💫 🤐 💏 मैंने पीछे देखा कि वह AWS के माध्यम से - 2 या अपने खुद के डेटा सेंटर में वापस आएगी 👑 🗣️ 😎

हम EC2 Amazon Web Services सेवा के माध्यम से होम हाइपरविजर में स्थित किसी भी सेवा को Amazon Linux AMI 2018 के लिए libreswan , xl2tpd का उपयोग करके और थोड़ी सी भी विकृति के साथ ...

अनुभव के साथ एक पारंपरिक (गैर-आईटी) व्यवसाय के सिस्टम प्रशासक, आमतौर पर थोड़ी देर के बाद, जमीन पर समाधानों के ढेर का परीक्षण करने के लिए घर पर अपना स्वयं का सर्वर वर्चुअलाइजेशन फार्म रखते हैं। यह एक वितरित कार्यालय-शाखा नेटवर्क की एक नकल नकल हो सकती है, उच्च उपलब्धता के एक एकीकृत बुनियादी ढांचे का परीक्षण, कुछ समाधानों के नए संस्करणों की तैनाती, आदि।

बाहरी रूप से, यह एक साधारण मेमोरी-पंप होम पीसी से बना हो सकता है जिसमें बिल्ट-इन हाइपरवाइजर और उपभोक्ता-ग्रेड NAS के रूप में iSCSI स्टोरेज (या समान पीसी पर एक साधारण वर्चुअल मशीन के रूप में) सस्ते-लिखित नियंत्रण इकाइयों के लिए खरीदे गए छोटे-आकार के रैक-माउंट सर्वरों से भरा हो। पश्चिमी डेटा केंद्रों से एक पेडिग्री के साथ, नेटवर्क कनेक्टिविटी के लिए एक ही बीयू टिस्का के साथ और फ़ाइबर चैनल में अटक गया, माध्यमिक बाजार एनएएस में खरीदा गया, लेकिन पहले से ही एक व्यापारिक वर्ग।

बेशक, बादलों के लिए हमारी दीवानगी के युग में, पूरे बुनियादी ढांचे को आसानी से क्लाउड डेटा केंद्रों में तैनात किया जा सकता है, लेकिन यह अभी भी संभव नहीं है, मुख्य रूप से लागत के कारण। यह महत्वपूर्ण नहीं है कि यदि परीक्षणों के लिए उपलब्ध योजनाओं में से कई हल्की वर्चुअल मशीनों की आवश्यकता होती है, लेकिन क्या होगा यदि आपको ड्यूटी के मामले में कई विभिन्न सेवाओं के साथ कई दर्जन या सैकड़ों अलग-अलग "वर्चुअल मशीनों" को मोड़ना है, लेकिन आप एक संग्रह भी रखना चाहते हैं ताकि आपके पास कभी भी हो एक नमूना था जो एक साल पहले कॉन्फ़िगर / सेटिंग्स में मुड़ गया था। या मौजूदा व्यापार सेवाओं में से कुछ को उसी MS Azure में स्थानांतरित करने से पहले ADDS और ADFS के बीच समान तालमेल के साथ सभी नुकसान को स्थानांतरित करने की आवश्यकता है।

इस मामले में मुख्य समस्या यह है कि इस सभी बुनियादी ढांचे का प्रकाशन (अग्रेषण) बाहर करने के लिए है, ताकि आप बाहर से अपने घर "सर्वर साइट" या अपनी खुद की "क्लाउड" सेवाओं, या तृतीय-पक्ष सेवाओं के साथ एकीकरण आदि से जुड़ने का अभ्यास कर सकें।

यह अच्छा है अगर घर का कनेक्शन व्यावसायिक टैरिफ के लिए डिज़ाइन किया गया है, तो इस मामले में आने वाले अनुरोधों के साथ कोई समस्या नहीं है, और आईपी पता लगभग हमेशा "सफेद", स्थिर है।

लेकिन क्या करें जब सामान्य "होम" प्रदाता निवास के स्थान पर मौजूद है, जो इसके अलावा केवल निजी नेटवर्क से एक पता प्रदान कर सकता है। या यह एक सफेद पता देगा, लेकिन पारंपरिक रूप से विशेषाधिकार प्राप्त (<1024) पोर्ट रेंज से आने वाले सभी को काट देगा? या आप एक कॉर्नी गरीब छात्र हैं और कानूनी संस्थाओं के लिए डिज़ाइन की गई मासिक दर को वहन नहीं कर सकते। या क्या आपको अक्सर अपने वर्चुअल सर्वर "सामान" को कूबड़ तक खींचते हुए अपना निवास स्थान बदलना पड़ता है? CIS के बाहर रहने वालों के लिए एक विशेष मामला प्रासंगिक भी है, जब प्रदाता इंटरनेट से कनेक्ट करने के लिए जबरन अपने उपकरण प्रदान करता है और वहां आप केवल उन बंदरगाहों को अग्रेषित करने के लिए भौतिक रूप से कॉन्फ़िगर नहीं कर सकते हैं जिनकी आपको घर आभासी खेत में आवश्यकता है।

एक समाधान किसी भी तृतीय-पक्ष वीपीएन सेवाओं का उपयोग करना है। दुर्भाग्य से, उनमें से कुछ सुरंग के संबंध में आने वाले कनेक्शन की अनुमति देते हैं, सबसे अधिक बार यह एक अलग भुगतान सेवा है। इस मामले में, बाहरी आईपी पते की पसंद बहुत सीमित होगी यदि आप किसी विशेष देश में बाहरी आईपी पते की उपस्थिति के साथ स्थिति का परीक्षण करना चाहते हैं, इसके अलावा, एक नियम के रूप में, कोई गारंटी नहीं है कि उसी समय अन्य वीपीएन ग्राहकों का एक गुच्छा इस पते पर लटका नहीं है। , या यह लंबे समय तक स्थिर रहेगा, जो DNS में सेवा उपडोमेन रिकॉर्ड स्थापित करने के लिए महत्वपूर्ण है।

