Volle tonnel het jou SSH-sessie doodgemaak: pen die terugroete vas

Begin ’n OpenVPN-kliënt op die masjien waarop jy oor SSH werk, en midde-in die opdrag vries die sessie. Die tonnel sê dit is gekonnekteer, die gasheer bereik die internet daardeur, en jou eie toetsaanslae kom steeds aan terwyl niks terugkom. Wat verander het, is nie die tonnel nie: dit is die terugpad vir pakkette wat aan jou geadresseer is, wat nou by die nuwe verstekroete pas en in ’n tonnel ingaan wat die afgeleë poort nie sal gebruik om jou lessenaar te bereik nie.

Wat redirect-gateway werklik installeer

In sy def1 vorm, redirect-gateway voeg 0.0.0.0/1 en 128.0.0.0/1 by in plaas daarvan om die verstekroete te oorskryf. Daardie twee helftes dek die hele adresruimte terwyl albei langer voorvoegsels bly as 0.0.0.0/0, so enige bestemming sonder ’n meer spesifieke passing gaan nou in die tonnel in. Dit is die meganisme om vas te hou, want elke regstelling hieronder werk deur ’n meer spesifieke passing te installeer.

Jou administratiewe adres is een van daardie bestemmings.

Die VPN-bediener stuur verkeer vir sy kliënte na die internet. Dit het geen roete vir die openbare adres waarvandaan jy konnekteer nie, en geen rede om daardie pakkette anders te behandel as verkeer wat van ’n kliënt af kom nie, so dit laat val hulle. Intussen het die versoek wat jy gestuur het steeds die gasheer bereik, en daarom lyk die sessie net aan een kant lewendig.

ip route show table main | head -n 20
ip route get 198.51.100.23

Vind jou bronadres en die pad voor die tonnel

Op die bediener, lys die bestaande SSH-verbinding en let op die eweknie-adres waar dit vandaan kom. Daardie adres is wat jou terugroete moet dek, en dit is nie altyd wat jy dink dit is nie: ’n spronggasheer, ’n NAT-poort of ’n draergebaseerde vertaler kan ’n ander bron vervang.

Vind dan die fisiese poort en koppelvlak wat verkeer gedra het voordat die tonnel begin het. In die def1 reëling is die verstekroete steeds teenwoordig onder die half-verstekke, so die inligting is beskikbaar, al nooi die lees van ’n lang roetetabel met die oog foute uit.

Teken beide waardes en die koppelvlaknaam saam op, want die roete wat jy op die punt staan om by te voeg het al drie nodig. As die gasheer ’n beleidsroetering-reël gebruik het om sy opvoer te kies, word ’n gewone roete dalk glad nie geraadpleeg nie, en daardie moontlikheid verander die regstelling.

Pen ’n gasheersroete vas wat die half-verstekke oortref

’n /32 roete is langer as enige van die twee half-verstekke, so antwoorde aan jou adres neem dit bo die tonnel. Die volgende sprong is die poort voor die tonnel en die toestel is die fisiese koppelvlak, wat die pakket op die pad hou wat dit voor die tonnel gebruik het.

ip route add 198.51.100.23/32 via 203.0.113.1 dev eth0

Verifieer met ’n naslaan eerder as deur die tabel te ondersoek: die antwoord moet eth0 en die poort noem, nooit tun0.

OpenVPN voeg reeds ’n gasheersroete na die VPN-bediener se eie adres om dieselfde rede by, so die patroon is bekend en die administratiewe adres is bloot nog ’n uitsondering. Moenie na route-nopull gryp om dit reg te maak nie, want dit gooi die gestuurde roetes weg wat die tonnel nodig het, insluitend die afgeleë netwerk en DNS-opsies.

Maak dat dit ’n herverbinding oorleef

’n Roete wat met die hand bygevoeg is, verdwyn wanneer die kliënt weer konnekteer en sy eie herinstalleer, wat ’n regstelling in ’n herhalende onderbreking verander. Heg die opdrag aan iets wat loop nadat roetes geïnstalleer is.

Sowel ’n route-up-skrip as die netwerkbestuurder se pre-up-haak werk, en die betroubare kontrole is ’n herverbinding gevolg deur dieselfde naslaan.

Op Windows is die ekwivalent ’n blywende roete wat bygevoeg word met -p, wat herlaai oorleef maar steeds na die korrekte poort moet wys ná ’n netwerkverandering. Maak nie saak watter platform nie, skryf die rede langs die roete: die volgende administrateur moet weet dit bestaan om ’n bestuursessie te beskerm, nie omdat die netwerkontwerp dit vereis het nie.

Wanneer ’n vasgepen roete steeds nie genoeg is nie

Terugpadfiltrering kan ’n pakket laat val wat op een koppelvlak aankom en deur ’n ander vertrek, wat presies is wat ’n vasgepen roete skep. Kontroleer die effektiewe rp_filter-waarde voordat jy enigiets globaal deaktiveer, en verkies om die asimmetrie reg te maak eerder as om die kontrole af te skakel. Dit is die instelling per koppelvlak wat geld, en los modus log dikwels net die asimmetrie eerder as om die pakket te laat val. Lees albei voordat jy aflei dat die filter jou skuld is.

Gashere met beleidsroetering het ’n reël sowel as ’n roete nodig, want die reëlbank kies die tabel voordat die roete daarin geraadpleeg word. ’n Roete in die main-tabel is onsigbaar vir ’n vloei wat pas by ’n reël wat na ’n ander tabel wys. Lees die reëls voordat jy enigiets by main voeg. As ’n reël reeds bestuursverkeer dek, hoort die uitsondering eerder in daardie reël se tabel.

Hou ’n buiteband-konsole oop terwyl jy toets, en herkontroleer van ’n tweede aanmelding voordat jy die een wat jy gebruik ontkoppel. ’n Roete wat jou eie bestuursverkeer in die tonnel instuur, sny die verbinding waardeur jy dit herstel. Om dan weer in te kom beteken ’n serie-konsole of ’n reddingsopstarting, wat ’n swak ruil is vir die oorslaan van een verifikasiestap.