के तपाईं काममा लिनक्स प्रयोग गर्न चाहनुहुन्छ, तर तपाईंको कर्पोरेट VPN ले तपाईंलाई अनुमति दिँदैन? त्यसपछि यो लेखले मद्दत गर्न सक्छ, यद्यपि यो निश्चित छैन। म तपाईंलाई अग्रिम चेतावनी दिन चाहन्छु कि मैले नेटवर्क प्रशासनका समस्याहरू राम्ररी बुझिन, त्यसैले यो सम्भव छ कि मैले सबै गलत गरें। अर्कोतर्फ, यो सम्भव छ कि म यस्तो तरिकाले गाइड लेख्न सक्छु कि यो साधारण मानिसहरूलाई बुझ्ने हो, त्यसैले म तपाईंलाई यो प्रयास गर्न सल्लाह दिन्छु।

लेखमा धेरै अनावश्यक जानकारीहरू छन्, तर यो ज्ञान बिना मैले VPN सेटअप गर्दा अप्रत्याशित रूपमा देखा परेका समस्याहरू समाधान गर्न सक्षम हुने थिइनँ। मलाई लाग्छ कि यो गाइड प्रयोग गर्ने प्रयास गर्ने जो कोहीसँग समस्याहरू हुनेछन् जुन मसँग थिएन, र मलाई आशा छ कि यो अतिरिक्त जानकारीले यी समस्याहरू आफैं समाधान गर्न मद्दत गर्नेछ।

यस गाइडमा प्रयोग गरिएका अधिकांश आदेशहरू sudo मार्फत चलाउन आवश्यक छ, जुन संक्षिप्तताका लागि हटाइएको छ। ख्याल गर।

धेरै जसो IP ठेगानाहरू गम्भीर रूपमा अस्पष्ट भएका छन्, त्यसैले यदि तपाईंले 435.435.435.435 जस्तो ठेगाना देख्नुभयो भने, त्यहाँ केही सामान्य IP हुनुपर्छ, तपाईंको केसको लागि विशिष्ट।

मसँग Ubuntu 18.04 छ, तर मलाई लाग्छ कि सानो परिवर्तनको साथ गाइड अन्य वितरणहरूमा लागू गर्न सकिन्छ। यद्यपि, यस पाठमा लिनक्स == उबुन्टु।

सिस्को जडान

जो Windows वा MacOS मा छन् तिनीहरूले Cisco Connect मार्फत हाम्रो कर्पोरेट VPN मा जडान गर्न सक्छन्, जसलाई गेटवे ठेगाना निर्दिष्ट गर्न आवश्यक छ र, प्रत्येक पटक जब तपाइँ जडान गर्नुहुन्छ, एक निश्चित भाग र Google प्रमाणक द्वारा उत्पन्न कोड समावेश भएको पासवर्ड प्रविष्ट गर्नुहोस्।

लिनक्सको मामलामा, मैले सिस्को जडान चलाउन सकिन, तर मैले सिस्को जडानलाई प्रतिस्थापन गर्न विशेष गरी ओपन कनेक्ट प्रयोग गर्न सिफारिस गुगल गर्न व्यवस्थित गरें।

जडान खोल्नुहोस्

सिद्धान्तमा, Ubuntu सँग openconnect को लागि विशेष ग्राफिकल इन्टरफेस छ, तर यसले मेरो लागि काम गरेन। सायद यो राम्रो को लागी हो।

Ubuntu मा, openconnect प्याकेज प्रबन्धकबाट स्थापना गरिएको छ।

apt install openconnect

स्थापना पछि तुरुन्तै, तपाइँ VPN मा जडान गर्ने प्रयास गर्न सक्नुहुन्छ

openconnect --user poxvuibr vpn.evilcorp.com

vpn.evilcorp.com एक काल्पनिक VPN को ठेगाना हो
poxvuibr - काल्पनिक प्रयोगकर्ता नाम

openconnect ले तपाईंलाई पासवर्ड प्रविष्ट गर्न सोध्नेछ, जुन, मलाई सम्झाउन दिनुहोस्, एक निश्चित भाग र Google प्रमाणकबाट कोड समावेश गर्दछ, र त्यसपछि यो vpn मा जडान गर्न प्रयास गर्नेछ। यदि यसले काम गर्छ भने, बधाई छ, तपाइँ सुरक्षित रूपमा मध्य छोड्न सक्नुहुन्छ, जुन धेरै पीडा हो, र पृष्ठभूमिमा चलिरहेको openconnect को बारेमा बिन्दुमा जानुहोस्। यदि यसले काम गर्दैन भने, तपाइँ जारी राख्न सक्नुहुन्छ। यद्यपि यदि यसले जडान गर्दा काम गर्यो, उदाहरणका लागि, काममा अतिथि Wi-Fi बाट, त्यसपछि यो रमाइलो गर्न धेरै चाँडो हुन सक्छ; तपाईंले घरबाट प्रक्रिया दोहोर्याउने प्रयास गर्नुपर्छ।

प्रमाणपत्र

त्यहाँ एक उच्च सम्भाव्यता छ कि केहि पनि सुरु हुनेछैन, र openconnect आउटपुट केहि यस्तो देखिन्छ:

