आवर्ती, सहकर्मी, समय-परीक्षण, कम संसाधन खपत, पूर्ण-जाल वीपीएन नेटवर्क के साथ "पंच" करने की क्षमता के बिना, स्वचालित कनेक्शन के साथ स्वचालित, सुरक्षित, वितरित, सकर्मक कनेक्शन (अर्थात ग्राहकों के बीच कोई सीधी पहुंच नहीं होने पर संदेश अग्रेषित करना)। NAT - क्या यह संभव है?

सही उत्तर हैं:

• हाँ, दर्द के साथ अगर आप टिन का उपयोग करते हैं।
• हाँ, आसान है अगर आप tinc-tinc-boot का उपयोग करते हैं

परिचयात्मक छोड़ें लिंक

तीखा वर्णन

दुर्भाग्य से, Habré पर Tinc VPN के बारे में थोड़ी जानकारी प्रकाशित की गई थी, लेकिन कुछ प्रासंगिक लेख अभी भी मिल सकते हैं:

• फ्लैंक से tinc, OpenVPN, Linux के आधार पर एक असफल-सुरक्षित वीपीएन सर्वर के लिए हमारा नुस्खा
• सम्मानित ValdikSS से पूर्ण-जाल वीपीएन समाधानों की सूची

अंग्रेजी भाषा के लेख से अलग किया जा सकता है:

• डिजिटल महासागर से Ubuntu 14.04 पर एक बुनियादी वीपीएन को कैसे स्थापित करें और सेट करें
• लिकोड से एक पीयर-टू-पीयर वीपीएन कैसे सेट करें

मूल स्रोत मूल टिंक मैन प्रलेखन पर विचार करना बेहतर है

तो (आधिकारिक साइट से एक मुफ्त पुनर्मुद्रण), Tinc VPN एक सेवा ( tincd डेमॉन) है जो नोड्स के बीच ट्रैफ़िक को टनलिंग और एन्क्रिप्ट करके एक निजी नेटवर्क के कामकाज को सुनिश्चित करता है। स्रोत कोड खुला और GPL2 लाइसेंस के तहत उपलब्ध है। क्लासिक (ओपनवीपीएन) समाधान की तरह, निर्मित वर्चुअल नेटवर्क आईपी (ओएसआई 3) स्तर पर उपलब्ध है, जिसका अर्थ है कि, सामान्य स्थिति में, अनुप्रयोगों में परिवर्तन करने की आवश्यकता नहीं है।

मुख्य विशेषताएं:

• एन्क्रिप्शन, प्रमाणीकरण और यातायात का संपीड़न;
• पूरी तरह से स्वचालित पूर्ण-जाल समाधान, जिसमें नेटवर्क नोड्स के साथ सभी-सभी मोड में निर्माण कनेक्शन शामिल हैं या, यदि यह लागू नहीं है, मध्यवर्ती मेजबानों के बीच संदेशों को अग्रेषित करना;
• पंच नैट;
• ईथरनेट स्तर (वर्चुअल स्विच) पर पृथक नेटवर्क को जोड़ने की क्षमता;
• कई ओएस समर्थन: लिनक्स, फ्रीबीएसडी, ओएस एक्स, सोलारिस, विंडोज, आदि।

Tinc विकास की दो शाखाएँ हैं: 1.0.x (लगभग सभी रिपॉजिटरी में) और 1.1 (शाश्वत बीटा)। लेख हर जगह संस्करण 1.0.x का उपयोग करता है।

Tinc 1.1x कई नई प्रमुख विशेषताएं प्रदान करता है: सही फॉरवर्ड सिक्योरिटी, सरलीकृत क्लाइंट कनेक्टिविटी (वास्तव में tinc-boot जगह) और आम तौर पर अधिक विचारशील डिजाइन।

हालांकि, फिलहाल, एक स्थिर संस्करण - 1.0.x को आधिकारिक वेबसाइट पर इंगित और हाइलाइट किया गया है, इसलिए 1.1 शाखा के सभी लाभों का उपयोग करते समय, आपको गैर-अंतिम संस्करण का उपयोग करने के सभी फायदे और नुकसान का मूल्यांकन करना चाहिए।

