🤧 👨‍👩‍👧 ◼️ एक क्लिक में डबल वीपीएन। प्रविष्टि और निकास बिंदु के आईपी पते को आसानी से कैसे विभाजित करें 💪🏾 🚶🏻 🕐

टीएल; डीआर यह लेख एक वीपीएन सर्वर को कॉन्फ़िगर करने का सबसे आसान तरीका बताता है, जिसका वीपीएन क्लाइंट्स को जोड़ने के लिए आईपी एड्रेस आईपी एड्रेस से अलग है जिससे क्लाइंट इंटरनेट एक्सेस करते हैं।

क्या आप इंटरनेट पर गोपनीयता की रक्षा के लिए एक वीपीएन का उपयोग करते हैं और इसके लिए अपना स्वयं का सर्वर किराए पर लेते हैं? क्या आप एकमात्र ग्राहक हैं जो पूरी दुनिया में इस सर्वर से जुड़ते हैं? क्या आपका असली आईपी एड्रेस ढूंढना इतना कठिन है, क्या आपको लगता है? स्प्रिंग पैकेज के बल में प्रवेश के साथ, यह बहुत आसान हो जाता है।

डबल वीपीएन एक लोकप्रिय विषय है जिसके चारों ओर बहुत सारी अटकलें हैं। अक्सर इस शब्द को एक पूरी तरह से अलग तकनीक कहा जाता है, लेकिन लगभग हमेशा इसका मतलब है कि आईपी पते के स्तर पर इंटरनेट कनेक्शन और एक्सेस पॉइंट अलग-अलग हैं। हम इस मोड में एक वीपीएन सर्वर को कॉन्फ़िगर करने के सबसे आसान तरीके पर विचार करेंगे, जिसमें सर्वर साइड पर अतिरिक्त कॉन्फ़िगरेशन की आवश्यकता नहीं होती है और आपको अधिकतम गति और न्यूनतम विलंबता प्राप्त करने की अनुमति मिलती है।

खतरा मॉडल

अपने आप को किसी चीज़ से बचाने के लिए, आपको खतरे के मॉडल को स्पष्ट रूप से समझने की आवश्यकता है। हम सभी क्लाइंट ट्रैफ़िक को संग्रहीत करने के लिए प्रदाताओं की आवश्यकता वाले नए कानूनों पर चर्चा नहीं करेंगे, लेकिन हम निश्चित रूप से कह सकते हैं कि कनेक्शन डेटा, तथाकथित नेटफ्लो, भंडारण काफी सरल है, और यह लंबे समय से सफलतापूर्वक किया गया है। यही है, दिन के एक निश्चित समय में 2.2.2.2 को संबोधित करने के लिए एक सशर्त आईपी पते 1.1.1.1 को जोड़ने का तथ्य दर्ज किया गया है।

प्रदाता, शहर या देश के पैमाने पर ऐसी जानकारी तक पहुंच होने के बाद, यह केवल यह स्थापित करने के लिए पर्याप्त है कि वीपीएन के पीछे कौन छिपा है।

वीपीएन का उपयोग करते समय गोपनीयता के स्तर को बढ़ाने के लिए, आपको आईपी स्तर पर कनेक्शन बिंदु और इंटरनेट एक्सेस बिंदु को अलग करना होगा। ऊपर की तस्वीर में, हमारे उपयोगकर्ता इरीना यारोवॉय की जांच के तहत बाड़ के पीछे है। बाड़ से गुजरने वाले सभी कनेक्शन, इरीना कड़ाई से याद करते हैं। उपयोगकर्ता, एक सभ्य नागरिक के रूप में, पते से जुड़ता है। अच्छा नागरिक good.citizen.vpn , जबकि वह पते से पहले ही वापस आ जाता है। super.cool.guy.vpn । नतीजतन, इरीना के लिए, ये दो कनेक्शन असंबद्ध दिखते हैं।

दोहरे वीपीएन क्या हैं?