POST https://vpn.evilcorp.com/
Connected to 777.777.777.777:443
SSL negotiation with vpn.evilcorp.com
Server certificate verify failed: signer not found

Certificate from VPN server "vpn.evilcorp.com" failed verification.
Reason: signer not found
To trust this server in future, perhaps add this to your command line:
    --servercert sha256:4444444444444444444444444444444444444444444444444444444444444444
Enter 'yes' to accept, 'no' to abort; anything else to view: fgets (stdin): Operation now in progress

एकातिर, यो अप्रिय छ, किनभने VPN मा कुनै जडान थिएन, तर अर्कोतर्फ, यो समस्या कसरी समाधान गर्ने, सिद्धान्तमा, स्पष्ट छ।

यहाँ सर्भरले हामीलाई एउटा प्रमाणपत्र पठायो, जसद्वारा हामी यो निर्धारण गर्न सक्छौं कि हाम्रो नेटिभ कर्पोरेशनको सर्भरमा जडान गरिएको छ, न कि कुनै दुष्ट धोखेबाजसँग, र यो प्रमाणपत्र प्रणालीलाई अज्ञात छ। र त्यसैले उनले सर्भर वास्तविक छ वा छैन भनेर जाँच गर्न सक्दिन। र त्यसोभए, केवल केसमा, यसले काम गर्न छोड्छ।

ओपनकनेक्ट सर्भरमा जडान गर्नको लागि, तपाईंले स्पष्ट रूपमा बताउनुपर्छ कि कुन प्रमाणपत्र VPN सर्भरबाट —servercert कुञ्जी प्रयोग गरेर आउनुपर्छ।

र तपाईले पत्ता लगाउन सक्नुहुन्छ कि कुन प्रमाणपत्र सर्भरले हामीलाई पठाएको ओपन कनेक्टबाट सीधै पठाएको छ। यो टुक्राबाट यहाँ छ:

To trust this server in future, perhaps add this to your command line:
    --servercert sha256:4444444444444444444444444444444444444444444444444444444444444444
Enter 'yes' to accept, 'no' to abort; anything else to view: fgets (stdin): Operation now in progress

यो आदेश संग तपाईं पुन: जडान गर्न प्रयास गर्न सक्नुहुन्छ

openconnect --servercert sha256:4444444444444444444444444444444444444444444444444444444444444444 --user poxvuibr vpn.evilcorp.com

सायद अब यो काम गरिरहेको छ, त्यसपछि तपाईं अन्त्यमा जान सक्नुहुन्छ। तर व्यक्तिगत रूपमा, Ubunta ले मलाई यो फारममा एउटा अन्जीर देखायो

POST https://vpn.evilcorp.com/
Connected to 777.777.777.777:443
SSL negotiation with vpn.evilcorp.com
Server certificate verify failed: signer not found
Connected to HTTPS on vpn.evilcorp.com
XML POST enabled
Please enter your username and password.
POST https://vpn.evilcorp.com/
Got CONNECT response: HTTP/1.1 200 OK
CSTP connected. DPD 300, Keepalive 30
Set up DTLS failed; using SSL instead
Connected as 192.168.333.222, using SSL
NOSSSSSHHHHHHHDDDDD
3
NOSSSSSHHHHHHHDDDDD
3
RTNETLINK answers: File exists
/etc/resolvconf/update.d/libc: Warning: /etc/resolv.conf is not a symbolic link to /run/resolvconf/resolv.conf

/etc/resolv.conf

# Generated by NetworkManager
search gst.evilcorpguest.com
nameserver 127.0.0.53

/run/resolvconf/resolv.conf

# Dynamic resolv.conf(5) file for glibc resolver(3) generated by resolvconf(8)
#     DO NOT EDIT THIS FILE BY HAND -- YOUR CHANGES WILL BE OVERWRITTEN
# 127.0.0.53 is the systemd-resolved stub resolver.
# run "systemd-resolve --status" to see details about the actual nameservers.

nameserver 192.168.430.534
nameserver 127.0.0.53
search evilcorp.com gst.publicevilcorp.com

habr.com समाधान हुनेछ, तर तपाईं त्यहाँ जान सक्षम हुनुहुने छैन। jira.evilcorp.com जस्ता ठेगानाहरू समाधान हुँदैनन्।

यहाँ के भयो मलाई थाहा छैन। तर प्रयोगले देखाउँछ कि यदि तपाइँ लाइन /etc/resolv.conf मा थप्नुहुन्छ

nameserver 192.168.430.534

त्यसपछि VPN भित्रका ठेगानाहरू जादुई रूपमा समाधान गर्न सुरु हुनेछन् र तपाईं तिनीहरूको माध्यमबाट हिंड्न सक्नुहुन्छ, त्यो हो, DNS ठेगानाहरू समाधान गर्न खोजिरहेको छ विशेष गरी /etc/resolv.conf मा देखिन्छ, र कतै होइन।

तपाईंले VPN मा जडान भएको पुष्टि गर्न सक्नुहुन्छ र यसले /etc/resolv.conf मा कुनै परिवर्तन नगरी काम गर्छ; यो गर्नको लागि, केवल ब्राउजरमा VPN बाट स्रोतको प्रतीकात्मक नाम होइन, तर यसको IP ठेगाना प्रविष्ट गर्नुहोस्।

