फ्रंट एंड है।

हमें इसके विन्यास में चढ़ने की आवश्यकता होगी।

/etc/NetworkManager/dnsmasq.d/evilcorp में एक फ़ाइल बनाएं

पता=/.evilcorp.com/192.168.430.534

इविलकॉर्प के सामने वाले बिंदु पर ध्यान दें। यह dnsmasq को संकेत देता है कि ईविलकॉर्प.कॉम के सभी उपडोमेन को कॉर्पोरेट डीएनएस में खोजा जाना चाहिए।

नाम समाधान के लिए NetworkManager को dnsmasq का उपयोग करने के लिए कहें

नेटवर्क-मैनेजर कॉन्फ़िगरेशन /etc/NetworkManager/NetworkManager.conf में स्थित है, आपको वहां जोड़ना होगा:

[मुख्य] dns=dnsmasq

नेटवर्कमैनेजर को पुनरारंभ करें

service network-manager restart

अब, ओपनकनेक्ट और वीपीएन-स्लाइस का उपयोग करके वीपीएन से कनेक्ट करने के बाद, आईपी सामान्य रूप से निर्धारित किया जाएगा, भले ही आप वीपीएनस्लाइस के तर्कों में प्रतीकात्मक पते न जोड़ें।

वीपीएन के माध्यम से व्यक्तिगत सेवाओं तक कैसे पहुंचें

वीपीएन से जुड़ने में कामयाब होने के बाद, मैं दो दिनों तक बहुत खुश था, और फिर यह पता चला कि अगर मैं कार्यालय नेटवर्क के बाहर से वीपीएन से जुड़ता हूं, तो मेल काम नहीं करता है। लक्षण परिचित है, है ना?

हमारा मेल mail.publicevilcorp.com में स्थित है, जिसका अर्थ है कि यह dnsmasq में नियम के अंतर्गत नहीं आता है और मेल सर्वर पता सार्वजनिक DNS के माध्यम से खोजा जाता है।

खैर, कार्यालय अभी भी DNS का उपयोग करता है, जिसमें यह पता शामिल है। इसी के बारे में मैंने सोचा था। दरअसल, dnsmasq में लाइन जोड़ने के बाद

पता=/mail.publicevilcorp.com/192.168.430.534

स्थिति बिल्कुल नहीं बदली है. आईपी वही रहा. मुझे काम पर जाना था.

और केवल बाद में, जब मैं स्थिति में गहराई से उतरा और समस्या को थोड़ा समझा, तो एक चतुर व्यक्ति ने मुझे बताया कि इसे कैसे हल किया जाए। मेल सर्वर से ऐसे ही नहीं, बल्कि वीपीएन के जरिए कनेक्ट होना जरूरी था

मैं वीपीएन के माध्यम से 192.168.430 से शुरू होने वाले पतों पर जाने के लिए वीपीएन-स्लाइस का उपयोग करता हूं। और मेल सर्वर में न केवल एक प्रतीकात्मक पता होता है जो कि इविलकॉर्प का उपडोमेन नहीं है, इसमें एक आईपी पता भी नहीं है जो 192.168.430 से शुरू होता है। और निःसंदेह वह सामान्य नेटवर्क से किसी को भी अपने पास आने की अनुमति नहीं देता है।

लिनक्स को वीपीएन और मेल सर्वर से गुजरने के लिए, आपको इसे वीपीएन-स्लाइस में भी जोड़ना होगा। मान लीजिए कि मेलकर्ता का पता 555.555.555.555 है

echo "fixedPassword567987" | openconnect --servercert sha256:4444444444444444444444444444444444444444444444444444444444444444 --user poxvuibr --passwd-on-stdin
--script "./bin/vpn-slice 555.555.555.555 192.168.430.0/24" vpn.evilcorp.com

एक तर्क के साथ वीपीएन बढ़ाने की स्क्रिप्ट

निःसंदेह, यह सब बहुत सुविधाजनक नहीं है। हां, आप टेक्स्ट को किसी फ़ाइल में सहेज सकते हैं और हाथ से टाइप करने के बजाय इसे कंसोल में कॉपी-पेस्ट कर सकते हैं, लेकिन यह अभी भी बहुत सुखद नहीं है। प्रक्रिया को आसान बनाने के लिए, आप कमांड को एक स्क्रिप्ट में लपेट सकते हैं जो PATH में स्थित होगी। और फिर आपको केवल Google Authenticator से प्राप्त कोड दर्ज करना होगा

#!/bin/sh  
echo "fixedPassword$1" | openconnect --servercert sha256:4444444444444444444444444444444444444444444444444444444444444444 --user poxvuibr --passwd-on-stdin 
--script "./bin/vpn-slice 192.168.430.0/24  jira.vpn.evilcorp.com git.vpn.evilcorp.com " vpn.evilcorp.com

