सार: लिनक्स नेटवर्क नेमस्पेस का उपयोग करके नेटवर्क-स्तरीय अनुप्रयोग अलगाव। SSH सुरंगों का संगठन।

परंपरागत रूप से, अधिकांश लेख सिद्धांत और उबाऊ लिपियों के लिए समर्पित होंगे - लेख के अंत में। भाप का उपयोग प्रयोगों के विषय के रूप में किया जाएगा, हालांकि लेखन वेब ब्राउज़रों सहित किसी भी एप्लिकेशन पर लागू होता है।

प्रवेश के बदले। मैं सिर्फ इस तस्वीर को दिखाऊंगा:

147% ... कुछ ऐसा जो मुझे याद दिलाता है। हालांकि, हबर राजनीति के लिए नहीं हैं।

स्टीम में खेलों की कीमत क्षेत्र पर निर्भर करती है। क्षेत्र - आईपी की शहनिक से। यूरो में नहीं, रूबल में कीमतें होने की इच्छा है।

ऐसा करने के लिए, हम एसएसएच के माध्यम से ट्यून डिवाइस, प्लस नेटवर्क नेमस्पेस का उपयोग करके अन्य सभी नेटवर्क डिवाइस से एप्लिकेशन को अलग करने के लिए उपयोग करते हैं।

नेटवर्क नामस्थान

परंपरागत रूप से, उपयोगकर्ता अधिकारों के साथ भी शुरू होने वाले एप्लिकेशन की नेटवर्क तक पूरी पहुंच है। यह पैकेट भेजने के लिए सिस्टम में मौजूद किसी भी नेटवर्क पते का उपयोग कर सकता है।

इसके अलावा, अधिकांश डेस्कटॉप अनुप्रयोगों को इंटरफेस में कुछ भी समझ में नहीं आता है, क्योंकि वे मानते हैं कि सिस्टम में केवल एक नेटवर्क इंटरफ़ेस है और आपको यह निर्दिष्ट करने की अनुमति नहीं है कि किस इंटरफ़ेस का उपयोग करना है। सर्वर सॉफ़्टवेयर में आमतौर पर यह विकल्प होता है (जो प्रेषक के पते के रूप में उपयोग करने के लिए पता होता है), लेकिन डेस्कटॉप के लिए यह अस्वीकार्य लक्जरी है।

यदि हमारे पास कई इंटरफेस हैं (जिनमें से एक वीपीएन से संबंधित है), तो स्टीम को बताने के लिए कोई मानक तरीके नहीं हैं कि आपको इसका उपयोग करने की आवश्यकता है, न कि eth0 / wlan0। अधिक सटीक रूप से, हम एक वीपीएन में सभी ट्रैफ़िक को "लपेट" सकते हैं, लेकिन यह हमेशा वांछनीय नहीं है। कम से कम, विलंबता में वृद्धि और गति में कमी (भले ही वीपीएन एक सुपरफास्ट सर्वर की ओर जाता है, लेटेंसी में वृद्धि, सुरंग से ओवरहेड और स्थानीय चैनल की एक निश्चित चौड़ाई टीसीपी को उस स्थिति में डालती है जहां आपको गति में कटौती करनी होगी)। अधिकतम के रूप में, यह "रूसी वीपीएन के माध्यम से खरीदने" के लिए एक बात है, और एक और बात यह है कि सभी ट्रैफ़िक को वहां जाने दें। मैं एक वीपीएन के उपयोग से बिल्कुल भी आकर्षित नहीं हूं , ताकि विपक्ष और फ्रीन्किंग से रोजकोमनाजोर द्वारा संरक्षण प्राप्त किया जा सके ।

इन शर्तों के तहत, एक विशिष्ट एप्लिकेशन और किसी दिए गए नेटवर्क इंटरफ़ेस पर एक को छोड़ने की बहुत इच्छा है। एक। केवल इस आवेदन की जरूरतों के लिए कॉन्फ़िगर किया गया।