फलस्वरूप, त्यहाँ दुई समस्या छन्

VPN मा जडान गर्दा, यसको dns उठाइएको छैन
सबै ट्राफिक VPN मार्फत जान्छ, जसले इन्टरनेटमा पहुँच अनुमति दिँदैन

म तपाईंलाई अब के गर्ने भनेर बताउनेछु, तर पहिले थोरै स्वचालन।

पासवर्डको निश्चित भागको स्वचालित प्रविष्टि

अहिले सम्म, तपाईले कम्तिमा पाँच पटक तपाईको पासवर्ड प्रविष्ट गरिसक्नुभएको छ र यो प्रक्रियाले तपाईलाई पहिले नै थकाइसकेको छ। पहिलो, किनभने पासवर्ड लामो छ, र दोस्रो, किनभने प्रविष्ट गर्दा तपाइँ निश्चित समय अवधि भित्र फिट गर्न आवश्यक छ।

समस्याको अन्तिम समाधान लेखमा समावेश गरिएको थिएन, तर तपाईले निश्चित गर्न सक्नुहुन्छ कि पासवर्डको निश्चित भाग धेरै पटक प्रविष्ट गर्नुपर्दैन।

मानौं कि पासवर्डको निश्चित भाग fixedPassword हो, र Google Authenticator बाट भाग 567 987 हो। पुरा पासवर्ड --passwd-on-stdin को प्रयोग गरेर मानक इनपुट मार्फत ओपन कनेक्ट गर्न पास गर्न सकिन्छ।

echo "fixedPassword567987" | openconnect --servercert sha256:4444444444444444444444444444444444444444444444444444444444444444 --user poxvuibr vpn.evilcorp.com --passwd-on-stdin

अब तपाइँ निरन्तर अन्तिम प्रविष्ट गरिएको आदेशमा फर्कन सक्नुहुन्छ र त्यहाँ गुगल प्रमाणकको अंश मात्र परिवर्तन गर्न सक्नुहुन्छ।

कर्पोरेट VPN ले तपाईंलाई इन्टरनेट सर्फ गर्न अनुमति दिँदैन।

सामान्यतया, यो धेरै असुविधाजनक छैन जब तपाइँ Habr मा जानको लागि एक अलग कम्प्युटर प्रयोग गर्नु पर्छ। Stackoverfow बाट प्रतिलिपि-पेस्ट गर्न असक्षमताले सामान्यतया कामलाई पक्षाघात गर्न सक्छ, त्यसैले केहि गर्न आवश्यक छ।

हामीले यसलाई कुनै न कुनै रूपमा व्यवस्थित गर्न आवश्यक छ ताकि जब तपाइँ आन्तरिक नेटवर्कबाट स्रोत पहुँच गर्न आवश्यक छ, लिनक्स VPN मा जान्छ, र जब तपाइँ Habr मा जान आवश्यक छ, यो इन्टरनेटमा जान्छ।

openconnect, सुरुवात र vpn सँग जडान स्थापना गरेपछि, /usr/share/vpnc-scripts/vpnc-script मा अवस्थित एक विशेष स्क्रिप्ट कार्यान्वयन गर्दछ। केही चरहरूलाई इनपुटको रूपमा लिपिमा पठाइन्छ, र यसले VPN कन्फिगर गर्दछ। दुर्भाग्यवश, मैले नेटिभ लिपि प्रयोग गरेर कर्पोरेट VPN र बाँकी इन्टरनेट बीच ट्राफिक प्रवाह कसरी विभाजित गर्ने भनेर पत्ता लगाउन सकेन।

स्पष्ट रूपमा, vpn-स्लाइस उपयोगिता विशेष गरी म जस्ता मानिसहरूका लागि विकसित गरिएको थियो, जसले तपाईंलाई ट्याम्बोरिनको साथ नृत्य नगरी दुई च्यानलहरू मार्फत ट्राफिक पठाउन अनुमति दिन्छ। ठीक छ, त्यो हो, तपाईंले नाच्नु पर्छ, तर तपाईं शमन हुनुपर्दैन।

vpn-स्लाइस प्रयोग गरेर ट्राफिक विभाजन

सर्वप्रथम, तपाईंले vpn-स्लाइस स्थापना गर्नुपर्नेछ, तपाईंले यो आफैं पत्ता लगाउनु पर्छ। यदि त्यहाँ टिप्पणीहरूमा प्रश्नहरू छन् भने, म यसको बारेमा छुट्टै पोस्ट लेख्नेछु। तर यो एक नियमित पाइथन कार्यक्रम हो, त्यसैले त्यहाँ कुनै कठिनाइहरू हुनु हुँदैन। मैले virtualenv प्रयोग गरेर स्थापना गरें।

र त्यसपछि उपयोगिता लागू गरिनु पर्छ, -script स्विच प्रयोग गरी, openconnect लाई संकेत गर्दै मानक स्क्रिप्टको सट्टा, तपाईंले vpn-स्लाइस प्रयोग गर्न आवश्यक छ।

echo "fixedPassword567987" | openconnect --servercert sha256:4444444444444444444444444444444444444444444444444444444444444444 --user poxvuibr --passwd-on-stdin 
--script "./bin/vpn-slice 192.168.430.0/24  " vpn.evilcorp.com