इसके अलावा योग्य (IMHO), हालांकि कुछ विकृत विधियां, अपने स्वयं के "वर्चुअल" राउटर को कुछ बाहरी क्लाउड प्लेटफ़ॉर्म पर तैनात करने की क्षमता है, जो घर के हाइपरविजर फ़ार्म को क्लाउड में इस वर्चुअल मशीन से वीपीएन सुरंग को कॉन्फ़िगर करने की क्षमता के साथ, बाहरी नेटवर्क इंटरफ़ेस से आगे आने वाले आवश्यक कनेक्शन के साथ। बादलों के घर सेवाओं के लिए बादल। और आदर्श रूप से, पूरी चीज़ के लिए लगभग कुछ भी नहीं देने के लिए।

हाल ही में अपनी नौकरी खो दी है, और इसके साथ एक गर्म और आरामदायक कॉर्पोरेट परीक्षण खेत तक पहुंच है, लेकिन बदले में मुझे अपने कौशल को अपडेट करने के लिए बहुत खाली समय मिला, मैंने अपने घर के पर्यवेक्षक से आने वाले क्लाइंट कनेक्शन देखने का अवसर देने का फैसला किया।

इन पंक्तियों के लेखक "सभी प्रकार के अवसंरचनात्मक विकृतियों को पसंद करते हैं" , इसलिए, एक आभासी राउटर के रूप में, हम लिनक्स के लिए नि: शुल्क अमेज़ॅन वेब सर्विसेज (AWS) EC2 t2.micro उदाहरण का उपयोग करेंगे, जो AWS के बजाय: VPC (सिद्धांत रूप में) डिबगिंग और सुविधाओं में थोड़ा अधिक लचीलापन देगा। , और इस वीपीएन विकृति का टोपोलॉजी नीचे दिखाया गया है:

हम यहाँ क्या देखते हैं?

लिनक्स पर, AWS: EC2 में तैनात वर्चुअल मशीन (उदाहरण) के दौरान प्रति माह एक मुफ़्त (750 घंटे का काम) होता है। आपकी होम सेवाओं के कुछ उपयोगकर्ताओं की आने वाली कॉलें इलास्टिक आईपी के बाहरी सफेद IPv4 पते पर आती हैं, फिर "सुरक्षा समूहों" में इनबाउंड नियमों के माध्यम से हम पोर्ट को उदाहरण के नेटवर्क इंटरफ़ेस के लिए मैप की आवश्यकता होती है, फिर iptables के माध्यम से इन के पैकेट IPSec सुरंग से होकर जाते हैं विंडोज 2016 के लिए एक वर्चुअल मशीन, जहां, रूटिंग का उपयोग करते हुए, आरआरएएस होम वर्चुअल फार्म के अंदर वांछित सेवा के लिए जाता है। हम एक साथ तीन नेट की उपस्थिति पर विशेष ध्यान देते हैं: एक एडब्ल्यूएस लिनक्स में, एक "ऑफिस नेटवर्क" राउटर पर और एक अन्य, होम राउटर पर।

इस (मेरे) मामले में, विंडोज सर्वर 2016 के तहत एक वर्चुअल मशीन एक ऑफिस नेटवर्क और उसके सर्वर प्लेटफॉर्म को अनुकरण करने के लिए एक राउटर की भूमिका निभाता है, एमएस वैप को एमएस एडीएफएस और अन्य के साथ एक अलग मशीन के साथ संयोजन के रूप में तैनात किया जाता है, इसलिए इसे किसी अन्य ओएस के साथ बदलने की कोई आवश्यकता नहीं है। यहां तक कि स्वाद के लिए एक घर का बना टुकड़ा। विंडोज आरआरएएस के साथ, रास्ते में चीजें जटिल हो जाती हैं, जिस तरह से मुझे विभिन्न अप्रिय क्षणों (जिसके बारे में नीचे) से निपटना था, इसलिए यदि आप एक राउटर के रूप में एमएस विंडोज सर्वर को नापसंद करना चुनते हैं, तो एक और ऑपरेटिंग सिस्टम के साथ यह आसान हो सकता है।

यदि आप अभी भी एक नहीं है तो पहले हम AWS खाता बनाएँगे। खाता स्वयं बनाने में कोई समस्या नहीं है, आपको केवल अपने प्लास्टिक कार्ड के विवरण को इंगित करने की आवश्यकता है, जिसमें से 1 यूएसडी चेक के रूप में डेबिट किया जाएगा (और फिर लौटा)।

यहां केवल दो बिंदुओं का उल्लेख किया जाना चाहिए:

AWS पर जाना सुनिश्चित करें: IAM (पहचान और अभिगम प्रबंधन) और अपने नए खाते के लिए MFA (मल्टी-फैक्टर ऑथेंटिकेशन) को सक्षम करें, या इससे भी बेहतर, क्योंकि AWS अनुशंसा करता है - MFA के साथ एक अलग खाता बनाएं और संबंधित अधिकारों के प्रतिबंध के माध्यम से काम करना जारी रखें। यह। अन्यथा, आप एक अप्रिय स्थिति में समाप्त हो सकते हैं जब एक ट्रोजन आपके पीसी से एडब्ल्यूएस क्रेडेंशियल्स चुराता है और, उदाहरण के लिए, महंगी उच्च-प्रदर्शन उदाहरण योजनाओं पर आपके खर्च पर आपके दिल से मेरा कोई ...
व्यावहारिक कारणों से, यह अनुशंसा की गई है कि आप एक बजट अलर्ट सेट करें। यह खाता सेटिंग्स में किया जाता है, संबंधित मेनू आइटम को "बिलिंग और लागत प्रबंधन डैशबोर्ड" कहा जाता है। खुलने वाले पैनल में, बाईं ओर "बजट" आइटम का चयन करें और अंतर्निहित विज़ार्ड का उपयोग करके स्वाद के लिए नियोजित मासिक बजट को कॉन्फ़िगर करें। वहां एक अलर्ट सेट करना न भूलें: निर्दिष्ट राशि से अधिक होने की स्थिति में, आपको तुरंत एक संदेश प्राप्त होगा। यह उपयोगी है यदि आपने पहले AWS के साथ काम नहीं किया है और अपने प्रयोगों के दौरान गलती से "गोल" प्राप्त करने से डरते हैं।