यदि आप स्क्रिप्ट को कनेक्ट~इविलकॉर्प~ में डालते हैं तो आप आसानी से कंसोल में लिख सकते हैं

connect_evil_corp 567987

लेकिन अब आपको अभी भी उस कंसोल को रखना होगा जिसमें ओपनकनेक्ट किसी कारण से खुला चल रहा है

बैकग्राउंड में ओपनकनेक्ट चल रहा है

सौभाग्य से, ओपनकनेक्ट के लेखकों ने हमारा ख्याल रखा और प्रोग्राम में एक विशेष कुंजी -बैकग्राउंड जोड़ दी, जो लॉन्च के बाद प्रोग्राम को बैकग्राउंड में काम करने देती है। यदि आप इसे इस तरह चलाते हैं, तो आप लॉन्च के बाद कंसोल को बंद कर सकते हैं

#!/bin/sh  
echo "fixedPassword$1" | openconnect --servercert sha256:4444444444444444444444444444444444444444444444444444444444444444 
--user poxvuibr 
--passwd-on-stdin 
--background 
--script "./bin/vpn-slice 192.168.430.0/24  jira.vpn.evilcorp.com git.vpn.evilcorp.com " vpn.evilcorp.com

अब यह स्पष्ट नहीं है कि लॉग कहां जाते हैं। सामान्य तौर पर, हमें वास्तव में लॉग की आवश्यकता नहीं होती है, लेकिन आप कभी नहीं जानते हैं। ओपनकनेक्ट उन्हें syslog पर पुनर्निर्देशित कर सकता है, जहां उन्हें सुरक्षित रखा जाएगा। आपको कमांड में -syslog स्विच जोड़ना होगा

#!/bin/sh  
echo "fixedPassword$1" | openconnect --servercert sha256:4444444444444444444444444444444444444444444444444444444444444444 
--user poxvuibr 
--passwd-on-stdin 
--background 
--syslog 
--script "./bin/vpn-slice 192.168.430.0/24  jira.vpn.evilcorp.com git.vpn.evilcorp.com " vpn.evilcorp.com

और इसलिए, यह पता चला है कि ओपनकनेक्ट पृष्ठभूमि में कहीं काम कर रहा है और किसी को परेशान नहीं करता है, लेकिन यह स्पष्ट नहीं है कि इसे कैसे रोका जाए। यानी, आप निश्चित रूप से, grep का उपयोग करके पीएस आउटपुट को फ़िल्टर कर सकते हैं और एक ऐसी प्रक्रिया की तलाश कर सकते हैं जिसके नाम में ओपनकनेक्ट है, लेकिन यह किसी तरह से थकाऊ है। उन लेखकों को भी धन्यवाद जिन्होंने इस बारे में सोचा. ओपनकनेक्ट में एक कुंजी -पिड-फ़ाइल है, जिसके साथ आप ओपनकनेक्ट को किसी फ़ाइल में इसकी प्रक्रिया पहचानकर्ता लिखने का निर्देश दे सकते हैं।

#!/bin/sh  
echo "fixedPassword$1" | openconnect --servercert sha256:4444444444444444444444444444444444444444444444444444444444444444 
--user poxvuibr 
--passwd-on-stdin 
--background  
--syslog 
--script "./bin/vpn-slice 192.168.430.0/24  jira.vpn.evilcorp.com git.vpn.evilcorp.com " vpn.evilcorp.com  
--pid-file ~/vpn-pid

अब आप हमेशा कमांड से किसी प्रक्रिया को समाप्त कर सकते हैं

kill $(cat ~/vpn-pid)

यदि कोई प्रक्रिया नहीं है, तो किल शाप देगा, लेकिन कोई त्रुटि नहीं देगा। यदि फ़ाइल वहां नहीं है, तो कुछ भी बुरा नहीं होगा, इसलिए आप स्क्रिप्ट की पहली पंक्ति में प्रक्रिया को सुरक्षित रूप से समाप्त कर सकते हैं।

kill $(cat ~/vpn-pid)
#!/bin/sh  
echo "fixedPassword$1" | openconnect --servercert sha256:4444444444444444444444444444444444444444444444444444444444444444 
--user poxvuibr 
--passwd-on-stdin 
--background 
--syslog 
--script "./bin/vpn-slice 192.168.430.0/24  jira.vpn.evilcorp.com git.vpn.evilcorp.com " vpn.evilcorp.com  
--pid-file ~/vpn-pid

अब आप अपना कंप्यूटर चालू कर सकते हैं, कंसोल खोल सकते हैं और Google प्रमाणक से कोड पास करके कमांड चला सकते हैं। इसके बाद कंसोल को नीचे गिराया जा सकता है।