--script लाई आदेशको साथ स्ट्रिङ पास गरिएको छ जुन स्क्रिप्टको सट्टा कल गर्न आवश्यक छ। ./bin/vpn-slice - vpn-स्लाइस कार्यान्वयनयोग्य फाइलको मार्ग 192.168.430.0/24 - vpn मा जान ठेगानाहरूको मास्क। यहाँ, हाम्रो मतलब यदि ठेगाना 192.168.430 बाट सुरु हुन्छ भने, यस ठेगानाको स्रोतलाई VPN भित्र खोज्न आवश्यक छ।

अब स्थिति लगभग सामान्य हुनुपर्छ। लगभग। अब तपाइँ Habr मा जान सक्नुहुन्छ र तपाइँ ip मार्फत अन्तर-कर्पोरेट स्रोतमा जान सक्नुहुन्छ, तर तपाइँ प्रतीकात्मक नामबाट अन्तर-कर्पोरेट स्रोतमा जान सक्नुहुन्न। यदि तपाईंले होस्टहरूमा प्रतीकात्मक नाम र ठेगाना बीचको मिल्दो निर्दिष्ट गर्नुभयो भने, सबै कुराले काम गर्नुपर्छ। र आईपी परिवर्तन नभएसम्म काम गर्नुहोस्। लिनक्सले अब इन्टरनेट वा इन्ट्रानेट पहुँच गर्न सक्छ, IP मा निर्भर गर्दछ। तर गैर-कर्पोरेट DNS अझै पनि ठेगाना निर्धारण गर्न प्रयोग गरिन्छ।

समस्या यस फारममा पनि प्रकट हुन सक्छ - काममा सबै कुरा ठीक छ, तर घरमा तपाईले आईपी मार्फत आन्तरिक कर्पोरेट स्रोतहरू मात्र पहुँच गर्न सक्नुहुन्छ। यो किनभने जब तपाइँ कर्पोरेट Wi-Fi मा जडान हुनुहुन्छ, कर्पोरेट DNS पनि प्रयोग गरिन्छ, र VPN बाट सांकेतिक ठेगानाहरू समाधान गरिन्छ, यो तथ्यको बावजुद VPN प्रयोग नगरी त्यस्तो ठेगानामा जान असम्भव छ।

होस्ट फाइलको स्वचालित परिमार्जन

यदि vpn-स्लाइसलाई विनम्रतापूर्वक सोधिएको छ भने, त्यसपछि VPN उठाएपछि, यो यसको DNS मा जान सक्छ, त्यहाँ आवश्यक स्रोतहरूको IP ठेगानाहरू तिनीहरूको प्रतीकात्मक नामहरूद्वारा फेला पार्न र होस्टहरूमा प्रविष्ट गर्न सक्छ। VPN बन्द गरेपछि, यी ठेगानाहरू होस्टहरूबाट हटाइनेछन्। यो गर्नको लागि, तपाईंले तर्कको रूपमा vpn-स्लाइसमा प्रतीकात्मक नामहरू पास गर्न आवश्यक छ। यो जस्तो।

echo "fixedPassword567987" | openconnect --servercert sha256:4444444444444444444444444444444444444444444444444444444444444444 --user poxvuibr --passwd-on-stdin
--script "./bin/vpn-slice 192.168.430.0/24  jira.vpn.evilcorp.com git.vpn.evilcorp.com " vpn.evilcorp.com

अब सबै कार्यालय र समुद्र तट मा दुवै काम गर्नुपर्छ।

VPN द्वारा दिइएको DNS मा सबै सबडोमेनहरूको ठेगानाहरू खोज्नुहोस्

यदि नेटवर्क भित्र केहि ठेगानाहरू छन् भने, होस्ट फाइललाई स्वचालित रूपमा परिमार्जन गर्ने दृष्टिकोणले राम्रोसँग काम गर्दछ। तर यदि सञ्जालमा धेरै स्रोतहरू छन् भने, तपाईंले लगातार zoidberg.test.evilcorp.com जस्ता लाइनहरू स्क्रिप्टमा थप्न आवश्यक छ zoidberg परीक्षण बेन्च मध्ये एकको नाम हो।

तर अब हामीले थोरै बुझेका छौं कि यो आवश्यकता किन हटाउन सकिन्छ।

यदि, VPN उठाएपछि, तपाईंले /etc/hosts मा हेर्नुभयो भने, तपाईंले यो लाइन देख्न सक्नुहुन्छ

192.168.430.534 dns0.tun0 # vpn-slice-tun0 AUTOCREATED

र resolv.conf मा नयाँ लाइन थपियो। छोटकरीमा, vpn-स्लाइसले vpn को लागि dns सर्भर कहाँ अवस्थित छ भनेर निर्धारण गर्यो।

अब हामीले यो सुनिश्चित गर्न आवश्यक छ कि evilcorp.com मा समाप्त हुने डोमेन नामको IP ठेगाना पत्ता लगाउन, लिनक्स कर्पोरेट DNS मा जान्छ, र यदि अरू केहि आवश्यक छ भने, पूर्वनिर्धारित एकमा।