अगला, हमें AWS की आवश्यकता है : EC2 ।

सबसे महत्वपूर्ण चरणों में से एक एडब्ल्यूएस क्षेत्र (अनिवार्य रूप से एक डेटा सेंटर) का चयन करना है जिसमें हम अपनी वर्चुअल मशीन को तैनात करना चाहते हैं। प्लेसमेंट सीधे आपके "वर्चुअल राउटर" की भौगोलिक स्थिति को प्रभावित करेगा, और इसलिए इसके साथ काम करते समय नेटवर्क देरी। यह महत्वपूर्ण है क्योंकि AWS क्षेत्रों के बीच लाइव माइग्रेशन प्रदान नहीं करता है (अंतर्निहित AWS सर्वर माइग्रेशन सेवा केवल AWS क्लाउड पर ही कुछ माइग्रेट कर सकती है) और प्लेसमेंट त्रुटि के मामले में वांछित स्थान में फिर से एक नया उदाहरण फिर से बनाना आसान है। वैकल्पिक रूप से, आपको AWS में छवि (अंतर्निहित, EC2 में निर्मित) से छवि को निकालना होगा : S3 (भंडारण सेवा) और वहां से इस छवि को नए क्षेत्र में EC2 उदाहरण में खींचें। मेरे मामले में, फ्रैंकफर्ट क्षेत्र को मूल रूप से चुना गया था:

हम एक नया उदाहरण बनाते हैं, बाईं ओर "फ्री टियर ओनली" विकल्प का चयन करें, जो छवियों की प्रस्तावित सूची को केवल मुफ्त में सीमित कर देगा। मैंने "अमेज़ॅन लिनक्स एएमआई 2018" (एडब्ल्यूएस में लिनक्स वितरण के बारे में अधिक ) चुना, क्योंकि "Amazon Linux 2 AMI" पर xl2tpd अमेज़न द्वारा इकट्ठे किए गए कर्नेल की प्रकृति के कारण ठीक से काम नहीं करता है।

आप किसी अन्य लिनक्स छवि को चुन सकते हैं जो आपको दी गई सूची से परिचित हो। आप एडब्ल्यूएस मार्केटप्लेस में भी गहराई से जा सकते हैं और वहां वैकल्पिक छवियों की तलाश कर सकते हैं, बस लागत के बारे में टिप्पणियों को ध्यान से पढ़ें: छवि स्वयं और कंप्यूटिंग संसाधन मुक्त हो सकते हैं, लेकिन आपको डिस्क स्थान आदि के लिए अतिरिक्त भुगतान करना होगा।

हम प्रस्तावित प्रकार "t2.micro" का चयन करते हैं, यह 1 वीसीपीयू, 1 जीबी मेमोरी, 8-30 जीबी (एसएसडी / मैग्नेटिक) डिस्क स्थान और 750 घंटे का काम हर महीने मुफ्त में प्रदान करता है। हमारे "वर्चुअल राउटर" के लिए पर्याप्त है। यह ध्यान देने योग्य है कि मुफ्त डिस्क स्थान और काम करने का समय सभी उदाहरणों पर खर्च किया जाता है, इसलिए वित्तीय कठिनाइयों के मामले में आपको उन्हें बनाने / चलाने की आवश्यकता नहीं है जो आपको मुफ्त में छोड़कर अधिक से अधिक खर्च कर सकते हैं।

"अगला ..." विज़ार्ड में क्लिक करें, तीसरे चरण में हम सभी डिफ़ॉल्ट मान छोड़ते हैं, 4 वें पर हम SSD डिस्क डिफ़ॉल्ट के प्रस्तावित 8 गीगाबाइट से सहमत हैं और उदाहरण की समीक्षा और लॉन्च बटन से शुरू होता है:

उसके बाद हमें SSH के माध्यम से हमारे साथ जुड़ने के लिए एक नई कुंजी जोड़ी बनाने के बारे में एक संदेश के साथ एक विंडो मिलेगी और इस जोड़ी को नाम देने और * .pem प्रारूप में निजी कुंजी डाउनलोड करने का प्रस्ताव होगा। हमें वास्तव में भविष्य में इसकी आवश्यकता होगी, इसलिए इसे तुरंत सुरक्षित स्थान पर सहेजना उचित है। यदि यह फ़ाइल खो गई है, तो आप इसका उपयोग करके इंस्टेंस से कनेक्ट करने के लिए दूरस्थ रूप से कनेक्ट करने की क्षमता खो देंगे। EC2 में, मौजूदा उदाहरण के लिए इसे फिर से पुनर्जीवित करने का कोई तरीका नहीं है, एकमात्र तरीका उदाहरण डिस्क को दूसरे उदाहरण से कनेक्ट करना है जिसमें पहुंच और बाद में कुंजी संपादन है।

थोड़ी देर बाद, उदाहरण लॉन्च किया जाएगा, इसमें एक आंतरिक (निजी) और बाहरी (सार्वजनिक) आईपीवी 4 पता होगा, साथ ही दो संबंधित डीएनएस नाम भी होंगे।
अपनी सेवाओं के लिए यातायात प्रवाह सुनिश्चित करने के लिए सुरक्षा समूहों को तुरंत कॉन्फ़िगर करें:

हमें IPSec L2TP वीपीएन सुरंग, होम फार्म सेवाओं के प्रकाशन के लिए HTTP और HTTPS के आयोजन के लिए खुले आने वाले बंदरगाहों 500, 1701, 4500 UDP और 4500 टीसीपी की आवश्यकता होगी, उदाहरण के लिए SSH के माध्यम से बाहरी पहुंच स्वचालित रूप से बनाया गया था, उदाहरण के लिए, क्योंकि EC2 अनिवार्य रूप से अपने वेब इंटरफेस के माध्यम से वर्चुअल मशीन कंसोल तक कोई अंतर्निहित पहुंच नहीं रखता है। केवल स्क्रीन देखने की क्षमता है:

केवल अपने घर के आईपी पते से वीपीएन और एसएसएच के माध्यम से पहुंच को कॉन्फ़िगर करना उचित है। सुरक्षा समूहों में नियमों का क्रम मायने नहीं रखता।

चूंकि हम कई NAT दस्तावेज़ों का उपयोग करेंगे, AWS इस मामले में "नेटवर्क स्रोत / गंतव्य जाँच" को अक्षम करने की अनुशंसा करता है:

चूंकि हम IPSec टनलिंग का उपयोग करेंगे, और परिवहन नहीं, यह सेटिंग हमारे लिए बहुत मायने नहीं रखती है, लेकिन सिर्फ मामले में, इसे बंद करना बेहतर है।

हमारे उदाहरण के लिए SSH के माध्यम से कनेक्ट करें। यदि आप एक ग्राफिकल SSH क्लाइंट का उपयोग करते हैं, उदाहरण के लिए, PuTTY, कनेक्ट करने के लिए, कनेक्शन पर अंतर्निहित मदद, उदाहरण के लिए RMB द्वारा बुलाया -> कनेक्ट, आपकी मदद करेगा:

अमेज़ॅन लिनक्स आरएचईएल और सेंटोस से एक वंशावली रखता है, इसलिए यम पैकेज प्रबंधक का उपयोग किया जाता है।

नीचे वर्णित सभी ऑपरेशनों को विशेषाधिकार वृद्धि के साथ निष्पादित किया जाना चाहिए, इसलिए हम उन्हें सूडो के साथ पहले या बस रूट के रूप में काम करते हैं।

पहला अपडेट:

# yum update

वीपीएन सर्वर के आयोजन के लिए सॉफ्टवेयर के रूप में, हम लाइब्रेश्वन और xl2tpd के संयोजन का उपयोग करेंगे।

लिबरेस्वान ( ओपेंसवान का कांटा और स्ट्रांगवान का एक एनालॉग) वीपीएन IPSec और IKE (इंटरनेट कुंजी एक्सचेंज) का एक लोकप्रिय कार्यान्वयन है। यह विभिन्न प्रकार के NAT और उनके संयोजनों को सही ढंग से बायपास कर सकता है, जो IPSec टनलिंग का आयोजन करते समय विशेष रूप से महत्वपूर्ण है।

xl2tpd का व्यापक रूप से उपयोग किया जाता है, इसका मुख्य लाभ पीपीपी के माध्यम से क्लाइंट कनेक्शन मापदंडों को प्रमाणित और संचारित करने की अंतर्निहित क्षमता है (उदाहरण के लिए, आईपी पते, डिफ़ॉल्ट मार्ग सेटिंग्स, डीएनएस सर्वर, आदि), जो हमारे लिए अतिरिक्त डीएचसीपी और रेडियस तैनाती की आवश्यकता को समाप्त करता है। सरल कार्य।

चूंकि xl2tpd मानक अमेज़ॅन लिनक्स रिपॉजिटरी में नहीं है, इसलिए हमें EPEL (एंटरप्राइज लिनक्स के लिए अतिरिक्त पैकेज) सक्षम करने की आवश्यकता है:

 # yum-config-manager --enable epel

आवश्यक पैकेज स्थापित करें:

 # yum install libreswan xl2tpd -y

कर्नेल स्तर रूटिंग सक्षम करें:

फ़ाइल में /etc/sysctl.conf हम लिखते हैं:

 net.ipv4.ip_forward = 1 net.ipv4.conf.all.accept_redirects = 0 net.ipv4.conf.all.secure_redirects = 1 net.ipv4.conf.all.send_redirects = 0 net.ipv4.conf.default.accept_redirects = 0 net.ipv4.conf.default.secure_redirects = 0 net.ipv4.conf.default.send_redirects = 0 net.ipv4.conf.lo.accept_redirects = 0 net.ipv4.conf.lo.secure_redirects = 0 net.ipv4.conf.lo.send_redirects = 0 net.ipv4.conf.eth0.accept_redirects = 0 net.ipv4.conf.eth0.secure_redirects = 0 net.ipv4.conf.eth0.send_redirects = 0 net.ipv4.conf.all.rp_filter = 0 net.ipv4.conf.default.rp_filter = 0 net.ipv4.conf.eth0.rp_filter = 0

वर्तमान सत्र में rp_filter को अक्षम करें ताकि रिबूट न हो:

 # for f in /proc/sys/net/ipv4/conf/*/rp_filter ; do # echo 0 > $f # done

हम सेटिंग लागू करते हैं और रूटिंग की उपलब्धता की जांच करते हैं:

 # sysctl -p /etc/sysctl.conf # cat /proc/sys/net/ipv4/ip_forward

हमें अपने भविष्य के IPSec सुरंग के लिए आवश्यक सेवाओं के बंदरगाहों से आने वाले (उदाहरण के सार्वजनिक इंटरफ़ेस के संबंध में) पैकेट को अग्रेषित करना सुनिश्चित करना होगा। इसके लिए, न केवल इन पैकेटों को डी-एनएटी करना आवश्यक है, बल्कि पीपीपी इंटरफेस पर मस्कारिंग भी करना है।
हम इसके लिए बिल्ट-इन iptables सुविधाओं का उपयोग करेंगे, जो अमेज़ॅन लिनक्स के मामले में शुरू में किसी भी दिशा में किसी भी ट्रैफ़िक को पूरी तरह से अनुमति देने के लिए शुरू में कॉन्फ़िगर किया गया है:

आवश्यक पोर्ट का DNAT बनाएं:

 # iptables -t nat -A PREROUTING -p tcp -i eth0 --dport 80 -j DNAT --to-destination 10.100.0.2:80 # iptables -t nat -A PREROUTING -p tcp -i eth0 --dport 443 -j DNAT --to-destination 10.100.0.2:443

उन सभी पैकेटों को अग्रेषित करें जो इन बंदरगाहों पर विंडोज गेट के पते पर आए थे:

 # iptables -A FORWARD -p tcp -d 10.100.0.2 --dport 80 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT # iptables -A FORWARD -p tcp -d 10.100.0.2 --dport 443 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT

इन पैकेजों के लिए मास्किंग करें:

 # iptables -t nat -A POSTROUTING -o ppp0 -j MASQUERADE

यह सलाह दी जाती है कि iptables नियम बनाए रखें ताकि उदाहरण के पुनरारंभ होने पर वे स्वचालित रूप से कस जाएं:

 # service iptables save

इस मामले में, हम IPv4 पते 10.100.0.2 की दिशा में उदाहरण के नेटवर्क इंटरफ़ेस eth0 से आवश्यक टीसीपी पोर्ट के DNAT (डेस्टिनेशन NAT) का उपयोग करते हैं, जो कि होम हाइपरविजर में हमारे विंडोज गेट के आरआरएएस सेवा के पीपीपी इंटरफ़ेस पर पता है।

निम्नलिखित एक बहुत ही महत्वपूर्ण बिंदु है: चूंकि हाइपरवाइज़र के अंदर सेवाओं को एडब्ल्यूएस उदाहरण से प्राप्त अनुरोधों का जवाब देने में सक्षम होने की आवश्यकता है, इसलिए पैकेट भेजने से पहले उदाहरण के ppp0 इंटरफ़ेस पर मस्कारिंग (प्रेषक पते की जगह) प्रदान करना आवश्यक है, अन्यथा उत्तर पूरी तरह से अलग दिशा में जाएगा: से IPSec टनल के सामने स्थित हाइपरविजर में विंडोज गेट सीधे डिफॉल्ट राउटर (होम राउटर) पर जाता है, जिसके परिणामस्वरूप, यह सर्विस के क्लाइंट साइड पर गिरा दिया जाएगा, जैसे कि यह एक अनचाहे संसाधन से आया है। यदि वीपीएन सुरंग के प्रवेश द्वार पर पैकेट हेडर में मस्कारिंग का उपयोग किया जाता है, तो प्रेषक का पता इंटरनेट पर कहीं पते से बदलकर एडब्ल्यूएस उदाहरण के इंटरफ़ेस ppp0 : EC2, अर्थात मेरे मामले में 10.100.0.1 पर

अन्य लिनक्स डिस्ट्रीब्यूशन या * NIX सिस्टम के लिए iptables का उपयोग करने के विकल्प के रूप में, आप अच्छे पुराने रैनेट की सिफारिश कर सकते हैं, जहां यह सब आम तौर पर इसके rinetd.conf कॉन्फिगरेशन में एक लाइन में किया जाता है:

 <ip source> <port source> <ip destination> <port destination>

कर्नेल में इस मामले में सक्षम होने वाली केवल एक चीज को रूट / एनएटी ट्रैफ़िक की संभावना है।

यह लाइब्रेश्वन पकाने का समय है।

/Etc/ipsec.conf फ़ाइल में /etc/ipsec.d/ से सभी .conf फ़ाइलें डाउनलोड करने के निर्देश हैं, इसलिए, हम /etc/ipsec.d/aws_vpn.conf निर्देशिका में एक नई कॉन्फ़िगरेशन फ़ाइल बनाते हैं और इसे इसमें जोड़ते हैं:

 config setup #       # plutostderrlog=/var/log/pluto.log # logfile=/var/log/pluto.log # plutodebug = all #  NAT-T -   NAT- nat_traversal=yes oe=off protostack=netkey nhelpers=0 interfaces=%defaultroute conn aws_vpn type=tunnel auto=start forceencaps=yes pfs=no fragmentation=yes authby=secret left=%defaultroute #   <…>      Elastic IP leftid=<…> #   <…>     (172...) leftsubnet=<…>/32 leftnexthop=%defaultroute leftprotoport=17/1701 rightprotoport=17/%any right=%any rightsubnetwithin=0.0.0.0/0 rightsubnet=vhost:%priv

सादगी के लिए, हम एक साझा कुंजी (PSK) के आधार पर IPSec प्रमाणीकरण का उपयोग करेंगे, प्रमाण पत्र नहीं, इसलिए हमें इसे स्पष्ट रूप से निर्दिष्ट करना होगा। फ़ाइल /etc/ipsec.secrets में /etc/ipsec.d/ से सभी .secrets फ़ाइलों को डाउनलोड करने के निर्देश हैं, वहां हम एक नई फ़ाइल /etc/ipsec.d/aws_vpn.secrets बनाते हैं और प्रारूप में इसमें PSK निर्दिष्ट करते हैं:

 <     172...> %any : PSK "< PSK>"

एक उदाहरण के रूप में:

 172.31.20.120 %any : PSK "Pa$$w0rd"

चूंकि IPSec सुरंग के अंदर ppp कनेक्शन का उपयोग किया जाएगा, और इसका अपना प्रमाणीकरण है, हम इसे भी कॉन्फ़िगर करते हैं:
हम फ़ाइल / आदि / उपयोगकर्ता नाम और पासवर्ड को प्रारूप में दर्ज करते हैं:

 <user> * <password> *

एक उदाहरण के रूप में:

 aws_user * Pa$$w0rd *

Ppp क्लाइंट से कनेक्ट करते समय, नेटवर्क इंटरफ़ेस और उसके भाग के राउटिंग टेबल को कॉन्फ़िगर करने के लिए कई विकल्पों को पास करना संभव है।

/Etc/ppp/options.xl2tpd फ़ाइल में, इन विकल्पों को सेट करें:

 #  xl2tpd  ip   ipcp-accept-local ipcp-accept-remote #    defaultroute   Windows-    nodefaultroute noccp auth #   RRAS  Windows-  mschap-v2   require-mschap-v2 #   MTU  MRU mtu 1410 mru 1410 lock

क्योंकि हमें क्लाइंट को डीएनएस, जीत आदि को पास करने की जरूरत नहीं है। बातें - अन्य सभी विकल्पों पर टिप्पणी करने की आवश्यकता है।