मेरे दृष्टिकोण से, प्रत्यक्ष कनेक्शन संभव नहीं होने पर संदेशों को अग्रेषित करने के लिए सबसे मजबूत संभावनाओं में से एक है। उसी समय, रूटिंग टेबल स्वचालित रूप से बनाए जाते हैं। यहां तक ​​कि एक सार्वजनिक पते के बिना नोड्स खुद के माध्यम से यातायात पारित कर सकते हैं।

तीन सर्वरों (चीन, रूस, सिंगापुर) और तीन ग्राहकों (रूस, चीन और फिलीपींस) के साथ स्थिति पर विचार करें:

• सर्वरों का एक सार्वजनिक पता है, NAT के पीछे ग्राहक;
• ILV संभावित प्रॉक्सी के अगले प्रतिबंध के दौरान "टेलीग्राम" को छोड़कर सभी होस्टर्स को चीन ने रोक दिया;
• चीन की नेटवर्क सीमा <-> RF अस्थिर है और गिर सकती है (ILV और / या चीनी सेंसर के कारण);
• सिंगापुर से कनेक्शन सशर्त रूप से स्थिर (व्यक्तिगत अनुभव) हैं;
• मनीला (फिलीपींस) किसी के लिए खतरा नहीं है, और इसलिए सभी के लिए अनुमति है (हर किसी और सब कुछ से दूरी के कारण)।

उदाहरण के लिए, शंघाई और मॉस्को के बीच ट्रैफ़िक विनिमय, टिन्स्क के परिदृश्य पर विचार करें (लगभग):

1. मूल स्थिति: मास्को <-> रूसिया-एसआरवी <-> चीन-एसआरवी <-> शंघाई
2. ILV ने चीन से कनेक्शन बंद कर दिया: मास्को <-> रूसिया-एसआरवी <-> मनीला <-> सिंगापुर <-> शंघाई
3. (2 के बाद) सिंगापुर में सर्वर की विफलता के मामले में, चीन में ट्रैफ़िक को सर्वर में स्थानांतरित किया जाता है और इसके विपरीत।

जब भी संभव हो, टीआईएन नाॅक के पीछे दो नोड्स के बीच छिद्र करके एक सीधा संबंध स्थापित करने का प्रयास करता है।

टिंचक विन्यास का एक संक्षिप्त परिचय

Tinc एक आसान-से-कॉन्फ़िगर सेवा के रूप में तैनात है। हालांकि, कुछ गलत हो गया - एक नया नोड बनाने के लिए, यह न्यूनतम आवश्यक है:

• होस्ट कॉन्फ़िगरेशन (प्रकार, नाम) ( tinc.conf ) का वर्णन करें;
• कॉन्फ़िगरेशन फ़ाइल (सबनेट, सार्वजनिक पते) ( hosts/ ) hosts/ ;
• एक कुंजी बनाएं;
• नोड एड्रेस और संबंधित मापदंडों ( tinc-up ) को निर्दिष्ट करने वाली एक स्क्रिप्ट बनाएं;
• यह एक स्क्रिप्ट बनाने के लिए सलाह दी जाती है जो tinc-down ( tinc-down ) के बाद बनाए गए मापदंडों को साफ करती है।

इसके अलावा, मौजूदा नेटवर्क से कनेक्ट होने पर, आपको मौजूदा होस्ट कुंजी प्राप्त करनी चाहिए और अपना स्वयं का प्रदान करना चाहिए।

Ie: दूसरे नोड के लिए

तीसरे के लिए

दो-तरफा सिंक्रनाइज़ेशन (उदाहरण के लिए, unison ) का उपयोग करते समय, अतिरिक्त संचालन की संख्या बढ़कर एन टुकड़े हो जाती है, जहां एन सार्वजनिक नोड्स की संख्या है।