मैले धेरै समयको लागि Googled गरें र फेला पारे कि यस्तो प्रकार्यता Ubuntu मा बक्स बाहिर उपलब्ध छ। यसको मतलब नामहरू समाधान गर्न स्थानीय DNS सर्भर dnsmasq प्रयोग गर्ने क्षमता हो।

त्यो हो, तपाइँ सुनिश्चित गर्न सक्नुहुन्छ कि लिनक्स सधैँ IP ठेगानाहरूको लागि स्थानीय DNS सर्भरमा जान्छ, जुन बारीमा, डोमेन नाममा निर्भर गर्दै, सम्बन्धित बाह्य DNS सर्भरमा IP खोज्नेछ।

सञ्जाल र सञ्जाल जडानहरूसँग सम्बन्धित सबै कुरा व्यवस्थापन गर्न, Ubuntu ले NetworkManager प्रयोग गर्दछ, र चयन गर्नको लागि ग्राफिकल इन्टरफेस, उदाहरणका लागि, Wi-Fi जडानहरू यसको अगाडिको अन्त्य मात्र हो।

हामीले यसको कन्फिगरेसनमा चढ्नु पर्छ।

/etc/NetworkManager/dnsmasq.d/evilcorp मा फाइल सिर्जना गर्नुहोस्

ठेगाना=/.evilcorp.com/192.168.430.534

evilcorp को अगाडि बिन्दुमा ध्यान दिनुहोस्। यसले dnsmasq लाई संकेत गर्दछ कि evilcorp.com को सबै सबडोमेनहरू कर्पोरेट dns मा खोजिनुपर्छ।

नेटवर्क प्रबन्धकलाई नाम रिजोल्युसनको लागि dnsmasq प्रयोग गर्न भन्नुहोस्

नेटवर्क-प्रबन्धक कन्फिगरेसन /etc/NetworkManager/NetworkManager.conf मा अवस्थित छ तपाईंले त्यहाँ थप्न आवश्यक छ:

[मुख्य] dns = dnsmasq

नेटवर्क प्रबन्धक पुन: सुरु गर्नुहोस्

service network-manager restart

अब, Openconnect र vpn-स्लाइस प्रयोग गरेर VPN मा जडान गरेपछि, ip लाई सामान्य रूपमा निर्धारण गरिनेछ, भले पनि तपाईंले vpnslice मा तर्कहरूमा प्रतीकात्मक ठेगानाहरू थप्नुभएन।

VPN मार्फत व्यक्तिगत सेवाहरू कसरी पहुँच गर्ने

मैले VPN मा जडान गर्न व्यवस्थित गरेपछि, म दुई दिनको लागि धेरै खुसी थिए, र त्यसपछि यो बाहिर आयो कि यदि मैले कार्यालय नेटवर्क बाहिरबाट VPN जडान गरें भने, मेलले काम गर्दैन। लक्षण परिचित छ, हैन?

हाम्रो मेल mail.publicevilcorp.com मा अवस्थित छ, जसको मतलब यो dnsmasq मा नियम अन्तर्गत पर्दैन र मेल सर्भर ठेगाना सार्वजनिक DNS मार्फत खोजिन्छ।

ठिक छ, कार्यालयले अझै पनि DNS प्रयोग गर्दछ, जसमा यो ठेगाना समावेश छ। त्यही सोचेको थिएँ । वास्तवमा, dnsmasq मा लाइन थपे पछि

address=/mail.publicevilcorp.com/192.168.430.534

स्थिति बिल्कुल परिवर्तन भएको छैन। ip उस्तै रह्यो। काममा जानु पर्यो ।

र पछि मात्र, जब मैले स्थितिमा गहिरो खोज गरें र समस्यालाई थोरै बुझे, एक स्मार्ट व्यक्तिले मलाई कसरी समाधान गर्ने भनेर बताए। मेल सर्भरमा त्यसरी मात्र होइन, VPN मार्फत जडान गर्न आवश्यक थियो

म 192.168.430 बाट सुरु हुने ठेगानाहरूमा VPN मार्फत जान vpn-स्लाइस प्रयोग गर्छु। र मेल सर्भरसँग प्रतीकात्मक ठेगाना मात्र छैन जुन evilcorp को सबडोमेन होइन, योसँग आईपी ठेगाना पनि छैन जुन 192.168.430 बाट सुरु हुन्छ। र पक्कै पनि उसले सामान्य नेटवर्कबाट कसैलाई उहाँकहाँ आउन अनुमति दिँदैन।

लिनक्सलाई VPN मार्फत र मेल सर्भरमा जानको लागि, तपाईंले यसलाई vpn-स्लाइसमा पनि थप्नुपर्छ। मानौं मेलरको ठेगाना ५५५.५५५.५५५.५५५ हो

echo "fixedPassword567987" | openconnect --servercert sha256:4444444444444444444444444444444444444444444444444444444444444444 --user poxvuibr --passwd-on-stdin
--script "./bin/vpn-slice 555.555.555.555 192.168.430.0/24" vpn.evilcorp.com