यहां आपको कॉन्‍फ़िगरेशन का विवरण चाहिए।

वीपीएन कनेक्शन के लिए मानक व्यवहार क्लाइंट तालिका में एक नया डिफ़ॉल्ट रूट स्थापित करना है, जो इंटरनेट से सभी ट्रैफ़िक को वीपीएन सर्वर के माध्यम से "जाने" के लिए मजबूर करता है। हमारे मामले में, यह गलत है, क्योंकि विंडोज गेट का लक्ष्य हाइपरविजर में इसके पीछे वर्चुअल ऑफिस नेटवर्क के इंटरनेट तक सिम्युलेटेड एक्सेस प्रदान करना और आंतरिक सेवाओं के संसाधनों को AWS: EC2 के माध्यम से प्रकाशित करना है, इसलिए AWS: EC2 के माध्यम से सभी ट्रैफ़िक को ड्राइव करना तर्कहीन है। यही कारण है कि आपको आरआरएएस में वीपीएन कनेक्शन को डिफ़ॉल्ट मार्ग (एक होम राउटर) में बदलने से रोकने की आवश्यकता है।

सही MTU और MRU मूल्यों को चुनना भी महत्वपूर्ण है: हम IPSec टनलिंग का उपयोग करते हैं और बहुत बड़े पेलोड का आकार एनकैप्सुलेशन सीमा में फिट नहीं हो सकता है, जिससे विखंडन हो जाएगा और सबसे अधिक त्रुटि होगी। यदि ऐसा प्रतीत होता है, तो सबसे पहले इन मूल्यों को कम करने की कोशिश करें, उदाहरण के लिए, 1280 तक। दिए गए कॉन्फ़िगरेशन में इंगित किए गए मान विंडोज वीपीएन क्लाइंट के साथ संगत हैं।

यह xl2tpd को कॉन्फ़िगर करने के लिए बना हुआ है

हम कॉन्फ़िगरेशन फ़ाइल xl2tpd /etc/xl2tpd/xl2tpd.conf में आवश्यक सभी चीज़ों को कॉन्फ़िगर करते हैं :

 [global] port=1701 ipsec saref = yes ; ,      ;debug tunnel = yes ;debug avp = yes ;debug network = yes ;debug state = yes ;debug tunnel = yes [lns default] name = AWSvpnServer ;       ppp ip range = 10.100.0.2-10.100.0.2 ;    ppp0 AWS:EC2  local ip = 10.100.0.1 require authentication = yes require chap = yes refuse pap = yes pppoptfile = /etc/ppp/options.xl2tpd length bit = yes

हम वह सब कुछ जांचते हैं जो हमने किया है

हम दोनों सेवाओं को चलाने और विन्यास की जांच करने की कोशिश करते हैं:

 service ipsec start service xl2tpd start ipsec verify

सेवाएँ पहले से ही चल रही हो सकती हैं, जिस स्थिति में वे बस पुनः आरंभ की जाती हैं।

यदि सब कुछ ठीक है, तो ipsec सत्यापन से आउटपुट स्क्रीनशॉट के समान होना चाहिए:

आप इसे -D स्विच के साथ चलाकर और स्क्रीन उपयोगिता का उपयोग करके SSH टर्मिनल के एक अलग "विंडो" में लटकाकर xl2tpd को अंतःक्रियात्मक रूप से डिबग कर सकते हैं:

 # xl2tpd -D

इस स्थिति में, xl2tpd प्रक्रिया पृष्ठभूमि में नहीं जाएगी, लेकिन टर्मिनल स्क्रीन पर अपनी सभी गतिविधियों को प्रदर्शित करेगी।

किसी भी समस्या के मामले में, आपको कॉन्फ़िगरेशन (टिप्पणियों को देखें) में डिबगिंग विकल्पों को अनसुना करने और सिस्टम लॉग की सामग्री और /var/log/pluto.log फ़ाइल को देखने की आवश्यकता है। यह /etc/ipsec.conf फ़ाइल में virtual_pStreet / virtual-private विकल्प की सामग्री पर भी ध्यान देने योग्य है, यह IPSec के माध्यम से डेटा के आदान-प्रदान के लिए उपलब्ध सभी निजी नेटवर्क को सूचीबद्ध करता है। यदि किसी कारण से आपका अपना पता है, उदाहरण के लिए, आप सफेद IPv4 पतों के अपने पूल का उपयोग करते हैं, तो आपको इस पैरामीटर में परिवर्तन करना चाहिए।

चलो अंतिम चरण पर चलते हैं - विंडोज गेट में आरआरएएस सेवा स्थापित करना और इंटरनेट से सेवाओं के प्रकाशन की जांच करना

यह माना जाता है कि आपके घर के हाइपरविजर में एक वर्चुअल मशीन है जो विंडोज 2012R2 या नई चल रही है, जिसे ग्राफिकल (डेस्कटॉप) मोड में तैनात किया गया है, और इस वर्चुअल मशीन में दो नेटवर्क एडेप्टर हैं: एक "होम नेटवर्क में" दिखता है और डिफ़ॉल्ट रूट के रूप में होम राउटर है। और दूसरा एक आभासी स्थानीय "कार्यालय" नेटवर्क में, जिसमें बाहर प्रकाशित सेवाएं हैं। एक विंडोज़ डोमेन वैकल्पिक है, जब तक कि सेवाओं को स्वयं इसकी आवश्यकता न हो।

हम सर्वर प्रबंधक का उपयोग करके या PowerShell Install-WindowsFeature cmdlet का उपयोग करके सभी आवश्यक भूमिकाएँ स्थापित करते हैं:

यहां मैं ग्राफिक्स के माध्यम से भूमिकाओं की स्थापना को प्रदर्शित करता हूं, क्योंकि तब सर्वर मैनेजर से सेटअप विज़ार्ड को कॉल करना और शेड्यूल में ही आरआरएएस सेवा को कॉन्फ़िगर करना बहुत अधिक सुविधाजनक होगा, जो हमें विंडोज सर्वर 2003 के समय से पुराने पुराने इंटरफ़ेस के साथ खुश करेगा:

अपने सर्वर पर आरएमबी पर क्लिक करें, "कॉन्फ़िगर और राउटिंग और रिमोट एक्सेस सक्षम करें " चुनें और फिर मैन्युअल रूप से कॉन्फ़िगर करें:

सभी jackdaws का चयन करने के लिए स्वतंत्र महसूस करें, विज़ार्ड को पूरा करें और सेवा शुरू करें:

सबसे पहले, अपने वर्चुअल लोकल एरिया नेटवर्क को बाहर छोड़ दें। हम IPv4-> NAT में जाते हैं और एक नया इंटरफ़ेस बनाते हैं, क्योंकि मौजूदा इंटरफ़ेस जिस पर NAT को लागू किया जाएगा, बाहरी इंटरफ़ेस (जो इंटरनेट में दिखता है, या आपके होम नेटवर्क में) का चयन करें, इसे सार्वजनिक रूप से चिह्नित करें और NAT को इस पर सक्षम करें:

हम यह जांचते हैं कि हमारे गेट से वर्चुअल लैन से ट्रैफिक कैसे निकलता है। हमें अभी तक विंडोज फ़ायरवॉल को कॉन्फ़िगर करने की आवश्यकता नहीं है।

यदि सब कुछ ठीक है, तो हम अंततः वही बनायेंगे जो हम लड़ रहे थे, हमारे एडब्ल्यूएस उदाहरण के लिए वीपीएन कनेक्शन और हमारी सेवाओं के प्रकाशन की जांच करें। हम आरआरएएस स्नैप-इन में "नेटवर्क इंटरफेस" में जाते हैं और एक मनमाने नाम के साथ एक नया डिमांड-डायल इंटरफ़ेस बनाते हैं:

L2TP कनेक्शन का तुरंत चयन करें, इसलिए हमारा नया इंटरफ़ेस स्वचालित रूप से वीपीएन के प्रकार को निर्धारित करने की कोशिश नहीं करेगा और परिणामस्वरूप यह तेजी से कनेक्ट होगा:

विज़ार्ड में आगे हम अपने क्लाउड (मेरे मामले में, इलास्टिक आईपी) के सार्वजनिक पते का संकेत देते हैं। अगले चरणों में, सब कुछ छोड़ दो जैसा वह है, क्योंकि हमें साइट-टू-साइट कनेक्शन की आवश्यकता नहीं है:

उस उपयोगकर्ता खाते को निर्दिष्ट करें जिसके तहत हमने पीपीपी कनेक्शन (फ़ाइल / आदि / पीपीपी / चैप-रहस्यों में ) को कॉन्फ़िगर किया है। कोई डोमेन नाम आवश्यक नहीं है:

विज़ार्ड एक नया कनेक्शन बनाता है। अब इसे कॉन्फ़िगर करना बाकी है। हम निष्क्रिय टाइमआउट (निष्क्रिय-समय) को समायोजित करेंगे, केवल MS-CHAPv2 के पक्ष में पुराने CHAP को हटा दें, "उन्नत गुण" में PSK कुंजी निर्दिष्ट करें (जो फ़ाइल /etc/ipsec.d/aws_vpn में xl2tpd के लिए सेट की गई थी। रहस्य) और IPv6 को हटा दें:

एक नया इंटरफ़ेस बनाने के बाद, आपको स्वयं RRAS सेवा के गुणों में भी जाना चाहिए, L2TP के लिए अपनी IPSec नीति सक्षम करें और अपना PSK निर्दिष्ट करें। उन्हें RRAS सेवा को फिर से शुरू करने के लिए कहा जाता है।

ऐसा लगता है कि सब कुछ सुरक्षित रूप से एक नया इंटरफ़ेस उठाया जा सकता है और काम का आनंद ले सकता है। लेकिन नहीं। इस तथ्य के कारण कि हमने एडब्ल्यूएस: ईसी 2 उदाहरण में एनएटी का उपयोग किया था, विंडोज वीपीएन क्लाइंट ऐसे नेट-ट्रैवर्सल नोड से कनेक्ट नहीं कर पाएंगे। यह क्लाइंट संस्करणों (विंडोज 10 बिल्ड के इस लेख के लेखन के समय नवीनतम तक) और सर्वर वाले दोनों के लिए सही है।

सौभाग्य से, IPSec नीति सेवा सेटिंग्स की रजिस्ट्री में संपादन के रूप में इस समस्या का एक आधिकारिक समाधान है, जिसके बाद एक विद्रोह होता है:

पर
HKEY_LOCAL_MACHINE \ SYSTEM \ CurrentControlSet \ Services \ PolicyAgent
DWORD (32-बिट) कुंजी बनाएँ
मान लें
और हमारे विंडोज गेट को रीबूट करें।

आरआरएएस सेवा दुर्भाग्य से विन्यास और संचालन में अपनी मितव्ययिता के लिए प्रसिद्ध है, और एक रिबूट के बाद भी, यह एक विलंबित शुरुआत करता है। तो आप इसे रिबूट के बाद जल्दी कर सकते हैं।
यदि सब कुछ सही ढंग से किया जाता है, तो कनेक्शन 5-10 सेकंड के भीतर काम करेगा।

यह आवश्यक संसाधनों के प्रकाशन को विंडोज गेट पर ही करने के लिए बना हुआ है।

परीक्षण के लिए हम वेब सर्वर के प्रकाशन का काम करेंगे। सबसे पहले, हमारी IPSec सुरंग और iptables नियम देखें।

कांपते हाथों से, हम इंटरनेट से जुड़े एक मनमाने पीसी से जाँच करते हैं:

वाह, यह काम करता है ...