“डबल” वीपीएन के नाम के तहत, अलग-अलग चीजों को अक्सर समझा जाता है, लेकिन लगभग हमेशा इसका मतलब है कि कनेक्शन के नोड्स और इंटरनेट तक भौगोलिक या नेटवर्क स्तर पर पहुंच। कभी-कभी यह केवल वीपीएन प्रदाताओं की एक विपणन चाल है, जिसका अर्थ है कि कुछ भी नहीं, ऐसी सेवाओं को "ट्रिपल" और "वीपीएन" चौगुनी कहा जा सकता है।

हम उन सबसे विशिष्ट योजनाओं का विश्लेषण करेंगे जो अभ्यास में उपयोग की जाती हैं।

सर्वर के बीच वीपीएन

सबसे आम तरीका है। इस मोड में, क्लाइंट केवल पहले सर्वर के लिए वीपीएन कनेक्शन स्थापित करता है। दूसरी के लिए सुरंग पहले सर्वर पर कॉन्फ़िगर की गई है, और क्लाइंट से सभी ट्रैफ़िक दूसरे सर्वर पर जाता है, और इसी तरह। कई मध्यवर्ती सर्वर हो सकते हैं। इसके अलावा, सर्वर के बीच की सुरंग को प्रोटोकॉल के अलावा किसी अन्य प्रोटोकॉल का उपयोग करके स्थापित किया जा सकता है, जिसके माध्यम से क्लाइंट जुड़ा हुआ है, उदाहरण के लिए IPsec, या बिना किसी एन्क्रिप्शन के, जैसे GRE या IPIP। इस मोड में, सभी मध्यवर्ती सर्वर को रूट ट्रेस में देखा जा सकता है । यह जांचने का कोई तरीका नहीं है कि क्लाइंट साइड पर मध्यवर्ती सर्वर कैसे जुड़े हैं, इसलिए आप केवल प्रदाता पर भरोसा कर सकते हैं।

पूरे ट्रैफ़िक मार्ग के दौरान, न्यूनतम MTU (अधिकतम संचरण इकाई) बहुत पहले सुरंग के मूल्य के बराबर रहता है, और प्रत्येक मध्यवर्ती सर्वर में डिक्रिप्ट किए गए क्लाइंट ट्रैफ़िक तक पहुंच होती है ।

प्रॉक्सी के माध्यम से वीपीएन

इसके अलावा एक काफी सामान्य तरीका है। अक्सर एक अलग प्रोटोकॉल के तहत वीपीएन ट्रैफ़िक को मास्क करने के लिए उपयोग किया जाता है, उदाहरण के लिए चीन में। यह विधि प्रॉक्सी की श्रृंखला की तुलना में अधिक सुविधाजनक है, क्योंकि वीपीएन का उपयोग करने से सुरंग के लिए सभी सिस्टम ट्रैफ़िक को रूट करना आसान है। प्रोग्राम्स के सिस्टम कॉल को इंटरसेप्ट करने और उन्हें प्रॉक्सी पर पुनर्निर्देशित करने के लिए भी उपकरण हैं: प्रॉक्सीपेप, प्रोक्सीफायर, लेकिन वे कम स्थिर हैं क्योंकि वे कभी-कभी अनुरोधों को याद करते हैं और वे प्रॉक्सी को बायपास करते हैं या कुछ कार्यक्रमों के साथ गलत तरीके से काम करते हैं।

इस मोड में, मार्ग ट्रेस में प्रॉक्सी सर्वर दिखाई नहीं देता है।

वीपीएन के अंदर वीपीएन

सबसे पागल और सबसे धीमा तरीका: सभी सुरंगें क्लाइंट की तरफ बढ़ती हैं, एक दूसरे के अंदर। इस पद्धति के लिए क्लाइंट पक्ष पर मार्गों का चालाक कॉन्फ़िगरेशन और सही क्रम में सभी वीपीएन क्लाइंट लॉन्च करना आवश्यक है। यह विलंबता और प्रदर्शन के लिए बुरा है, लेकिन मध्यवर्ती सर्वर के पास क्लाइंट के खुले ट्रैफ़िक तक पहुंच नहीं है। सभी एनकैप्सुलेशन ओवरहेड को संक्षेप में प्रस्तुत किया जाता है, और अधिकतम पैकेट आकार (एमटीयू) जो अंततः ग्राहक को उपलब्ध होता है, सुरंगों की संख्या के आधार पर घट जाता है। मार्ग ट्रेस में मध्यवर्ती सर्वर दिखाई नहीं दे रहे हैं।