वीपीएन-स्लाइस के बिना. एक उपसंहार के बजाय

यह समझना बहुत मुश्किल हो गया कि वीपीएन-स्लाइस के बिना कैसे रहा जाए। मुझे बहुत कुछ पढ़ना और गूगल करना पड़ा। सौभाग्य से, एक समस्या के साथ इतना समय बिताने के बाद, तकनीकी मैनुअल और यहां तक कि मैन ओपनकनेक्ट रोमांचक उपन्यासों की तरह पढ़े जाते हैं।

परिणामस्वरूप, मुझे पता चला कि वीपीएन-स्लाइस, मूल स्क्रिप्ट की तरह, अलग-अलग नेटवर्क के लिए रूटिंग टेबल को संशोधित करता है।

रूटिंग तालिका

इसे सीधे शब्दों में कहें तो, यह पहले कॉलम में एक तालिका है जिसमें यह बताया गया है कि लिनक्स जिस पते से गुजरना चाहता है उसे किस पते से शुरू करना चाहिए, और दूसरे कॉलम में इस पते पर किस नेटवर्क एडाप्टर से गुजरना है। वास्तव में, अधिक वक्ता हैं, लेकिन इससे सार नहीं बदलता है।

राउटिंग टेबल देखने के लिए, आपको आईपी रूट कमांड चलाने की आवश्यकता है

default via 192.168.1.1 dev wlp3s0 proto dhcp metric 600 
192.168.430.0/24 dev tun0 scope link 
192.168.1.0/24 dev wlp3s0 proto kernel scope link src 192.168.1.534 metric 600 
192.168.430.534 dev tun0 scope link

यहां, प्रत्येक पंक्ति इस बात के लिए जिम्मेदार है कि आपको किसी पते पर संदेश भेजने के लिए कहां जाना है। पहला यह वर्णन है कि संबोधन कहाँ से शुरू होना चाहिए। यह समझने के लिए कि कैसे निर्धारित किया जाए कि 192.168.0.0/16 का अर्थ है कि पता 192.168 से शुरू होना चाहिए, आपको Google पर यह जानना होगा कि आईपी एड्रेस मास्क क्या है। डेव के बाद एडॉप्टर का नाम होता है जिस पर संदेश भेजा जाना चाहिए।

वीपीएन के लिए, लिनक्स ने एक वर्चुअल एडॉप्टर बनाया - tun0। लाइन यह सुनिश्चित करती है कि 192.168 से शुरू होने वाले सभी पतों का ट्रैफ़िक इसके माध्यम से जाता है

192.168.0.0/16 dev tun0 scope link

आप कमांड का उपयोग करके राउटिंग टेबल की वर्तमान स्थिति भी देख सकते हैं मार्ग-एन (आईपी पते को चतुराई से अज्ञात कर दिया गया है) यह कमांड एक अलग रूप में परिणाम उत्पन्न करता है और आम तौर पर इसे अस्वीकार कर दिया जाता है, लेकिन इसका आउटपुट अक्सर इंटरनेट पर मैनुअल में पाया जाता है और आपको इसे पढ़ने में सक्षम होने की आवश्यकता होती है।

किसी रूट के लिए आईपी एड्रेस कहां से शुरू होना चाहिए, इसे डेस्टिनेशन और जेनमास्क कॉलम के संयोजन से समझा जा सकता है। आईपी पते के वे हिस्से जो जेनमास्क में संख्या 255 के अनुरूप हैं, उन्हें ध्यान में रखा जाता है, लेकिन जहां 0 है, उन्हें ध्यान में नहीं रखा जाता है। यानी, डेस्टिनेशन 192.168.0.0 और जेनमास्क 255.255.255.0 के संयोजन का मतलब है कि अगर पता 192.168.0 से शुरू होता है, तो इसके लिए अनुरोध इसी रूट पर जाएगा। और यदि गंतव्य 192.168.0.0 लेकिन जेनमास्क 255.255.0.0, तो 192.168 से शुरू होने वाले पतों के अनुरोध इस मार्ग पर जाएंगे

यह पता लगाने के लिए कि वीपीएन-स्लाइस वास्तव में क्या करता है, मैंने पहले और बाद की तालिकाओं की स्थिति को देखने का निर्णय लिया

VPN चालू करने से पहले ऐसा था

route -n 

Kernel IP routing table
Destination     Gateway         Genmask         Flags Metric Ref    Use Iface
0.0.0.0         222.222.222.1   0.0.0.0         UG    600    0        0 wlp3s0
222.222.222.0   0.0.0.0         255.255.255.0   U     600    0        0 wlp3s0
333.333.333.333 222.222.222.1   255.255.255.255 UGH   0      0        0 wlp3s0

