पिछले लेख में, हमने देखा कि एक ही होस्ट से सभी इंटरनेट ट्रैफ़िक को कैसे अज्ञात किया जाए। अब पूरे स्थानीय क्षेत्र नेटवर्क को वीपीएन के साथ जोड़कर सुरक्षा के स्तर को बढ़ाएं। उसी समय, हम उस डिवाइस से इंटरनेट एक्सेस करने के खतरे से छुटकारा पा लेंगे जो अभी तक कॉन्फ़िगर नहीं किया गया है और इस डिवाइस के साथ हमारे प्रदाता के पते को संबद्ध करता है।

इस प्रयोजन के लिए, आप बस गेटवे पर वीपीएन क्लाइंट को कॉन्फ़िगर कर सकते हैं, अगर राउटर इसे अनुमति देता है। लेकिन ऐसा समाधान इंटरनेट की गति में कमी, राउटर पर बढ़ते भार के रूप में परिणामों से भरा होता है, इसके अलावा, कुछ क्लाइंट वीपीएन से डिस्कनेक्ट होने पर तुरंत मुख्य कनेक्शन के माध्यम से सभी ट्रैफ़िक भेजते हैं। यह भी मत भूलना कि प्रमुख वीपीएन प्रदाता अपने सर्वर के लिए 100% अपटाइम प्रदान नहीं कर सकते हैं।

तो हमारे लक्ष्य क्या हैं:

• वीपीएन के माध्यम से सभी आउटगोइंग ट्रैफ़िक पास करें
• जितनी जल्दी हो सके करो
• वीपीएन प्रदाता की अस्थायी समस्याओं पर निर्भर नहीं
• इंटरनेट पर अधिकतम गुमनामी

ट्रेनिंग

हमें एक शक्तिशाली राउटर की आवश्यकता है जो उच्च गति पर ट्रैफ़िक को एन्क्रिप्ट कर सके। वह वीपीएन गेटवे के रूप में कार्य करेगा। हमें AliExpress पर अद्भुत मिनी-पीसी मिले जो इस कार्य के साथ आए: क्वाड-कोर इंटेल सेलेरॉन, एईएस-सीबीसी, एईएस-एक्सटीएस, एईएस-जीसीएम, एईएस-आईसीएम और चार आरजे -45 बंदरगाहों के लिए मूल समर्थन। और डिफ़ॉल्ट रूप से, उन पर pfSense स्थापित किया गया था। हम उसके साथ काम करेंगे।

यदि आपके ISP को एक विशेष कनेक्शन सेटअप की आवश्यकता है, तो आप दो और राउटर ले सकते हैं और इंटरनेट और स्थानीय नेटवर्क तक पहुंच साझा कर सकते हैं, और उनके बीच एक वीपीएन गेटवे डाल सकते हैं। एक अन्य मामले में, आप सीधे प्रदाता के तार को वीपीएन गेटवे से जोड़ सकते हैं, और इसके पीछे अपने होम राउटर को स्थानीय नेटवर्क के साथ रख सकते हैं। PfSense पर इंटरनेट कनेक्शन का प्रारंभिक सेटअप इस लेख के दायरे से परे है।

समायोजन

लेख मानता है कि इंटरनेट पहले पोर्ट, आपके पीसी या होम नेटवर्क से दूसरे से जुड़ा है, और वीपीएन को कॉन्फ़िगर करने से पहले, आप इंटरनेट का उपयोग करने में सक्षम थे।

आगे की समस्याओं से बचने के लिए, आइए अपने पसंदीदा वीपीएन प्रदाता में लॉग इन करें और pfSense की स्थापना के लिए निर्देश प्राप्त करें। यदि आपका प्रदाता pfSense में मैन्युअल कॉन्फ़िगरेशन के लिए निर्देश प्रदान नहीं करता है, तो आप मेरे पसंदीदा प्रदाता से इस का उपयोग कर सकते हैं: www.expressvpn.com/support/vpn-setup/pfsense-with-expressvpn-openvitn - मुख्य बिंदु नहीं बदलेगा। चित्रों के साथ उपरोक्त लेख में बताया गया है कि pfSense के साथ नए खरीदे गए राउटर को पूरी तरह से कैसे कॉन्फ़िगर किया जाए।

यहां एक नया वीपीएन स्थापित करने के लिए एक छोटी सूची दी गई है:

• प्रणाली - प्रमाणपत्र। मैनेजर - सीए। VPN CA प्रमाणपत्र जोड़ें
• प्रणाली - प्रमाणपत्र। प्रबंधक - प्रमाण पत्र। एक वीपीएन सर्वर प्रमाणपत्र जोड़ें
• वीपीएन - ओपनवीपीएन - ग्राहक। हम वीपीएन प्रदाता के निर्देशों के अनुसार एक नया क्लाइंट बनाते हैं
• इंटरफेस - असाइनमेंट। ग्राहक को इंटरफेस के रूप में जोड़ना
• प्रणाली - रूटिंग। जांचें कि गेटवे दिखाई दिया है।
• फ़ायरवॉल - NAT। प्रत्येक क्लाइंट के लिए NAT नियम जोड़ें
• फ़ायरवॉल - नियम - LAN। गेटवे के माध्यम से नेटवर्क से सभी ट्रैफ़िक का पुनर्निर्देशन जोड़ें
• प्रणाली - रूटिंग। एक सक्रिय वीपीएन-ए के लिए, गेटवे की सेटिंग्स में मॉनिटर आईपी निर्दिष्ट करें, जिसे पिंग करके वीपीएन-वसीयत की जाँच की जाए

वीपीएन को स्टेटस में रिबूट किया जाता है - ओपनवीपीएन। लॉग इन स्टेटस देखें - पैकेज लॉग्स - ओपनवीपीएन।

इस स्तर पर, हम रोकते हैं और जांचते हैं कि वीपीएन के माध्यम से इंटरनेट तक पहुंच है, और जब वीपीएन से डिस्कनेक्ट हो जाता है, तो एक्सेस पूरी तरह से गायब हो जाता है। यदि कोई इंटरनेट नहीं है, तो हमने कहीं गलती की है, हम वीपीएन लॉग को देखते हैं, हम फिर से सेटिंग्स की जांच करते हैं। अगर वीपीएन ट्रैफिक डिस्कनेक्ट करने के बाद मुख्य गेटवे से गुजरना शुरू करता है, तो उन्होंने फ़ायरवॉल - रूल्स - लैन में गड़बड़ कर दी।

अब दिलचस्प भाग के लिए। यदि आपका प्रदाता प्रति सेकंड 20 Mbit जारी करता है, और फिर रात में - तब इस स्तर पर आपको पहले से ही वीपीएन-ओम द्वारा पूरी तरह से बंद एक स्थानीय नेटवर्क प्राप्त हुआ है, जो उच्चतम संभव गति से काम करता है। लेकिन क्या होगा अगर आपका चैनल व्यापक है?

स्केलिंग

हमने ऊपर दिए निर्देशों के अनुसार अलग-अलग सर्वरों के लिए कुछ और वीपीएन क्लाइंट स्थापित किए हैं। आपको CA और सर्वर प्रमाणपत्र जोड़ने की आवश्यकता नहीं है, हम पहले से ही जोड़े गए चयन करते हैं। इसके अलावा, हम फ़ायरवॉल - नियम - लैन के साथ कदम का प्रदर्शन नहीं करते हैं, हम इसे बाद में करेंगे। प्रत्येक अलग सर्वर के माध्यम से गति माप के परिणामों द्वारा आवश्यक संख्या में ग्राहकों की स्थापना की जाती है।

एक बार पूरा होने के बाद, हमारे पास निम्न चित्र होना चाहिए:

- वीपीएन में - ओपनवीपीएन - ग्राहकों को बनाया और सक्रिय ग्राहक



- इंटरफेस - प्रत्येक ग्राहक के लिए बनाया और सक्रिय इंटरफेस असाइनमेंट



- स्थिति में - OpenVPN, सभी क्लाइंट "अप" स्थिति में हैं



- गेटवे सिस्टम में दिखाई दिया - रूटिंग, और पिंग आईपी पते उनके लिए संकेत दिए गए हैं।
(यदि आप यह पता नहीं लगा सकते हैं कि पिंग कौन है, तो shodan.io खोलें और सभी Google IP खोजें)



अब सिस्टम - रूटिंग - गेटवे ग्रुप्स पर चलते हैं। जोड़ें पर क्लिक करें। समूह नाम में एक यादगार नाम दर्ज करें।



अब गेटवे प्राथमिकता तालिका पर ध्यान दें। गेटवे समूह निम्नानुसार काम करते हैं: स्तर से विफलता, एक स्तर के भीतर संतुलन। टीयर कॉलम इंगित करता है कि इस गेटवे का उपयोग किस स्तर पर किया जाएगा। सबसे आसान विकल्प पहले स्तर में सभी सक्रिय वीपीएन गेटवे निर्दिष्ट करना है। धीमे इंटरनेट के लिए एक विकल्प दो क्लाइंट बनाना और उन्हें पहले और दूसरे स्तर पर रखना है, लेकिन इस मामले में केवल गलती सहिष्णुता होगी।

नीचे दिए गए ट्रिगर स्तर का पता लगाएं। यह वह स्थिति है जिसके तहत समूह से गेटवे का एक अस्थायी बहिष्करण होता है। सदस्य डाउन के अलावा अन्य विकल्प आपको गेटवे पर पैकेट भेजने से रोकने की अनुमति देते हैं, इससे पहले कि वह पूरी तरह से गिर जाए - पैकेट हानि सीमा और / या एक उच्च पिंग द्वारा। सिस्टम और रूटिंग - गेटवे में व्यक्तिगत रूप से प्रत्येक गेटवे के लिए नुकसान और पिंग थ्रेसहोल्ड सेट किए गए हैं।