VDS कॉन्फ़िगर करें

स्प्लिट एंट्री और एग्जिट पॉइंट्स के साथ वीपीएन सेट करने का सबसे आसान तरीका एक ही वर्चुअल सर्वर से कई आईपी एड्रेस को जोड़ना है। यह विधि आपको अधिकतम गति और न्यूनतम विलंब प्राप्त करने की अनुमति देती है, क्योंकि वास्तव में ट्रैफ़िक एक सर्वर पर समाप्त हो जाता है। Vdsina.ru पर, आप इसे नियंत्रण कक्ष से स्वयं कर सकते हैं। जबकि IPv4 हर जगह समाप्त हो रहा है, हम 60 रूबल के लिए सर्वर पर भी अतिरिक्त आईपी पते जारी करते हैं!

हम सर्वर कॉन्फ़िगरेशन चरण दर चरण विश्लेषण करेंगे।

एक सर्वर चुनें

हम आवश्यक डेटा सेंटर में एक उपयुक्त टैरिफ के साथ वीडीएस का आदेश देते हैं। हमारे कार्य को देखते हुए, हम नीदरलैंड में, दूर एक डेटा केंद्र चुनेंगे;)

एक अतिरिक्त IP पता कनेक्ट करें

एक अतिरिक्त आईपी पता खरीदने के बाद, आपको निर्देशों के अनुसार इसे कॉन्फ़िगर करने की आवश्यकता है।

स्पष्टता के लिए, IP को PTR रिकॉर्ड असाइन करें। यह एक डोमेन नाम है जो तब दिखाई देगा जब आईपी एड्रेस वापस डोमेन में बदल जाएगा। यह गैर-मौजूद डोमेन सहित कोई भी मूल्य हो सकता है।

उदाहरण के लिए, हम निम्नलिखित मूल्यों का उपयोग करेंगे:

 xxx.xxx.38.220 — super.cool.guy.vpn #   ( ) xxx.xxx.39.154 — good.citizen.vpn #   ( )

दो आईपी सत्यापन

यह याद रखना महत्वपूर्ण है कि सर्वर पर मूल रूप से सेट किया गया आईपी पता निकास बिंदु होगा, इसलिए नया पता प्रवेश बिंदु होगा। SSH के माध्यम से सर्वर से कनेक्ट करें और जांचें कि कौन सा पता बाहरी के रूप में उपयोग किया जाता है।

ऐसा करने के लिए, कंसोल से ifconfig.co सेवा का उपयोग करना सबसे आसान है। जब कर्ल के माध्यम से अनुरोध किया जाता है, तो यह आईपी पते को वापस करता है जिसमें से अनुरोध किया गया था।

 $ curl ifconfig.co xxx.xxx.38.220

अंतिम आंकड़े बताते हैं कि हमारा बाहरी पता वास्तव में निकास बिंदु से मेल खाता है। आइए प्रवेश बिंदु के रूप में दूसरे आईपी के सही संचालन की जांच करने का प्रयास करें। ऐसा करने के लिए, बस SSH में निर्मित SOCKS प्रॉक्सी फ़ंक्शन का उपयोग करें।

क्लाइंट पर कमांड निष्पादित किए जाते हैं:

 ssh -D 9999 root@good.citizen.vpn #    curl -x socks5h://127.0.0.1:9999 ifconfig.co super.cool.guy.vpn

पहला कमांड एक SSH सत्र को पता के साथ सेट करता है। अच्छा नागरिक ।vpn और साथ ही साथ इस सत्र के अंदर एक SOCKS प्रॉक्सी को सक्रिय करता है, जो स्थानीय पोर्ट पर उपलब्ध है। दूसरा इस प्रॉक्सी के माध्यम से सामान्य HTTP अनुरोध करता है।

यह याद रखना महत्वपूर्ण है कि हमारे उदाहरण प्रश्नों के लिए काल्पनिक डोमेन नाम का उपयोग करते हैं। उन्हें केवल PTR रिज़ॉल्यूशन के साथ प्रदर्शित किया जाएगा, और उनके लिए पूर्ण अनुरोध नहीं किया जा सकता है। इसलिए, इस स्तर पर, आपको आईपी पते के माध्यम से सर्वर तक पहुंचने की आवश्यकता है।