हमें Tinc के डेवलपर्स को श्रद्धांजलि देनी चाहिए - नेटवर्क में शामिल करने के लिए, बस कुंजियों का आदान-प्रदान करें
नोड्स (बूटनोड) में से केवल एक के साथ। सेवा शुरू करने और प्रतिभागी से जुड़ने के बाद, टिनको को टोपोलॉजी मिलेगी
नेटवर्क और सभी ग्राहकों के साथ काम करने में सक्षम होगा।

हालाँकि , यदि बूट होस्ट अनुपलब्ध है, और tinc फिर से चालू हो गया है, तो कोई रास्ता नहीं है
वर्चुअल नेटवर्क से कनेक्ट होगा।

इसके अलावा, इस की अकादमिक प्रलेखन (अच्छी तरह से वर्णित है, लेकिन कुछ उदाहरण) के साथ मिलकर, सैंकड़ों की भारी संभावनाएं, त्रुटियों के लिए एक व्यापक क्षेत्र प्रदान करती हैं।

टाइंक-बूट बनाने के कारण

यदि हम ऊपर वर्णित समस्याओं को सामान्य करते हैं और उन्हें कार्यों के रूप में तैयार करते हैं, तो हम प्राप्त करते हैं:

1. न्यूनतम प्रयास के साथ एक नई साइट बनाने की क्षमता की आवश्यकता है;
   
   • संभावित रूप से, एक नया नोड बनाने और नेटवर्क से कनेक्ट करने के लिए औसत विशेषज्ञ (एक जैसे) को एक छोटी लाइन देना संभव बनाना आवश्यक है;
2. सभी सक्रिय नोड्स के बीच चाबियों का स्वत: वितरण प्रदान करना आवश्यक है;
3. बूटनॉड और नए क्लाइंट के बीच एक सरलीकृत कुंजी विनिमय प्रक्रिया प्रदान करना आवश्यक है।

बूटनोड - एक सार्वजनिक पते के साथ एक नोड (ऊपर देखें);

दावे 2 की आवश्यकताओं के कारण, यह तर्क दिया जा सकता है कि बूटनोड और नए नोड के बीच महत्वपूर्ण आदान-प्रदान के बाद?
नोड को नेटवर्क से जोड़ना, नई कुंजी का वितरण स्वचालित रूप से होगा।

यह इन कार्यों है कि tinc-boot प्रदर्शन करता है।

tinc-बूट एक स्व-सम्‍मिलित है, tinc अलावा, ओपन सोर्स एप्लिकेशन जो प्रदान करता है:

• एक नए नोड की सरल रचना;
• मौजूदा नेटवर्क के लिए स्वचालित कनेक्शन;
• डिफ़ॉल्ट रूप से अधिकांश पैरामीटर सेट करना;
• शहद नोड्स के लिए महत्वपूर्ण वितरण।

आर्किटेक्चर

Tinc tinc-boot निष्पादन योग्य फ़ाइल में चार घटक होते हैं: एक बूटनोड सर्वर, एक महत्वपूर्ण वितरण प्रबंधन सर्वर और RPC प्रबंधन इसके लिए आदेश देता है, साथ ही एक नोड पीढ़ी मॉड्यूल भी।

नोड जनरेशन मॉड्यूल

नोड जनरेशन मॉड्यूल ( tinc-boot gen ) सफलतापूर्वक चलाने के लिए tinc के लिए सभी आवश्यक फाइलें बनाता है।

सरलीकृत, इसके एल्गोरिदम को निम्नानुसार वर्णित किया जा सकता है:

1. होस्ट नाम, नेटवर्क, IP पैरामीटर, पोर्ट, सबनेट मास्क आदि को परिभाषित करें।
2. उन्हें सामान्यीकृत करें (कुछ मूल्यों पर एक सीमा होती है) और लापता लोगों को बनाते हैं
3. मापदंडों की जाँच करें
4. यदि आवश्यक हो, तो सिस्टम पर टिशू-बूट स्थापित करें (विनिमेय)
5. tinc-up , tinc-down , subnet-up , subnet-down बनाएँ
6. tinc.conf कॉन्फ़िगरेशन tinc.conf बनाएँ
7. hosts/ बनाएँ hosts/
8. मुख्य पीढ़ी का प्रदर्शन करें
9. बूटनोड के साथ प्रमुख विनिमय करें
   