लिनक्स में इस समस्या को हल करने के लिए, कुछ समय के लिए (पहले से ही 2007 के बाद से), नेटवर्क नेमस्पेस नामक एक तकनीक है, जो नेटवर्क के लिए नामस्थान है। प्रौद्योगिकी का सार: एक तरह का "निर्देशिका" नेटवर्क इंटरफेस पर बनाया गया है, प्रत्येक निर्देशिका में कई नेटवर्क इंटरफेस और एप्लिकेशन हो सकते हैं। एक एप्लिकेशन जो किसी दिए गए नेटवर्क नामस्थान में खुद को पाता है (और देख सकता है) केवल उन नेटवर्क इंटरफेस का उपयोग करता है जिन्हें इस स्थान पर सौंपा गया है।

नीचे दी गई तस्वीर बताती है कि क्या हो रहा है:


कॉन्फ़िगरेशन की इतनी बहुतायत, निश्चित रूप से एक डेस्कटॉप नहीं है, लेकिन यह समझाने की अनुमति देगा कि इसके शुद्धतम रूप में क्या हो रहा है।

विभिन्न नामस्थान अलग-अलग रंगों में हाइलाइट किए गए हैं। निर्दिष्ट इंटरफेस केवल निर्दिष्ट नामस्थान से उपलब्ध हैं और कुछ नहीं। उदाहरण के लिए, लाल नेमस्पेस का उपयोग केवल टैप 1, वीथ 1 और लो, ब्लू से एथ 1, एथ 2, लो और वीथ0, ग्रीन टू टून और लो तक है। नाम स्थान के बाहर, eth0 बनी हुई है, देशी इंटरफ़ेस br1, tap0 और lo है।

ध्यान दें कि प्रत्येक नाम स्थान का अपना लो है! यदि लो पर नीले नामस्थान में यह mysql को सुनेगा, तो हरे (और नीले रंग के अलावा) किसी भी नामस्थान से इसे एक्सेस करना संभव नहीं होगा। शायद यह सबसे सुखद विशेषता है। दूसरी विशेषता यह है कि हम एक ही IP पते का उपयोग विभिन्न इंटरफेस पर अलग-अलग नामस्थानों पर कर सकते हैं, और हमारे लिए कुछ भी नहीं होगा। बेशक, प्रत्येक नामस्थान के लिए राउटिंग टेबल अलग है।

चौकस पाठक ने वर्चुअलाइजेशन की भावना को महसूस किया। हां, बिल्कुल। नेटवर्क नेमस्पेस (इस स्तर की अन्य तकनीकों के साथ) एलएक्ससी (लिनक्स में कंटेनर वर्चुअलाइजेशन) का एक महत्वपूर्ण हिस्सा हैं। लेकिन, ओपनवेज़ और इसी तरह की कई अन्य तकनीकों के विपरीत, एलएक्ससी घटक इतने सामान्य हैं कि उन्हें स्टैंड-अलोन टूल्स के रूप में उपयोग किया जा सकता है। और यह सही यूनिक्स-तरीका है: हर कोई केवल एक ही चीज़ करता है, लेकिन अच्छा; हालांकि शुद्धतावादी यह कह सकते हैं कि "कोर में सबकुछ खराब करना बुरा है।"

सबसे दिलचस्प तस्वीर प्राप्त की जाती है यदि आप एक ट्यून / टैप इंटरफ़ेस के साथ एप्लिकेशन को छोड़ते हैं जो वर्तमान नेटवर्क के बाहर की ओर जाता है (ऊपर की तस्वीर में, एक अकेला नाम के साथ एक ग्रीन नेमस्पेस है)। यदि कंप्यूटर के बाहर ट्यून भूमि कहीं है (उदाहरण के लिए, वीपीएन सर्वर पर), तो एप्लिकेशन को यह समझने का कोई तरीका नहीं होगा कि कंप्यूटर वास्तव में नेटवर्क सेटिंग्स क्या है। यदि उदाहरण के लिए, एक वीपीएन, साइप्रस से रूस की ओर जाता है, तो ग्रीन नेमस्पेस में चल रहे किसी भी आवेदन को रूस से एक पता प्राप्त होगा और नेटवर्क पर जाएगा जैसे कि यह रूस में है। वास्तव में, स्टीम के लिए यह आवश्यक है कि हम यह विश्वास करें कि हमारे पास रूसी आईपी है और आधे दामों पर गेम बेचने के लिए सहमत हैं।