IKEv2 सर्वर कॉन्फ़िगरेशन

IPsec IKEv2 एक आधुनिक वीपीएन प्रोटोकॉल है, जो लगभग सभी ऑपरेटिंग सिस्टमों द्वारा समर्थित है। यह विंडोज, मैकओएस और आईओएस में डिफ़ॉल्ट प्रोटोकॉल के रूप में उपयोग किया जाता है। हालांकि, इसे तीसरे पक्ष के सॉफ़्टवेयर की स्थापना की आवश्यकता नहीं है और ज्यादातर मामलों में ओपनवीपीएन की तुलना में तेजी से काम होता है। हब पर IKEv2 सर्वर स्थापित करने पर पहले से ही लेख थे, लेकिन वे सभी स्व-हस्ताक्षरित प्रमाण पत्र के उपयोग का वर्णन करते हैं, और इसमें असुविधा होती है कि उन्हें आपको वीपीएन क्लाइंट की तरफ रूट प्रमाणपत्र स्थापित करने की आवश्यकता होती है।

हम लेट्स एनक्रिप्ट से एक विश्वसनीय प्रमाण पत्र का उपयोग करके सर्वर कॉन्फ़िगरेशन के एक उदाहरण का विश्लेषण करेंगे। यह आपको क्लाइंट के लिए एक्सट्रोनस रूट सर्टिफिकेट स्थापित करने की अनुमति नहीं देता है, लेकिन केवल उपयोगकर्ता नाम और पासवर्ड जारी करने के लिए।

सर्वर की तैयारी

हम Ubuntu 18.04 पर आधारित सर्वर का उपयोग करेंगे, लेकिन यह निर्देश अधिकांश आधुनिक वितरण के लिए भी उपयुक्त है।

हम सिस्टम को अपडेट करते हैं और आवश्यक पैकेज स्थापित करते हैं

 apt update && apt upgrade apt install certbot strongswan libstrongswan-extra-plugins

प्रमाणपत्र जारी करना

एक विश्वसनीय प्रमाण पत्र जारी करने के लिए, आपको प्रवेश बिंदु के आईपी पते पर वास्तविक डोमेन को निर्देशित करने की आवश्यकता है। हम इस मद पर विस्तार से विचार नहीं करेंगे, क्योंकि यह लेख के दायरे से परे है। एक उदाहरण के रूप में, हम काल्पनिक डोमेन good.citizen.vpn का उपयोग करेंगे

यदि आपके पास पहले से ही सर्वर पर एक वेब सर्वर है, तो सर्टिफिकेट या किसी अन्य क्लाइंट के माध्यम से सर्टिफिकेट जारी करने की उपयुक्त विधि का उपयोग कर लें। यह उदाहरण मानता है कि HTTP पोर्ट (80) व्यस्त नहीं है।

 certbot certonly --standalone --agree-tos -d good.citizen.vpn

विज़ार्ड के सवालों का जवाब देना? हम एक हस्ताक्षरित प्रमाण पत्र और कुंजी प्राप्त करेंगे

 # find /etc/letsencrypt/live/good.citizen.vpn/ /etc/letsencrypt/live/good.citizen.vpn/ /etc/letsencrypt/live/good.citizen.vpn/fullchain.pem /etc/letsencrypt/live/good.citizen.vpn/README /etc/letsencrypt/live/good.citizen.vpn/cert.pem /etc/letsencrypt/live/good.citizen.vpn/privkey.pem /etc/letsencrypt/live/good.citizen.vpn/chain.pem

IKEv2 सर्वर प्रमाणीकरण के लिए, उसी X.509 प्रमाणपत्र का उपयोग किया जाता है
HTTPS। स्ट्रॉन्गस्वैन इन प्रमाणपत्रों का उपयोग करने में सक्षम होने के लिए, उन्हें /etc/ipsec.d फ़ोल्डर में कॉपी किया जाना चाहिए।

यहां प्रमाण पत्र कैसे स्थित होना चाहिए:

 cp /etc/letsencrypt/live/good.citizen.vpn/cert.pem /etc/ipsec.d/certs/ cp /etc/letsencrypt/live/good.citizen.vpn/privkey.pem /etc/ipsec.d/private/ cp /etc/letsencrypt/live/good.citizen.vpn/chain.pem /etc/ipsec.d/cacerts/