बिना वीपीएन-स्लाइस के ओपनकनेक्ट को कॉल करने के बाद यह इस तरह हो गया

route -n

Kernel IP routing table
Destination     Gateway         Genmask         Flags Metric Ref    Use Iface
0.0.0.0         0.0.0.0         0.0.0.0         U     0      0        0 tun0
0.0.0.0         222.222.222.1   0.0.0.0         UG    600    0        0 wlp3s0
222.222.222.0   0.0.0.0         255.255.255.0   U     600    0        0 wlp3s0
333.333.333.333 222.222.222.1   255.255.255.255 UGH   0      0        0 wlp3s0
192.168.430.0   0.0.0.0         255.255.255.0   U     0      0        0 tun0
192.168.430.534 0.0.0.0         255.255.255.255 UH    0      0        0 tun0

और इस तरह वीपीएन-स्लाइस के साथ संयोजन में ओपनकनेक्ट को कॉल करने के बाद

Kernel IP routing table
Destination     Gateway         Genmask         Flags Metric Ref    Use Iface
0.0.0.0         222.222.222.1   0.0.0.0         UG    600    0        0 wlp3s0
222.222.222.0   0.0.0.0         255.255.255.0   U     600    0        0 wlp3s0
333.333.333.333 222.222.222.1   255.255.255.255 UGH   0      0        0 wlp3s0
192.168.430.0   0.0.0.0         255.255.255.0   U     0      0        0 tun0
192.168.430.534 0.0.0.0         255.255.255.255 UH    0      0        0 tun0

यह देखा जा सकता है कि यदि आप वीपीएन-स्लाइस का उपयोग नहीं करते हैं, तो ओपनकनेक्ट स्पष्ट रूप से लिखता है कि विशेष रूप से संकेतित पते को छोड़कर सभी पते, वीपीएन के माध्यम से एक्सेस किए जाने चाहिए।

यहाँ:

0.0.0.0         0.0.0.0         0.0.0.0         U     0      0        0 tun0

वहां, इसके बगल में, एक और पथ तुरंत इंगित किया गया है, जिसका उपयोग तब किया जाना चाहिए जब लिनक्स जिस पते से गुजरने की कोशिश कर रहा है वह तालिका के किसी भी मास्क से मेल नहीं खाता है।

0.0.0.0         222.222.222.1   0.0.0.0         UG    600    0        0 wlp3s0

यहां पहले से ही लिखा है कि इस मामले में आपको एक मानक वाई-फाई एडाप्टर का उपयोग करने की आवश्यकता है।

मेरा मानना है कि वीपीएन पथ का उपयोग किया जाता है क्योंकि यह राउटिंग टेबल में पहला है।

और सैद्धांतिक रूप से, यदि आप रूटिंग टेबल से इस डिफ़ॉल्ट पथ को हटाते हैं, तो dnsmasq openconnect के साथ मिलकर सामान्य संचालन सुनिश्चित करना चाहिए।

मैंने कोशिश की

route del default

और सब कुछ काम कर गया.

वीपीएन-स्लाइस के बिना मेल सर्वर पर अनुरोधों को रूट करना

लेकिन मेरे पास 555.555.555.555 पते वाला एक मेल सर्वर भी है, जिसे वीपीएन के माध्यम से एक्सेस करने की भी आवश्यकता है। इसमें रूट भी मैन्युअल रूप से जोड़ना होगा।

ip route add 555.555.555.555 via dev tun0

और अब सब कुछ ठीक है. तो आप वीपीएन-स्लाइस के बिना भी काम कर सकते हैं, लेकिन आपको यह अच्छी तरह से जानना होगा कि आप क्या कर रहे हैं। अब मैं मूल ओपनकनेक्ट स्क्रिप्ट की अंतिम पंक्ति में डिफ़ॉल्ट मार्ग को हटाने और वीपीएन से कनेक्ट होने के बाद मेलर के लिए एक मार्ग जोड़ने के बारे में सोच रहा हूं, ताकि मेरी बाइक में कम चलने वाले हिस्से हों।

संभवतः, यह उपसंहार किसी के लिए यह समझने के लिए पर्याप्त होगा कि वीपीएन कैसे सेट किया जाए। लेकिन जब मैं यह समझने की कोशिश कर रहा था कि क्या और कैसे करना है, तो मैंने बहुत सी ऐसी मार्गदर्शिकाएँ पढ़ीं जो लेखक के लिए काम करती हैं, लेकिन किसी कारण से मेरे लिए काम नहीं करती हैं, और मैंने उन सभी टुकड़ों को यहां जोड़ने का फैसला किया जो मुझे मिले। मुझे ऐसी किसी चीज़ से बहुत ख़ुशी होगी।

स्रोत: www.habr.com

ओपनकनेक्ट और वीपीएन-स्लाइस का उपयोग करके लिनक्स में कॉर्पोरेट वीपीएन से कैसे जुड़ें