Groen ikoon, dieselfde openbare IP: watter roete die VPN oorgeslaan het

Gekoppel, groen taakbalkikoon, en 'n adres-weerkaatsingsblad wat steeds die verskaffer se adres wys, beteken nie outomaties dat daar 'n fout is nie. 'n Kliënt doen twee aparte take: dit bou 'n tonnel, en dit verander die roeteringstabel. Enigeen kan sonder die ander gebeur, en selektiewe roetering is die konfigurasie waar die tweede doelbewus oorgeslaan word.

Wat die kliënt werklik geïnstalleer het

Vra watter koppelvlak 'n pakket na 'n werklike bestemming sou dra eerder as om te vra of die tonnel op is. 'n Tonnel sonder 'n roete na daardie bestemming is 'n privaat pad wat niemand gebruik nie.

ip route get 9.9.9.9
Find-NetRoute -RemoteIPAddress 9.9.9.9
route print -4

Die eerste opdrag antwoord op Linux en macOS, en die ander twee is die Windows-ekwivalente waar een genoeg is. As die antwoord die fisiese adapter noem, is die tonnel op en het die verstekroete nooit beweeg nie. Herhaal die opsoek vir 'n bestemming wat die tonnel behoort te gebruik, want twee opsoeke, een afgeleë en een gewone, vertel jou watter ontwerp ontplooi is.

Drie vorms van selektiewe roetering

'n Voltonnelprofiel skryf tipies 'n verstekroete wat na die koppelvlak wys, of skryf die paar halfreeks-voorvoegsels wat op voorvoegsellengte wen terwyl die oorspronklike verstek in die tabel bly. Selektiewe roetering is die ander keuse, en dit kom in verskeie vorms voor. Een profiel roeteer 'n enkele gasheer soos 'n RDP-bediener, 'n ander roeteer 'n openbare reeks wat vanaf 'n bepaalde ligging bereik moet word, en 'n derde sluit een toepassing doelbewus uit. Al drie is wettig, en nie een van hulle verander die adres wat 'n algemene webwerf sien nie.

grep -nE "redirect-gateway|route-nopull|route " /etc/openvpn/client/*.conf
ip route show table main | head -20

Lees die profiel vir die opdrag wat besluit, en lees dan die tabel vir wat dit opgelewer het. 'n Gepusde opdrag kan ook op die kliënt onderdruk word, en daarom moet die profiel en die tabel ooreenstem voordat jy die bediener blameer.

Die ander kant moet die bronadres herskryf

Daar is 'n tweede faling wat van die blaaier af identies lyk. Die roete wys in die tonnel in, die bediener ontvang die pakkette en stuur dit dan aan met die kliënt se private adres ongeskonde. Die volgende hop het geen terugpad vir daardie adres nie, so antwoorde verdwyn en bladsye hang. Die bediener moet hoegenaamd stuur, en dit moet die bron vertaal in iets wat die internet kan terugroeteer.

sysctl net.ipv4.ip_forward
iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
iptables -t nat -S | grep MASQUERADE

Noem die koppelvlak wat werklik na die internet kyk, wat nie altyd eth0 in 'n moderne verspreiding is nie. 'n Gehoste bediener met 'n vaste adres kan eksplisiet na daardie adres vertaal in plaas van om masquerade te gebruik. Beide helftes maak saak, want stuur sonder vertaling lek onroeteerbare bronne terwyl vertaling sonder stuur nooit die pakket sien nie.

Naamresolusie volg sy eie pad

Verkeer kan deur die tonnel uitgaan terwyl die opsoek wat die naam gevind het na 'n oplosser op die plaaslike netwerk gegaan het. Die sigbare adres bly dieselfde, die vrae nie, en daardie gaping is presies wat 'n split-DNS-ontwerp kies.

resolvectl status | head -20
resolvectl query example.org

Let op watter bediener geantwoord het en of dit van die voor-tonnel-basislyn verskil. Op 'n split-tonnel is dit gewoonlik die instelling wat mense wou verander toe hulle oor die adres gekla het, en dit is die een waarna hulle nooit gekyk het nie.

Vier waarnemings wat dit beslis

Neem die uitgangadres vas met die tonnel af, en dan met dit op. Voer die bestemmingopsoek in albei toestande uit en let op die koppelvlak elke keer.

curl -sS https://ifconfig.me/ip
ip route get 9.9.9.9

Wanneer die opsoek binne die tonnel beland en die weerkaatsing steeds die verskaffer se adres wys, ontbreek vertaling by die uitgang. Wanneer die opsoek op die fisiese adapter beland, is die profiel selektief en was die openbare adres nooit in die prentjie nie. Vervang 'n weerkaatsingsdiens wat jy vertrou en teken die vier waarnemings saam aan, want afsonderlik is hulle staaltjies. Saam wys hulle watter van die twee take die kliënt werklik uitgevoer het.