एक बार जब आपने गेटवे को स्तरों में व्यवस्थित करने के लिए एक सुविधाजनक विकल्प चुना है, तो सहेजें पर क्लिक करें।

यह गेटवे के एक नए समूह के लिए यातायात को आगे बढ़ाने का समय है। हम फ़ायरवॉल - नियम - लैन पर जाते हैं, पहले बनाए गए पुनर्निर्देशन नियम खोलें, गेटवे के साथ सूची में नीचे जाएं और इस सूची में हमने जो समूह बनाया है, उसे देखें। हम इसे चुनते हैं, नियम को बचाते हैं और परिवर्तनों को लागू करते हैं। यही है, अब हर नया कनेक्शन समूह में एक नए वीपीएन क्लाइंट के माध्यम से जाएगा।

परीक्षण का समय: api.ipify.me खोलें, कैश अक्षम करें और जीवित रखें, और पृष्ठ को फिर से लोड करें। यदि आप नेटवर्क पर एकमात्र उपयोगकर्ता हैं, तो प्रत्येक पृष्ठ अपडेट के लिए आपको एक नया आईपी पता देखना चाहिए जो आपके घर से अलग हो। यदि आपको एक ही पता दिखाई देता है, तो पृष्ठ को Ctrl + F5 (पॉपपीज़ पर कमांड + शिफ्ट + आर) के साथ पूरी तरह से ताज़ा करें, या एक नया निजी टैब खोलें। यदि यह मदद नहीं करता है, तो इसका मतलब है कि कहीं न कहीं उन्होंने समूह सेटिंग्स में गलती की है, या फ़ायरवॉल नियमों में गेटवे को नहीं बदला है।

अब बुरे के बारे में। दुर्भाग्य से, इस समाधान में एक छोटा मायावी बग है यदि आप इसे स्थानीय नेटवर्क के राउटर के सामने उपयोग करते हैं (और स्विच नहीं)। जल्द या बाद में, वीपीएन क्लाइंट्स में से एक गिर जाता है, उसे समूह से बाहर निकाल देता है, और जब तक वीपीएन वापस नहीं आता तब तक सब कुछ ठीक है। चूंकि सभी उपयोगकर्ता NAT के पीछे हैं, और वीपीएन राउटर केवल एक आईपी एड्रेस और 65 हजार पोर्ट देखता है, समय के साथ यह उन सभी वीपीएन क्लाइंट के साथ सभी पोर्ट को जोड़ देता है जो कभी नहीं गिरते थे। तदनुसार, जैसे ही वीपीएन क्लाइंट बढ़ता है, कोई ट्रैफ़िक इसके माध्यम से नहीं जाता है। क्लाइंट पूरी तरह से जीवित है, पिंग्स और सर्विस ट्रैफ़िक की कुछ स्थिर मात्रा इसके माध्यम से जाती है, लेकिन क्लाइंट ट्रैफ़िक इसके माध्यम से नहीं जाता है। सिद्धांत रूप में, यह कनेक्शन तालिका को रीसेट करके हल किया जाएगा, और इसके लिए pfSense सेटिंग्स में एक चेकमार्क भी है, लेकिन मेरे शोध में इस चेकमार्क ने राउटर तक सभी पहुंच को पूरी तरह से अवरुद्ध कर दिया है, क्योंकि ग्राहक वेब से नए स्थापित कनेक्शनों को गिराते हुए, चक्रों में गिरना शुरू कर देते हैं। इंटरफ़ेस, जिसने समस्या को ठीक करना बहुत मुश्किल बना दिया। इस चेकमार्क के बिना, यदि दो से अधिक वीपीएन हैं, तो उन्होंने खुद को संतुलित किया, ताकि कम से कम एक के माध्यम से पहुंच हमेशा बनी रहे। अंत में, मैंने मॉनिटरिंग कंडीशन को कॉन्फ़िगर किया "यदि इंटरफ़ेस पर पांच मिनट प्रति सेकंड 1000 बाइट ट्रैफिक था, तो मुझे बताएं", और विशेष रूप से उन्नत मामलों में मैं कनेक्शन टेबल को रीसेट करने के लिए ज़ोंबी वीपीएन क्लाइंट को मैन्युअल रूप से पुनरारंभ करता हूं।

तो, हमें एक नेटवर्क मिला जो पूरी तरह से कई वितरित वीपीएन के माध्यम से पारित किया गया है। कई अलग-अलग वीपीएन सर्वरों के संयोजन के कारण, हम व्यक्तिगत रूप से उनमें से प्रत्येक की उपलब्धता पर निर्भर नहीं हैं, और नेटवर्क की गति केवल आपके चैनल माइनस एन्क्रिप्शन द्वारा सीमित है। यदि अचानक एक राउटर आपके लिए पर्याप्त नहीं है - उन्हें स्केल भी किया जा सकता है, लेकिन यह एक अलग लेख के लिए एक विषय है।