   1. सार्वजनिक कुंजी के साथ अपनी स्वयं की होस्ट फ़ाइल को एन्क्रिप्ट और साइन इन करें, xchacha20poly1305, जहां एन्क्रिप्शन कुंजी टोकन से sha256 फ़ंक्शन का परिणाम है, का उपयोग करके एक यादृच्छिक आरंभीकरण वेक्टर (nounce) और होस्ट नाम पर हस्ताक्षर करें।
   2. HTTP प्रोटोकॉल के माध्यम से बूटनोड के लिए डेटा भेजें
   3. मूल उत्तर और उसी एल्गोरिथ्म का उपयोग करके बूट नोड के नाम वाले X-Node हेडर को प्राप्त उत्तर और डिक्रिप्ट को परिभाषित करें
   4. सफल होने पर, hosts/ में प्राप्त की गई कुंजी को सेव करें hosts/ और कॉन्फ़िगरेशन फ़ाइल में कनेक्ट करें (जैसे कनेक्ट करने के लिए एक सिफारिश) से कनेक्ट करें
   5. अन्यथा, बूट नोड की सूची में निम्नलिखित पते का उपयोग करें और चरण 2 से दोहराएं
10. सेवा शुरू करने पर सिफारिशें दिखाएं

SHA-256 के माध्यम से रूपांतरण केवल 32 बाइट की कुंजी को सामान्य करने के लिए उपयोग किया जाता है

पहले नोड के लिए (अर्थात, जब बूट पते के रूप में निर्दिष्ट करने के लिए कुछ भी नहीं है), चरण 9 को छोड़ दिया गया है। ध्वज - --standalone ।

उदाहरण 1 - पहली सार्वजनिक साइट बनाना

जनता का पता 1.2.3.4

sudo tinc-boot gen --standalone -a 1.2.3.4

• -a ध्वज आपको सार्वजनिक रूप से उपलब्ध पतों को निर्दिष्ट करने की अनुमति देता है

उदाहरण 1 - नेटवर्क में एक गैर-सार्वजनिक नोड जोड़ना

बूट नोड ऊपर के उदाहरण से लिया जाएगा। मेजबान के पास टिंच-बूट बूटनोड होना चाहिए (बाद में वर्णित)।

sudo tinc-boot gen --token "MY TOKEN" http://1.2.3.4:8655

• - --token ध्वज प्राधिकरण टोकन सेट करता है

बूटस्ट्रैप मॉड्यूल

tinc-boot bootnode नए क्लाइंट के साथ प्राथमिक कुंजी विनिमय के लिए एपीआई के साथ एक HTTP सर्वर उठाता है।

डिफ़ॉल्ट रूप से, पोर्ट 8655 ।

सरलीकृत, एल्गोरिदम को निम्नानुसार वर्णित किया जा सकता है:

1. एक ग्राहक से एक अनुरोध स्वीकार करें
2. अनुरोध के दौरान पारित आरंभीकरण वेक्टर का उपयोग करते हुए xchacha20poly1305 का उपयोग करके अनुरोध को अस्वीकृत और सत्यापित करें, और जहां एन्क्रिप्शन कुंजी टोकन से sha256 फ़ंक्शन का परिणाम है।
3. नाम चेक करें
4. यदि अभी तक समान नाम वाली कोई फ़ाइल नहीं है, तो फ़ाइल सहेजें
5. ऊपर बताए गए एल्गोरिदम का उपयोग करके अपनी खुद की होस्ट फ़ाइल और नाम को एन्क्रिप्ट करें और हस्ताक्षर करें
6. आइटम 1 पर लौटें

साथ में, प्राथमिक कुंजी विनिमय प्रक्रिया इस प्रकार है:

उदाहरण 1 - डाउनलोड नोड शुरू करना

यह माना जाता है कि नोड का प्रारंभिक आरंभीकरण किया गया था ( tinc-boot gen )

tinc-boot bootnode --token "MY TOKEN"