एक तर्क संग VPN उठाउन को लागी लिपि

यो सबै, निस्सन्देह, धेरै सुविधाजनक छैन। हो, तपाईले पाठलाई फाइलमा बचत गर्न सक्नुहुन्छ र यसलाई हातले टाइप गर्नुको सट्टा कन्सोलमा प्रतिलिपि टाँस्न सक्नुहुन्छ, तर यो अझै राम्रो छैन। प्रक्रियालाई सजिलो बनाउनको लागि, तपाईले आदेशलाई स्क्रिप्टमा र्‍याप गर्न सक्नुहुन्छ जुन PATH मा अवस्थित हुनेछ। र त्यसपछि तपाईंले Google प्रमाणकबाट प्राप्त कोड मात्र प्रविष्ट गर्न आवश्यक हुनेछ

#!/bin/sh  
echo "fixedPassword$1" | openconnect --servercert sha256:4444444444444444444444444444444444444444444444444444444444444444 --user poxvuibr --passwd-on-stdin 
--script "./bin/vpn-slice 192.168.430.0/24  jira.vpn.evilcorp.com git.vpn.evilcorp.com " vpn.evilcorp.com

यदि तपाईँले जडानमा लिपि राख्नुभयो ~evilcorp~ तपाईँले कन्सोलमा मात्र लेख्न सक्नुहुन्छ

connect_evil_corp 567987

तर अब तपाईंले अझै पनि कन्सोल राख्नु पर्छ जसमा openconnect कुनै कारणका लागि खुला चलिरहेको छ

ब्याकग्राउन्डमा ओपन कनेक्ट चलिरहेको छ

सौभाग्यवश, openconnect का लेखकहरूले हाम्रो हेरचाह गरे र कार्यक्रममा एउटा विशेष कुञ्जी थपे -पृष्ठभूमि, जसले कार्यक्रमलाई सुरुवात पछि पृष्ठभूमिमा काम गर्छ। यदि तपाइँ यसलाई यसरी चलाउनुहुन्छ भने, तपाइँ सुरुवात पछि कन्सोल बन्द गर्न सक्नुहुन्छ

#!/bin/sh  
echo "fixedPassword$1" | openconnect --servercert sha256:4444444444444444444444444444444444444444444444444444444444444444 
--user poxvuibr 
--passwd-on-stdin 
--background 
--script "./bin/vpn-slice 192.168.430.0/24  jira.vpn.evilcorp.com git.vpn.evilcorp.com " vpn.evilcorp.com

अब यो मात्र स्पष्ट छैन कि लगहरू कहाँ जान्छ। सामान्यतया, हामीलाई लगहरू आवश्यक पर्दैन, तर तपाईंलाई थाहा छैन। openconnect ले तिनीहरूलाई syslog मा रिडिरेक्ट गर्न सक्छ, जहाँ तिनीहरूलाई सुरक्षित र सुरक्षित राखिनेछ। तपाईंले आदेशमा -syslog स्विच थप्न आवश्यक छ

#!/bin/sh  
echo "fixedPassword$1" | openconnect --servercert sha256:4444444444444444444444444444444444444444444444444444444444444444 
--user poxvuibr 
--passwd-on-stdin 
--background 
--syslog 
--script "./bin/vpn-slice 192.168.430.0/24  jira.vpn.evilcorp.com git.vpn.evilcorp.com " vpn.evilcorp.com

र त्यसोभए, यो बाहिर जान्छ कि openconnect कतै पृष्ठभूमिमा काम गरिरहेको छ र कसैलाई परेशान गर्दैन, तर यो कसरी रोक्ने भन्ने स्पष्ट छैन। त्यो हो, तपाईले, निस्सन्देह, grep प्रयोग गरेर ps आउटपुट फिल्टर गर्न सक्नुहुन्छ र एक प्रक्रिया खोज्नुहोस् जसको नाममा openconnect समावेश छ, तर यो कुनै न कुनै रूपमा कठिन छ। यसबारे सोच्ने लेखकहरूलाई पनि धन्यवाद। Openconnect मा एउटा कुञ्जी -pid-file छ, जसको साथ तपाईले openconnect लाई फाइलमा यसको प्रक्रिया पहिचानकर्ता लेख्न निर्देशन दिन सक्नुहुन्छ।

#!/bin/sh  
echo "fixedPassword$1" | openconnect --servercert sha256:4444444444444444444444444444444444444444444444444444444444444444 
--user poxvuibr 
--passwd-on-stdin 
--background  
--syslog 
--script "./bin/vpn-slice 192.168.430.0/24  jira.vpn.evilcorp.com git.vpn.evilcorp.com " vpn.evilcorp.com  
--pid-file ~/vpn-pid

अब तपाइँ सँधै आदेश संग एक प्रक्रिया मार्न सक्नुहुन्छ

kill $(cat ~/vpn-pid)

यदि त्यहाँ कुनै प्रक्रिया छैन भने, मारले श्राप दिनेछ, तर त्रुटि फ्याँक्दैन। यदि फाइल त्यहाँ छैन भने, त्यसपछि केहि पनि नराम्रो हुनेछैन, त्यसैले तपाइँ स्क्रिप्टको पहिलो लाइनमा प्रक्रियालाई सुरक्षित रूपमा मार्न सक्नुहुन्छ।

kill $(cat ~/vpn-pid)
#!/bin/sh  
echo "fixedPassword$1" | openconnect --servercert sha256:4444444444444444444444444444444444444444444444444444444444444444 
--user poxvuibr 
--passwd-on-stdin 
--background 
--syslog 
--script "./bin/vpn-slice 192.168.430.0/24  jira.vpn.evilcorp.com git.vpn.evilcorp.com " vpn.evilcorp.com  
--pid-file ~/vpn-pid