चूँकि letencrypt प्रमाणपत्र बार-बार जारी किए जाते हैं, इसलिए इसे मैन्युअल रूप से करना असुविधाजनक है। इसलिए, हम सर्टिफिकेट के लिए हुक का उपयोग करके इस प्रक्रिया को स्वचालित करते हैं।

स्क्रिप्ट का कार्य प्रमाणपत्र को अद्यतन किए जाने के दौरान वांछित फ़ोल्डर में तीन फ़ाइलों की प्रतिलिपि बनाना है, और फिर प्रमाणपत्रों को फिर से पढ़ने के लिए strongswan कमांड भेजें।

फ़ाइल /etc/letsencrypt/renewal-hooks/deploy/renew-copy.sh बनाएं और इसे निष्पादन योग्य बनाएं।

 #!/bin/sh set -e for domain in $RENEWED_DOMAINS; do case $domain in good.citizen.vpn) daemon_cert_root=/etc/ipsec.d/ # Make sure the certificate and private key files are # never world readable, even just for an instant while # we're copying them into daemon_cert_root. umask 077 cp "$RENEWED_LINEAGE/cert.pem" "$daemon_cert_root/certs/" cp "$RENEWED_LINEAGE/chain.pem" "$daemon_cert_root/cacerts/" cp "$RENEWED_LINEAGE/privkey.pem" "$daemon_cert_root/private/" # Reread certificates /usr/sbin/ipsec reload /usr/sbin/ipsec purgecerts /usr/sbin/ipsec rereadall ;; esac done

अब प्रमाण पत्र के प्रत्येक पुन: प्रकाशन के बाद, स्क्रिप्ट नई फ़ाइलों को strongswan फ़ोल्डरों में कॉपी कर देगी और प्रमाणपत्र को फिर से पढ़ने के लिए डेमॉन को एक कमांड भेज देगी।

स्ट्रांग्सवन सेटअप

Strongswan /etc/ipsec.conf config जोड़ें

 config setup #       uniqueids=no # Increase debug level # charondebug = ike 3, cfg 3 conn %default #       ike=aes256-sha256-modp1024,aes256-sha256-modp2048 #  ""  dpdaction=clear dpddelay=35s dpdtimeout=2000s keyexchange=ikev2 auto=add rekey=no reauth=no fragmentation=yes #compress=yes # left - local (server) side leftcert=cert.pem #      /etc/ipsec.d/certs/ leftsendcert=always #    leftsubnet=0.0.0.0/0 # right - remote (client) side eap_identity=%identity #   IP-  VPN- rightsourceip=10.0.1.0/24 rightdns=8.8.8.8,1.1.1.1 # Windows and BlackBerry clients usually goes here conn ikev2-mschapv2 rightauth=eap-mschapv2 # Apple clients usually goes here conn ikev2-mschapv2-apple rightauth=eap-mschapv2 leftid=good.citizen.vpn

VPN क्लाइंट के लॉगिन और पासवर्ड /etc/ipsec.secrets फ़ाइल में सेट किए गए हैं

इस फ़ाइल में, आपको उस निजी कुंजी का नाम भी बताना होगा जिसे हमने पहले Letencrypt फ़ोल्डर से कॉपी किया था:

 #       /etc/ipsec.d/private/ : RSA privkey.pem #  VPN #  : EAP "" IrinaYarovaya : EAP "PleaseLoveMe123" Mizooleena : EAP "IwannaLoveToo3332"

इस स्तर पर, आप strongswan सर्वर को पुनः आरंभ कर सकते हैं और जांच सकते हैं कि नया कॉन्फिगर सक्रिय हो गया है या नहीं:

 $ systemctl restart strongswan $ ipsec statusall Virtual IP pools (size/online/offline): 10.0.1.0/24: 254/0/0 Listening IP addresses: xxx.xxx.38.220 Connections: ikev2-mschapv2: %any...%any IKEv2, dpddelay=35s ikev2-mschapv2: local: [CN=good.citizen.vpn] uses public key authentication ikev2-mschapv2: cert: "CN=good.citizen.vpn" ikev2-mschapv2: remote: uses EAP_MSCHAPV2 authentication with EAP identity '%any' ikev2-mschapv2: child: 0.0.0.0/0 === dynamic TUNNEL, dpdaction=clear ikev2-mschapv2-apple: %any...%any IKEv2, dpddelay=35s ikev2-mschapv2-apple: local: [good.citizen.vpn] uses public key authentication ikev2-mschapv2-apple: cert: "CN=good.citizen.vpn" ikev2-mschapv2-apple: remote: uses EAP_MSCHAPV2 authentication with EAP identity '%any' ikev2-mschapv2-apple: child: 0.0.0.0/0 === dynamic TUNNEL, dpdaction=clear