देश की परिभाषा के साथ, स्टीम थोड़ा अजीब है। वीपीएन के बिना, स्टीम मुझे कभी-कभी यूरो में, कभी-कभी रूबल में कीमतों को दिखाता है, और मैं पैटर्न को समझ नहीं पाया। रूसी वीपीएन ने सभी सवालों को हटा दिया - कीमतें हमेशा रूबल में होती हैं ।

नेटवर्क नेमस्पेस (लेख के अंत के पास व्यावहारिक सुझाव) के साथ काम करने पर एक संक्षिप्त टिप:
ip netns - नेटवर्क नेमस्पेस की सूची (सभी ip netns कमांड में आप ip net को छोटा कर सकते हैं)
ip netns add/delete foo - foo नाम से नेटवर्क नेमस्पेस बनाते / हटाते हैं
ip netns exec foo /usr/bin/bin - प्रोग्राम को निर्दिष्ट नेटवर्क नेमस्पेस में चलाएं (ध्यान दें कि आप पहले से चल रहे एप्लिकेशनों को नहीं खींच सकते)
ip link set eth99 netns foo - दिए गए स्थान में इंटरफ़ेस ip link set eth99 netns foo

और कुछ तरकीबें:

ip netns exec foo ip link - फू अंतरिक्ष के अंदर इंटरफेस की सूची
ip netns exec foo tcpdump -ni eth99 - tcpdump ip netns exec foo tcpdump -ni eth99 करते हैं। ध्यान दें, निष्पादन के विशिष्ट कार्य के कारण, स्क्रीन पर आउटपुट Ctrl-C दबाने के बाद ही दिखाई देगा। यदि गुस्सा आ रहा है - नीचे देखें।
sudo ip netns exec foo login -f username रन किया - नेमस्पेस के अंदर लॉगिन रन करें। लॉग-इन उपयोगकर्ता पहले से ही दिए गए नेमस्पेस में पूरी तरह से कॉन्फ़िगर टर्मिनल / ग्रुप लीडर सेटिंग्स, आदि के साथ काम करेगा।

एसएसएच के माध्यम से वीपीएन संगठन

मुझे ओपनवैन, ओप्सवन और अतिरेक के लिए अन्य एप्लिकेशन पसंद नहीं हैं। मैं कुछ स्थितियों में उनकी आवश्यकता को पहचानता हूं, लेकिन जब मैं कर सकता हूं, तो मैं एसएसएच का उपयोग करने की कोशिश करता हूं। इसके कई कारण हैं:
1) SSH किसी भी सर्वर पर बॉक्स से बाहर है।
2) एसएसएच टीसीपी का उपयोग करता है, जीआरई / यूडीपी का नहीं, और अगर आपको किसी बेकार जगह से बेकार वाईफाई से कनेक्ट करना है, तो बंदरगाहों 22 और 443 पर ss हमारा है। यदि 22 वां पोर्ट अभी भी बंद हो सकता है, तो 443 - निश्चित रूप से नहीं, क्योंकि HTTPS इसका उपयोग करता है (और यदि इसे अवरुद्ध किया जाता है, तो Google / फेसबुक, इत्यादि के रास्ते में आक्रोश पैदा करने वाले हैमस्टर्स सब कुछ उड़ा देंगे।)
3) पहुंच के भीतर किसी भी मशीन पर एक एसएसएच क्लाइंट है, अर्थात, मैं किसी भी यूनिक्स मशीन से जिस सुरंग की आवश्यकता है, उसे उठा सकता हूं। 3-5 चरणों में - खिड़कियों के साथ।
4) टनलिंग सेटिंग्स की डिग्री को समायोजित करना आसान है। अगर मुझे केवल मोजे-प्रॉक्सी की जरूरत है, तो मैं एल 2 सुरंगों का आविष्कार नहीं करूंगा।
5) अतिरिक्त shamanism के बिना, आपके पास कई समानांतर कनेक्शन हो सकते हैं, और किसी भी संयोजन में - अलग-अलग क्लाइंट से एक सर्वर से, एक क्लाइंट से अलग-अलग सर्वर से, आदि। जो लोग अपने सिर पर पूरी तरह से पागल हो रहे हैं, वे आमतौर पर महाद्वीपों और नेटवर्कों को एक सिंगल L2 सेगमेंट में जोड़ सकते हैं, जो कि दुनिया के पांचवें बिंदु पर कहीं भी बंद बंदरगाहों के साथ कट्टर नट के पीछे कहीं न कहीं 3 जी पर बैठे हैं। और यह यहां तक ​​कि काम करेगा (दुनिया के पांचवें बिंदु पर 3 जी एल 3 के माध्यम से उड़ान भरने वाले ब्रॉडकास्ट / मल्टीकास्ट को पचाने में सक्षम होगा)।