अब तपाइँ तपाइँको कम्प्यूटर खोल्न सक्नुहुन्छ, कन्सोल खोल्नुहोस् र आदेश चलाउन सक्नुहुन्छ, Google प्रमाणकबाट कोड पास गर्दै। त्यसपछि कन्सोललाई नेल गर्न सकिन्छ।

VPN- टुक्रा बिना। पछिको शब्दको सट्टा

VPN-स्लाइस बिना कसरी बाँच्ने भनेर बुझ्न धेरै गाह्रो भयो। मैले धेरै पढ्न र गुगल गर्नुपर्थ्यो। सौभाग्यवश, समस्यासँग धेरै समय बिताएपछि, प्राविधिक म्यानुअलहरू र म्यान ओपन कनेक्टले पनि रोमाञ्चक उपन्यासहरू जस्तै पढ्छन्।

नतिजाको रूपमा, मैले पत्ता लगाएँ कि vpn-स्लाइस, नेटिभ लिपि जस्तै, राउटिङ तालिकालाई अलग नेटवर्कहरूमा परिमार्जन गर्दछ।

रूटिङ तालिका

यसलाई सरल भाषामा भन्नुपर्दा, यो पहिलो स्तम्भमा एउटा तालिका हो जसमा लिनक्सले कुन ठेगाना मार्फत जान चाहन्छ, र दोस्रो स्तम्भमा यो ठेगानामा कुन नेटवर्क एडप्टर मार्फत जाने हो भन्ने कुरा समावेश गर्दछ। वास्तवमा, त्यहाँ धेरै स्पिकरहरू छन्, तर यसले सार परिवर्तन गर्दैन।

रूटिङ तालिका हेर्नको लागि, तपाईंले ip रूट आदेश चलाउन आवश्यक छ

default via 192.168.1.1 dev wlp3s0 proto dhcp metric 600 
192.168.430.0/24 dev tun0 scope link 
192.168.1.0/24 dev wlp3s0 proto kernel scope link src 192.168.1.534 metric 600 
192.168.430.534 dev tun0 scope link

यहाँ, प्रत्येक रेखा कुनै ठेगानामा सन्देश पठाउनको लागि तपाईलाई कहाँ जान आवश्यक छ भनेर जिम्मेवार छ। पहिलो ठेगाना कहाँ सुरु गर्नुपर्छ भन्ने विवरण हो। 192.168.0.0/16 को अर्थ ठेगाना 192.168 बाट सुरु हुनुपर्छ भनेर कसरी निर्धारण गर्ने भनेर बुझ्नको लागि, तपाईंले IP ठेगाना मास्क के हो भनेर गुगल गर्न आवश्यक छ। dev पछि सन्देश पठाउनु पर्ने एडाप्टरको नाम छ।

VPN को लागि, Linux ले भर्चुअल एडाप्टर - tun0 बनायो। रेखाले 192.168 बाट सुरु हुने सबै ठेगानाहरूको लागि ट्राफिक सुनिश्चित गर्दछ

192.168.0.0/16 dev tun0 scope link

तपाईं आदेश प्रयोग गरेर रूटिङ तालिकाको हालको अवस्था पनि हेर्न सक्नुहुन्छ मार्ग -n (IP ठेगानाहरू चलाखीपूर्वक गुमनाम छन्) यो आदेशले फरक फारममा परिणामहरू उत्पादन गर्दछ र सामान्यतया हटाइएको छ, तर यसको आउटपुट प्रायः इन्टरनेटमा म्यानुअलहरूमा पाइन्छ र तपाइँ यसलाई पढ्न सक्षम हुन आवश्यक छ।

गन्तव्य र जेनमास्क स्तम्भहरूको संयोजनबाट रुटको IP ठेगाना कहाँबाट सुरु गर्नुपर्छ भनेर बुझ्न सकिन्छ। आईपी ठेगानाका ती भागहरू जुन Genmask मा 255 नम्बरहरूसँग मिल्दोजुल्दो छ, तर जहाँ 0 छ त्यसलाई ध्यानमा राखिएको छ। अर्थात्, गन्तव्य 192.168.0.0 र Genmask 255.255.255.0 को संयोजनको अर्थ हो कि यदि ठेगाना 192.168.0 बाट सुरु हुन्छ भने, त्यसको लागि अनुरोध यस मार्गमा जानेछ। र यदि गन्तव्य 192.168.0.0 तर Genmask 255.255.0.0, त्यसपछि 192.168 बाट सुरु हुने ठेगानाहरूको अनुरोध यस मार्गमा जानेछ।

vpn-स्लाइसले वास्तवमा के गर्छ भनेर पत्ता लगाउनको लागि, मैले पहिले र पछि तालिकाहरूको अवस्थाहरू हेर्ने निर्णय गरें।