आप देख सकते हैं कि कॉन्फ़िगरेशन सफलतापूर्वक सक्रिय है और प्रमाणपत्र जुड़ा हुआ है। इस स्तर पर, आप पहले से ही वीपीएन सर्वर से कनेक्ट कर सकते हैं, लेकिन यह इंटरनेट तक पहुंच के बिना होगा। इंटरनेट पर क्लाइंट जारी करने के लिए, आपको NAT को अग्रेषित करने और कॉन्फ़िगर करने में सक्षम करना होगा।

NAT सेटअप

हम अग्रेषण पैकेज सक्रिय करते हैं:

 echo "net.ipv4.ip_forward=1" >> /etc/sysctl.conf sysctl -p

NAT चालू करें। यह ध्यान रखना महत्वपूर्ण है कि यह केवल न्यूनतम iptables कॉन्फ़िगरेशन का एक उदाहरण है। अपनी आवश्यकताओं के अनुसार बाकी नियमों को अनुकूलित करें।

ethName0 - अपने इंटरफ़ेस नाम के साथ बदलें
10.0.1.0/24 - आईपी पते की सीमा जो वीपीएन ग्राहकों को जारी की जाएगी। हमने इसे /etc/ipsec.conf में पूछा
111.111.111.111 - निकास बिंदु का आईपी पता, हमारे उदाहरण में यह पता है सुपर.cool.guy.vnn

 iptables -t nat -A POSTROUTING -s 10.0.1.0/24 -o ethName0 -j SNAT --to-source 111.111.111.111

डिबगिंग

कॉन्फ़िगरेशन के इस चरण में, हमें पूरी तरह से काम करने वाला सर्वर मिलना चाहिए, जिससे ग्राहक पहले से कनेक्ट हो सकें। आगे बढ़ने से पहले, कनेक्शन की जांच करके इसे सत्यापित करना बेहतर है।

कनेक्शन समस्याओं के मामले में, आप वास्तविक समय में लॉग देख सकते हैं:

 journalctl -f -u strongswan

स्टार्टअप पर स्टार्टअप

यदि सब कुछ सफल होता है, तो आप स्टार्टअप पर स्टार्टअप के लिए मजबूत ऐड जोड़ सकते हैं:

 systemctl enable strongswan

बचत iptables नियम

रिबूट के बाद iptables नियमों को बचाने के लिए, एक विशेष iptables-persistent पैकेज है। यह याद रखना महत्वपूर्ण है कि यह नियमों के वर्तमान सेट को बचाएगा और इसे स्टार्टअप में जोड़ देगा।

 apt install iptables-persistent

ग्राहक सेटअप

क्लाइंट साइड पर सेट करना बेहद सरल है - बस क्लाइंट को सर्वर का पता, उपयोगकर्ता नाम और पासवर्ड बताएं। MacOS और iOS के लिए, आप ऑटोकॉन्फ़िगरेशन प्रोफाइल बना सकते हैं जो दो क्लिक में सक्रिय करने के लिए पर्याप्त होगा।

विंडोज सेटअप

विंडोज के नए संस्करणों में, IKEv2 एक साधारण विज़ार्ड में कॉन्फ़िगर किया गया है, जिसे वाईफाई कनेक्शन मेनू से एक्सेस किया जा सकता है।

विंडोज इस तरह के कनेक्शन के लिए एक डिफ़ॉल्ट मार्ग निर्धारित नहीं करता है, इसलिए हम इसे मैन्युअल रूप से इंस्टॉल करेंगे। वीपीएन कनेक्शन के गुणों में, टीसीपी / आईपीवी 4 के गुणों पर जाएं - इसके अलावा और बॉक्स की जांच करें "रिमोट नेटवर्क पर गेटवे का उपयोग करें"