आवश्यक भूमिकाओं की स्थापना के दौरान, "मूल" एमएस IIS को जबरन स्थापित किया गया था, लेकिन हम इसे और भी आसान चाहते हैं। इसके लिए, एक विंडोज प्लेटफॉर्म पर, एचएफएस (एचटीटीपी फाइल सर्वर) अच्छी तरह से अनुकूल है - यह मुफ़्त है, स्थापना की आवश्यकता नहीं है, एक विशिष्ट पृष्ठ और HTTP हेडर देता है, एक मनमाना बंदरगाह पर काम कर सकता है (डिफ़ॉल्ट रूप से यह 8080 है, इसलिए हमारे मामले में यह 80 को पुन: कॉन्फ़िगर करने के लिए आवश्यक होगा), और तुरंत अपने कंसोल में लिखते हैं कि कनेक्शन कहां से आया है, जो विंडोज प्लेटफॉर्म पर कई वेब संसाधनों के प्रकाशन को डीबग करने के लिए बहुत सुविधाजनक है। इसका उपयोग करने के लिए, आपको आवश्यक पोर्ट से एम्बेडेड सर्वर को अनलिमिटेड करने के लिए पहले MS IIS साइट को बंद करना होगा। चूंकि हम MS IIS प्रबंधन कंसोल स्थापित नहीं करना चाहते हैं (वास्तव में, MS IIS 6 कंसोल संगतता के लिए मौजूद होगा, लेकिन IIS 7+ को इसके माध्यम से नियंत्रित नहीं किया जा सकता है), हम इसे PowerShell के माध्यम से करेंगे:

 Stop-WebSite -Name "Default Web Site"

या बस आईरिससेट प्रबंधन उपयोगिता के माध्यम से:

 iisreset /stop

उसके बाद, आपको अंतर्निहित फ़ायरफ़ॉक्स में 80 इनबाउंड ट्रैफ़िक को पोर्ट करने की अनुमति देने की आवश्यकता है।
हम एचएफएस शुरू करते हैं और जांच करते हैं:

सब कुछ महान है। हमने यह हासिल किया है कि इंटरनेट पर कहीं से भी आप वेब सर्वर को देख सकते हैं जो हमारे घर में एक आभासी मशीन के रूप में एक अनियंत्रित हाइपरवाइज़र के रूप में रहता है।

अंतिम स्पर्श: हम आरआरएएस को आभासी कार्यालय नेटवर्क में बाहर से ऐसे सभी अनुरोधों को आगे बढ़ाने के लिए सिखाते हैं, जहां किंवदंती के अनुसार, हमारे पास एक और वेब सर्वर है।

ऐसा करने के लिए, हम फिर से आरपीएएस प्रबंधन स्नैप-इन IPv4-> नेट और आरएमबी पर अपने वीपीएन इंटरफ़ेस पर जाते हैं, जहां हम "सेवा और पोर्ट" टैब का चयन करते हैं, इसे वेब सर्वर सूची में चिह्नित करते हैं और आंतरिक वर्चुअल नेटवर्क में वेब सर्वर को निर्दिष्ट करते हैं जिनके संसाधनों को हम प्रकाशित करना चाहते हैं। इंटरनेट:

ठीक क्लिक करें और ... सब कुछ तैयार है। हम जांच करते हैं - सब कुछ ठीक काम करना चाहिए।

इस तरह के एक सरल तरीके से, आप साइटों, मेल सर्वरों से लेकर कुछ जटिल एकीकरण तक लगभग किसी भी सेवा और संसाधनों को जल्दी से प्रकाशित कर सकते हैं। स्वाभाविक रूप से, उनमें से अधिकांश के लिए, आपको अपने स्वयं के DNS डोमेन के साथ उसमें उप-डोमेन बनाने और आवश्यक रिकॉर्ड संपादित करने की आवश्यकता होगी। वेब संसाधनों को प्रकाशित करने के लिए SSL प्रमाणपत्र का उपयोग करना भी उचित है, LetsEncrypt और इसी तरह की एसीएमई-संगत सेवाओं के लिए धन्यवाद , यह सब पूरी तरह से नि: शुल्क और स्वचालित अद्यतन के साथ किया जा सकता है।

जब आप आवृत्ति को पुनरारंभ करते हैं, तो सार्वजनिक IPv4 पता परिवर्तित नहीं होता है - केवल जब इसे रोका जाता है, लेकिन यह अभी भी AWS: EC2 में एक स्थिर IPv4 पते का उपयोग करने के लिए अनुशंसित है। इस अर्थ में स्थिर है कि जब आप अपने उदाहरण को बंद करते हैं, तो यह उसे सौंपा जाएगा, और सामान्य मुक्त पूल में नहीं गिरेगा। बेशक, यह आवश्यक है ताकि हर बार डोमेन में DNS रिकॉर्ड्स के पुनर्गठन के साथ परेशान न करें, और किसी ने भी टीटीएल को कोचिंग से रद्द नहीं किया। यह बहुत सारे पैसे खर्च करता है और कहा जाता है, जैसा कि पहले ही ऊपर बताया गया है, इलास्टिक आईपी

आदिम प्रक्रिया स्वचालन

अंत में, मैं एडब्ल्यूएस की एक और महान विशेषता का उल्लेख करना चाहता हूं: ईसी 2 - तैनाती की त्वरित कॉन्फ़िगरेशन। AWS में कई त्वरित परिनियोजन विकल्प हैं: EC2, विशेष (और बल्कि जटिल, लेकिन बहुत शक्तिशाली) सेवाओं तक, लेकिन सबसे सरल एक है: तल पर एक नया उदाहरण बनाने के लिए विज़ार्ड में चरण 3 पर "उपयोगकर्ता डेटा" फ़ील्ड है। आप इसमें स्क्रिप्ट या यहां तक कि PowerShell (विंडोज के लिए एक उदाहरण के मामले में) में एक स्क्रिप्ट रख सकते हैं, और इस स्क्रिप्ट को उदाहरण बनाने के तुरंत बाद स्वचालित रूप से निष्पादित किया जाएगा।
यानी आप उपरोक्त सभी आदेशों को थोड़ा संशोधित कर सकते हैं और अपनी स्वयं की बैश स्क्रिप्ट बनाने के लिए कॉन्फ़िगर कर सकते हैं और इस तरह के वर्चुअल एडब्ल्यूएस: 2018 राउटर को जल्दी से उठाने के लिए इसका उपयोग कर सकते हैं। इस सुविधा के बारे में और जानें ।

इस लेख को पढ़ने के लिए समय निकालने के लिए धन्यवाद।

मैंने पीछे देखा कि वह AWS के माध्यम से - 2 या अपने खुद के डेटा सेंटर में वापस आएगी