VPN अन गर्नु अघि यो यस्तो थियो

route -n 

Kernel IP routing table
Destination     Gateway         Genmask         Flags Metric Ref    Use Iface
0.0.0.0         222.222.222.1   0.0.0.0         UG    600    0        0 wlp3s0
222.222.222.0   0.0.0.0         255.255.255.0   U     600    0        0 wlp3s0
333.333.333.333 222.222.222.1   255.255.255.255 UGH   0      0        0 wlp3s0

vpn-स्लाइस बिना openconnect कल गरेपछि यो यस्तो भयो

route -n

Kernel IP routing table
Destination     Gateway         Genmask         Flags Metric Ref    Use Iface
0.0.0.0         0.0.0.0         0.0.0.0         U     0      0        0 tun0
0.0.0.0         222.222.222.1   0.0.0.0         UG    600    0        0 wlp3s0
222.222.222.0   0.0.0.0         255.255.255.0   U     600    0        0 wlp3s0
333.333.333.333 222.222.222.1   255.255.255.255 UGH   0      0        0 wlp3s0
192.168.430.0   0.0.0.0         255.255.255.0   U     0      0        0 tun0
192.168.430.534 0.0.0.0         255.255.255.255 UH    0      0        0 tun0

र यसरी vpn-स्लाइस संग संयोजनमा openconnect कल गरेपछि

Kernel IP routing table
Destination     Gateway         Genmask         Flags Metric Ref    Use Iface
0.0.0.0         222.222.222.1   0.0.0.0         UG    600    0        0 wlp3s0
222.222.222.0   0.0.0.0         255.255.255.0   U     600    0        0 wlp3s0
333.333.333.333 222.222.222.1   255.255.255.255 UGH   0      0        0 wlp3s0
192.168.430.0   0.0.0.0         255.255.255.0   U     0      0        0 tun0
192.168.430.534 0.0.0.0         255.255.255.255 UH    0      0        0 tun0

यो देख्न सकिन्छ कि यदि तपाइँ vpn-स्लाइस प्रयोग गर्नुहुन्न भने, Openconnect ले स्पष्ट रूपमा लेख्छ कि सबै ठेगानाहरू, विशेष रूपमा संकेत गरिएका बाहेक, vpn मार्फत पहुँच गर्नुपर्दछ।

ठ्याक्क यहाँ:

0.0.0.0         0.0.0.0         0.0.0.0         U     0      0        0 tun0

त्यहाँ, यसको छेउमा, अर्को मार्ग तुरुन्तै संकेत गरिएको छ, जुन प्रयोग गरिनु पर्छ यदि लिनक्सले पास गर्न प्रयास गरिरहेको ठेगानाले तालिकाको कुनै मास्कसँग मेल खाँदैन।

0.0.0.0         222.222.222.1   0.0.0.0         UG    600    0        0 wlp3s0

यो पहिले नै यहाँ लेखिएको छ कि यस अवस्थामा तपाईले मानक Wi-Fi एडाप्टर प्रयोग गर्न आवश्यक छ।

मलाई विश्वास छ कि VPN मार्ग प्रयोग गरिएको छ किनभने यो रूटिङ तालिकामा पहिलो हो।

र सैद्धान्तिक रूपमा, यदि तपाईंले रूटिङ तालिकाबाट यो पूर्वनिर्धारित मार्ग हटाउनुभयो भने, त्यसपछि dnsmasq openconnect सँग संयोजनमा सामान्य सञ्चालन सुनिश्चित गर्नुपर्छ।

मैले प्रयास गरें

route del default

र सबै काम भयो।

vpn-स्लाइस बिना मेल सर्भरमा रुटिङ अनुरोधहरू

तर मसँग 555.555.555.555 ठेगाना भएको मेल सर्भर पनि छ, जसलाई VPN मार्फत पनि पहुँच गर्न आवश्यक छ। यसमा जाने बाटो पनि म्यानुअली जोड्नुपर्छ ।

ip route add 555.555.555.555 via dev tun0

र अब सबै ठीक छ। त्यसोभए तपाईले vpn-स्लाइस बिना गर्न सक्नुहुन्छ, तर तपाईले के गरिरहनु भएको छ भनेर तपाईलाई राम्ररी जान्न आवश्यक छ। म अब नेटिभ ओपन कनेक्ट स्क्रिप्टको अन्तिम लाइनमा पूर्वनिर्धारित मार्ग हटाउने र vpn मा जडान गरेपछि मेलरको लागि मार्ग थप्ने बारे सोच्दै छु, केवल मेरो बाइकमा कम चल्ने भागहरू छन्।

सायद, VPN कसरी सेटअप गर्ने भनेर बुझ्नको लागि यो पछिको शब्द पर्याप्त हुनेछ। तर जब मैले के र कसरी गर्ने भनेर बुझ्न खोज्दै थिएँ, मैले लेखकको लागि काम गर्ने त्यस्ता धेरै गाइडहरू पढें, तर केही कारणले मेरो लागि काम गर्दैन, र मैले फेला पारेका सबै टुक्राहरू यहाँ थप्ने निर्णय गरें। म यस्तो केहि पाउँदा धेरै खुसी हुनेछु।

स्रोत: www.habr.com

Openconnect र vpn-स्लाइस प्रयोग गरेर लिनक्समा कर्पोरेट VPN मा कसरी जडान गर्ने