^{क्लिक करने योग्य}

MacOS सेटअप

MacOS संस्करण 10.11 (El Capitan) के साथ शुरू IKEv2 का समर्थन करता है। कनेक्शन नेटवर्क सेटिंग्स मेनू के माध्यम से बनाया गया है।

एक नया कनेक्शन जोड़ें। कनेक्शन का नाम कोई भी मनमाना नाम है।

किसी प्रमाणपत्र को प्रमाणित करने के लिए, आपको एक डोमेन नाम निर्दिष्ट करना होगा। उसी समय, "सर्वर एड्रेस" फ़ील्ड में, आप सर्वर के आईपी पते और डोमेन को केवल "रिमोट आईडी" में निर्दिष्ट कर सकते हैं, फिर कनेक्शन के लिए DNS रिज़ॉल्यूशन नहीं किया जाएगा, और यह थोड़ा तेज़ होगा।

उपयोगकर्ता नाम और पासवर्ड /etc/ipsec.secrets फ़ाइल से निर्दिष्ट किए गए हैं

IOS सेटअप

IOS कॉन्फ़िगरेशन को विज़ार्ड के माध्यम से मैन्युअल रूप से किया जा सकता है, लेकिन यह मोबाइल-कॉन्फ़िगरेशन ऑटो-कॉन्फ़िगरेशन प्रोफ़ाइल का उपयोग करना अधिक सुविधाजनक है।

मैनुअल ट्यूनिंग डेस्कटॉप macOS के अर्थ में समान है:

सेटिंग्स -> वीपीएन -> वीपीएन कॉन्फ़िगरेशन जोड़ें

Apple डिवाइस के लिए ऑटो कॉन्फ़िगरेशन प्रोफ़ाइल

Autoconfiguration प्रोफाइल .mobileconfig एक XML कॉन्फ़िगरेशन फ़ाइल है जो SSL प्रमाणपत्र से वीपीएन कनेक्शन तक कुछ भी कॉन्फ़िगर कर सकती है।

यह उपयोगकर्ता के लिए फ़ाइल पर क्लिक करने के लिए पर्याप्त है, और सभी आवश्यक सेटिंग्स स्वचालित रूप से स्थापित हो जाएंगी।

उदाहरण के लिए हमारे IKEv2 सर्वर से कनेक्ट करने के लिए कॉन्फ़िगर करें।
अपने कॉन्फ़िगरेशन के लिए एक फ़ाइल कॉन्फ़िगर करने के लिए, बस इस टेम्पलेट में कुछ मापदंडों को संपादित करें:

AuthName - /etc/ipsec.secrets फ़ाइल से उपयोगकर्ता नाम
AuthPassword - उपयोगकर्ता पासवर्ड /etc/ipsec.secrets
रिमोटएड्रेस - डोमेन या सर्वर आईपी एड्रेस
RemoteIdentifier - वह डोमेन जिसके लिए प्रमाणपत्र जारी किया गया है