हालांकि मुख्य कारण और भी सरल है: SSH एक पूर्णकालिक टूलकिट है, और यह आपकी जरूरत का हर काम कर सकता है। और क्यों?

तो, SSH सुरंगों का सिद्धांत

टीयूएन इंटरफेस

TUN इंटरफ़ेस बहुत सरल है: यह सिस्टम में एक वर्चुअल नेटवर्क इंटरफ़ेस (tun0, tun1, आदि) बनाता है, जो कि इसके अन्य "एंड" के साथ, इसे बनाने वाले प्रोग्राम के लिए fd (फाइल डिस्क्रिप्टर) में दिखता है। कार्यक्रम तय करता है कि fd से ट्रैफिक का क्या करना है। और सिस्टम में एप्लिकेशन खुद तय करते हैं कि नेटवर्क इंटरफेस का क्या करना है।

SSH के मामले में, हम SSH क्लाइंट को इसके भाग के लिए एक ट्यून इंटरफ़ेस, इसके भाग के लिए SSH सर्वर बनाने और उन्हें कनेक्ट करने के लिए कहते हैं। यह पता चलता है कि एक तरफ (क्लाइंट से) ट्रैफिक अंदर आया, दूसरी तरफ (सर्वर से) बाहर आया। और इसके विपरीत। सुरंग क्या नहीं है? वीपीएन क्यों नहीं? यह देखते हुए कि SSH भी ट्रैफ़िक को एन्क्रिप्ट करना जानता है, हमें एक तैयार वीपीएन मिलता है। एसएसएच के अंदर, इसे चैनल कहा जाता है, और यह उन्हें मल्टीप्लेक्स करता है, लेकिन हम वास्तव में परवाह नहीं करते हैं।

यहाँ क्या हो रहा है की एक सरल ड्राइंग है:


ध्यान दें कि हमें SSH सर्वर से सहयोग की आवश्यकता है। हम नीचे अनुभाग में सर्वर पर सुरंग बनाने की अनुमति पर चर्चा करेंगे। इसमें NAT सेटिंग्स, एड्रेसिंग और अन्य चीजों का विवरण भी होगा, ताकि फ्रीडम एरो काम करे।

मार्जिन पर ध्यान दें: ट्यून इंटरफेस के अलावा, टैप इंटरफेस भी हैं। वे आपको L2 खंडों को संयोजित करने की अनुमति देते हैं। यह नरक, हॉरर, सोडॉमी और बेकार है, लेकिन अगर कोई वास्तव में चाहता है, तो वह एक एसएसएच कनेक्शन का उपयोग करके घर-घर में काम करने वाली मशीन से विभिन्न नेटवर्क केंद्रों के कुछ नेटवर्क को संयोजित करने का प्रयास कर सकता है। यह भी काम करेगा (मैं परिणामों के लिए व्रत नहीं कर सकता)

व्यावहारिक क्रियाएं

तैयारी:

1. सर्वर पर रूट करने के लिए SSH कुंजी को कॉपी करें (यदि कोई कुंजी नहीं है, तो उत्पन्न करें: sudo ssh-keygen )। मैं आमतौर पर स्थानीय रूट की कुंजी बनाता हूं, ताकि मेरी कुंजी के साथ इसे भ्रमित न करें। कुंजी को sudo ssh-copy-id root@server कमांड sudo ssh-copy-id root@server ।
2. सत्यापित करें कि दूरस्थ सर्वर पर SSH को सुरंगों का उपयोग करने की अनुमति है। /etc/ssh/sshd_config PermitTunnel चर को PermitTunnel जाना चाहिए और yes सेट किया जाना चाहिए।
3. एक मनमाना संख्या चुनें ($ $ प्रतिध्वनि)। यह हमारी सुरंग संख्या होगी। इसे याद रखें (या उदाहरण के लिए एक और पसंदीदा नंबर लें, 42)।
4. एक दूरस्थ सर्वर सेट करें। मैं डेबियन / ubuntu, अन्य वितरण / OS के लिए एक प्रक्रिया के लिए लिख रहा हूं - उनके लिए एक नेटवर्क स्थापित करने पर प्रलेखन देखें। फ़ाइल / etc / नेटवर्किंग / इंटरफेस में, निम्नलिखित लाइनें बनाएँ:
   