• - --token ध्वज प्राधिकरण टोकन सेट करता है। मेजबान से जुड़ने वाले ग्राहकों के लिए भी ऐसा ही होना चाहिए।

उदाहरण 2 - डाउनलोड नोड को सेवा के रूप में शुरू करना

tinc-boot bootnode --service --token "MY TOKEN"

• --service ध्वज एक प्रणाली सेवा बनाने के लिए --service है (डिफ़ॉल्ट रूप से, इस उदाहरण के लिए tinc-boot-dnet.service )
• - --token ध्वज प्राधिकरण टोकन सेट करता है। मेजबान से जुड़ने वाले ग्राहकों के लिए भी ऐसा ही होना चाहिए।

मुख्य वितरण मॉड्यूल

वीपीएन के अंदर अन्य नोड्स के साथ कुंजी का आदान-प्रदान करने के लिए कुंजी वितरण मॉड्यूल ( tinc-boot monitor ) एक एपीआई के साथ एक HTTP सर्वर उठाता है। यह नेटवर्क द्वारा जारी किए गए पते पर तय होता है (डिफ़ॉल्ट पोर्ट 1655 , कई नेटवर्क के साथ कोई विवाद नहीं होगा, क्योंकि प्रत्येक नेटवर्क का अपना पता होना चाहिए)।

मॉड्यूल शुरू होता है और पूरी तरह से स्वचालित रूप से काम करता है: आपको मैन्युअल मोड में इसके साथ काम करने की आवश्यकता नहीं है।

यह मॉड्यूल स्वचालित रूप से तब शुरू होता है जब नेटवर्क ऊपर है ( tinc-up स्क्रिप्ट में) और स्वचालित रूप से बंद हो जाता है जब यह बंद हो जाता है ( tinc-down स्क्रिप्ट में)।

संचालन का समर्थन करता है:

• अपना नोड फ़ाइल दें GET / दें
• POST /rpc/watch?node=<>&subnet=<> - एक फ़ाइल को दूसरे नोड से चुनें, मान लें कि इस पर एक समान सेवा चल रही है। डिफ़ॉल्ट रूप से, प्रयास 10 सेकंड, सफलता या रद्द होने तक हर 30 सेकंड पर समयबद्ध होते हैं।
• POST /rpc/forget?node=<> - दूसरे नोड से फ़ाइल लेने के लिए प्रयास (यदि कोई हो) छोड़ दें
• POST /rpc/kill - सेवा समाप्त करता है

इसके अतिरिक्त, हर मिनट (डिफ़ॉल्ट रूप से) और जब एक नई कॉन्फ़िगरेशन फ़ाइल प्राप्त होती है, तो सहेजे गए नोड्स का अनुक्रमण नए सार्वजनिक नोड्स के लिए किया जाता है। जब Address ध्वज के साथ नोड्स का Address लगाया जाता है, तो पुनः आरंभ करते समय कनेक्शन की सिफारिश करने के लिए tinc.conf कॉन्फ़िगरेशन फ़ाइल में एक प्रविष्टि जोड़ी जाती है।

मुख्य वितरण मॉड्यूल (प्रबंधन)

जब एक नया नोड ( subnet-up स्क्रिप्ट) का पता चला और ( subnet-down स्क्रिप्ट) क्रमशः बंद ( subnet-down subnet-up स्क्रिप्ट) और अन्य नोड्स से कॉन्फ़िगरेशन फ़ाइल के अनुरोध ( tinc-boot forget ) को रद्द करने का अनुरोध स्वचालित रूप से निष्पादित किया जाता है।

सेवा को रोकने की प्रक्रिया में, tinc-down स्क्रिप्ट को tinc-down किया जाता है जिसमें tinc-boot kill कमांड प्रमुख वितरण मॉड्यूल को रोकता है।

कुल के बजाय

इस उपयोगिता को Tinc डेवलपर्स की प्रतिभा और नए नोड्स को स्थापित करने की रैखिक रूप से बढ़ती जटिलता के बीच संज्ञानात्मक असंगति के प्रभाव के तहत बनाया गया था।