 <?xml version="1.0" encoding="UTF-8"?> <!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd"> <plist version="1.0"> <dict> <key>PayloadContent</key> <array> <dict> <key>IKEv2</key> <dict> <!-- Username and password from ipsec.secrets --> <key>AuthName</key> <string>IrinaYarovaya</string> <key>AuthPassword</key> <string>PleaseLoveMe123</string> <!-- Hostname or IP address of VPN server. Chosing IP address instead of DNS name can avoid issues with client DNS resolvers and speed up connection process. --> <key>RemoteAddress</key> <string>123.123.123.123</string> <!-- leftid in ipsec.conf --> <key>RemoteIdentifier</key> <string>good.citizen.vpn</string> <key>AuthenticationMethod</key> <string>Certificate</string> <key>ChildSecurityAssociationParameters</key> <dict> <!-- in ipsec.conf this proposal is: ike=aes256-sha256-modp2048 --> <key>DiffieHellmanGroup</key> <integer>14</integer> <key>EncryptionAlgorithm</key> <string>AES-256</string> <key>IntegrityAlgorithm</key> <string>SHA2-256</string> <key>LifeTimeInMinutes</key> <integer>1440</integer> </dict> <key>DeadPeerDetectionRate</key> <!-- None (Disable) Low (keepalive sent every 30 minutes) Medium (keepalive sent every 10 minutes) High (keepalive sent every 1 minute) --> <string>High</string> <key>ExtendedAuthEnabled</key> <true/> <key>IKESecurityAssociationParameters</key> <dict> <key>DiffieHellmanGroup</key> <integer>14</integer> <key>EncryptionAlgorithm</key> <string>AES-256</string> <key>IntegrityAlgorithm</key> <string>SHA2-256</string> <key>LifeTimeInMinutes</key> <integer>1440</integer> </dict> <!-- Always On OnDemand Rule Cen be disabled in connection preferences by "On Demand" checkbox http://www.v2ex.com/t/137653 https://developer.apple.com/library/mac/featuredarticles/iPhoneConfigurationProfileRef/Introduction/Introduction.html https://github.com/iphoting/ovpnmcgen.rb --> <key>OnDemandEnabled</key> <integer>1</integer> <key>OnDemandRules</key> <array> <dict> <key>Action</key> <string>Connect</string> </dict> </array> </dict> <key>IPv4</key> <dict> <key>OverridePrimary</key> <integer>1</integer> </dict> <key>PayloadDescription</key> <string>Configures VPN settings</string> <key>PayloadDisplayName</key> <string>VPN</string> <key>PayloadIdentifier</key> <string>com.apple.vpn.managed.96C1C38F-D4D6-472E-BA90-9117ED8896B5</string> <key>PayloadType</key> <string>com.apple.vpn.managed</string> <key>PayloadUUID</key> <string>96C1C38F-D4D6-472E-BA90-9117ED8896B5</string> <key>PayloadVersion</key> <integer>1</integer> <!-- VPN connection name in Network Preferences --> <key>UserDefinedName</key> <string>London VPN</string> <key>VPNType</key> <string>IKEv2</string> </dict> </array> <!-- Set the name to whatever you like, it is used in the profile list on the device --> <key>PayloadDisplayName</key> <string>My Super IKEv2 VPN</string> <!-- A reverse-DNS style identifier (com.example.myprofile, for example) that identifies the profile. This string is used to determine whether a new profile should replace an existing one or should be added. --> <key>PayloadIdentifier</key> <string>vpn.googd.citizen</string> <!-- A globally unique identifier, use uuidgen on Linux/Mac OS X to generate it --> <key>PayloadUUID</key> <string>F3FAD91C-019C-4A79-87A1-CF334C583339</string> <key>PayloadType</key> <string>Configuration</string> <key>PayloadVersion</key> <integer>1</integer> </dict> </plist>

Android सेटअप

दुर्भाग्य से, एंड्रॉइड केवल लोकप्रिय ऑपरेटिंग सिस्टम में से एक है जो अभी भी IKEv2 के लिए अंतर्निहित समर्थन में नहीं है। कनेक्ट करने के लिए, आप PlayMarket से आधिकारिक स्ट्रांग्सवान क्लाइंट का उपयोग कर सकते हैं

परिणाम

हमने स्पेसिफिक एंट्री और एग्जिट पॉइंट के साथ सबसे सरल सर्वर सेटअप विकल्प दिखाया। यह कॉन्फ़िगरेशन आपको अधिकतम वीपीएन गति प्राप्त करने की अनुमति देता है, क्योंकि यह सर्वरों के बीच अतिरिक्त सुरंगों का उपयोग नहीं करता है, इस तथ्य के बावजूद कि प्रविष्टि और निकास बिंदुओं के आईपी पते अलग-अलग सबनेट पर हैं। यह दृष्टिकोण आपको दो से अधिक IP पतों को सर्वर से जोड़कर आगे प्रयोग करने की अनुमति देता है।

IKEv2 प्रोटोकॉल रोजमर्रा के काम के लिए डेस्कटॉप ओएस पर इसका उपयोग करने के लिए एकदम सही है, क्योंकि यह अधिकतम रूप से सिस्टम में मूल रूप से एकीकृत है और अन्य सभी चीजें समान हो रही हैं, जिससे आप थर्ड-पार्टी वीपीएन प्रोग्राम्स की तुलना में अधिक गति प्राप्त कर सकते हैं।

एक क्लिक में डबल वीपीएन। प्रविष्टि और निकास बिंदु के आईपी पते को आसानी से कैसे विभाजित करें