    allow-hotplug tun42 auto tun42 iface tun42 inet static address 100.64.42.1 netmask 255.255.255.0 pre-up iptables -A POSTROUTING -t nat -s 100.64.42.0/24 -j MASQUERADE post-down iptables -D POSTROUTING -t nat -s 100.64.42.0/24 -j MASQUERADE 

   
   यह हमें हर बार कॉन्फ़िगर इंटरफेस को प्राप्त करने की अनुमति देगा, जब सर्वर पर ट्यूनी इंटरफेस दिखाई देता है। उसी समय, हम NAT को सुरंग से अपने पैकेटों को प्रसारित करने में सक्षम करते हैं, और जैसे ही इंटरफ़ेस गायब हो जाता है, इसे बंद कर देते हैं।
5. आइए सर्वर पर रूटिंग को सक्षम करें। /etc/sysctl.d/enable_routing.conf
   

    net.ipv4.conf.all.forwarding = 1 

हम लगभग हो चुके हैं। यह केवल भाप चलाने के लिए बनी हुई है। स्थानीय मशीन पर नीचे वर्णित सब कुछ।

1. ट्रे आइकन सहित भाप की सभी पिछली प्रतियां बंद कर दें
2. सर्वर से कनेक्ट करें: sudo ssh -w 42:42 root@server । -W विकल्प ट्यून को स्थानीय रूप से बनाने और इसे (बनाने के लिए) रिमोट ट्यू 42 के साथ जोड़ने के लिए कहता है।
3. सन्निकट कंसोल में:
   

    xhost + sudo ip net add steam sudo ip link set netns steam dev tun42 sudo ip net exec steam ip addr add 100.64.42.2/24 dev tun42 sudo ip net exec steam ip link set up dev tun42 sudo ip net exec steam ip route add default via 100.64.42.1 sudo ip net exec steam login -f $USER export DISPLAY=:0 steam 

   
   xhost + को xhost + आपके एक्स सर्वर से जुड़ने (सावधान रहने) की अनुमति देता xhost + । Paranoids अधिक सटीक नियम निर्दिष्ट करने के लिए आदमी xhost सीख सकते हैं।
   
   ip net add और ip net exec ip netns add और ip netns exec ip netns add लिए कम होते हैं - एक नेटवर्क नेमस्पेस बनाते हैं और एक नया उपयोगकर्ता सत्र शुरू करते हैं जिससे हम काम कर रहे हैं। export DISPLAY=:0 कहना है "पहले एक्स सर्वर का उपयोग करें। डिफ़ॉल्ट रूप से, लॉगिन करते समय यह चर रीसेट हो जाता है और इसके बिना, स्टीम एक्स-सर्वर से कनेक्ट नहीं हो पाएगा

दरअसल, बस इतना ही। बाहर निकलने पर, स्टीम और रूसी सेंसरशिप में हमारे रूसी मूल्य हैं। सौभाग्य से, यह केवल भाप की रक्षा करेगा, और अगली विंडो में ब्राउज़र बहुत तेज़ नहीं, बल्कि बहुत मुक्त साइप्रट इंटरनेट का उपयोग करेगा।

निम्नलिखित भागों में:

• X86_64 मशीन पर 32-बिट भाप कैसे चलाएं
• भाप को पूरी तरह से अलग कैसे करें ताकि यह काम करे, लेकिन यह कभी भी मूल या मुख्य उपयोगकर्ता से शुरू नहीं होता है। प्यार और नफरत के साथ pulsaduio, टपका, लापता पुस्तकालयों की पहचान करने के तरीके, स्टीम को डीबग करना