विकास प्रक्रिया में मुख्य विचार थे:

• अगर कुछ स्वचालित हो सकता है, तो उसे स्वचालित होना चाहिए;
• डिफ़ॉल्ट मान कम से कम 80% उपयोग (Pareto सिद्धांत) को कवर करना चाहिए;
• किसी भी मूल्य को झंडे और पर्यावरण चर दोनों का उपयोग करके पुनर्परिभाषित किया जा सकता है;
• उपयोगिता को मदद करनी चाहिए, और निर्माता पर स्वर्ग की सभी सजाओं को कॉल करने की इच्छा का कारण नहीं होना चाहिए;
• प्रारंभिक आरंभीकरण के लिए एक प्राधिकरण टोकन का उपयोग करना एक स्पष्ट जोखिम है, हालांकि, संभव हद तक, यह कुल क्रिप्टोग्राफी और प्रमाणीकरण (यहां तक ​​कि प्रतिक्रिया हेडर में नोड नाम को प्रतिस्थापित नहीं किया जा सकता है) के कारण कम से कम किया गया था।

थोड़ा कालक्रम:

• पहली बार मैंने 4 साल से अधिक समय पहले टिन का उपयोग किया था। सामग्री की एक महत्वपूर्ण राशि का अध्ययन किया। एक आदर्श (मेरी राय में) नेटवर्क सेट करें
• आधे साल के बाद, टिंच को एक और अधिक सुविधाजनक / लचीले उपकरण के रूप में, ज़ीरोटियर के पक्ष में बदल दिया गया
• 2 साल पहले, मैंने टाइन्स को तैनात करने के लिए ansible playbook बनाई थी
• एक महीने बाद, मेरी स्क्रिप्ट वृद्धिशील तैनाती पर टूट गई (यानी जब सभी नेटवर्क नोड्स तक पहुंचना असंभव है, जिसका अर्थ है कि चाबियाँ वितरित करना)
• दो हफ़्ते पहले, मैंने एक बैश-स्क्रिप्ट स्क्रिप्ट लिखी थी जो कि tinc-boot लिए प्रोटोटाइप थी
• 3 दिन पहले दूसरी पुनरावृत्ति के बाद, उपयोगिता का पहला (0.0.1 सटीक होना) संस्करण पैदा हुआ था
• 1 दिन पहले, मैंने एक पंक्ति में एक नए नोड की स्थापना को कम कर दिया: curl -L https://github.com/reddec/tinc-boot/releases/latest/download/tinc-boot_linux_amd64.tar.gz | sudo tar -xz -C /usr/local/bin/ tinc-boot curl -L https://github.com/reddec/tinc-boot/releases/latest/download/tinc-boot_linux_amd64.tar.gz | sudo tar -xz -C /usr/local/bin/ tinc-boot
• जल्द ही, नेटवर्क के लिए और भी सरल कनेक्शन की संभावना को जोड़ा जाएगा (सुरक्षा का त्याग किए बिना)

विकास के दौरान, मैंने वास्तविक सर्वर और क्लाइंट पर सक्रिय रूप से परीक्षण किया (ऊपर के टिन के विवरण से चित्र वास्तविक जीवन से लिया गया है)। अब सिस्टम त्रुटिपूर्ण रूप से काम करता है, और सभी तृतीय-पक्ष वीपीएन सेवाएं अब अक्षम हो गई हैं।

एप्लिकेशन कोड GO में लिखा गया है और MPL 2.0 लाइसेंस के तहत खुला है । एक लाइसेंस (मुफ्त अनुवाद) वाणिज्यिक (यदि किसी को अचानक जरूरत है) स्रोत उत्पाद को खोलने के बिना उपयोग करने की अनुमति देता है। केवल आवश्यकता यह है कि परिवर्तनों को परियोजना में स्थानांतरित किया जाना चाहिए।

पूल अनुरोधों का स्वागत है।

उपयोगी लिंक

• कोष
• टिंच प्रलेखन