Begin jy ’n VPN-kliënt oor SSH? Pen eers jou eie roete vas

Jy SSH na ’n bougasheer, begin die VPN-kliënt daarop, en die sessie hou op antwoord. Niks het omgeval nie, en niks lyk op die oog af verkeerd opgestel nie. Die kliënt het ’n verstekroete geïnstalleer, so antwoorde aan jou werkstasie vertrek nou deur die tonnel, waar jou werkstasie se adres nie bereikbaar is nie. Die interessante deel is dat hierdie uitkoms voorspelbaar was, en die regstelling is een roete wat voor die kliënt se begin geskryf word. Aanvaar ’n bediener met een netwerkkaart, ’n deurgang van 192.0.2.254, en ’n administrateur wat van 203.0.113.9 af koppel.

Teken die pad op voordat jy begin

ip route show default noem die huidige deurgang en koppelvlak, terwyl ip route get 203.0.113.9 wys watter koppelvlak en bronadres die kern vir jou sessie sou gebruik. Hou albei uitvoere. Nadat die tonnel opkom, moet daardie twee opdragte steeds die fisiese pad beskryf, en as hulle eerder die tonnel beskryf, leef die sessie reeds op geleende tyd.

Dit is die bestaande verbinding wat saak maak, so moenie net met ’n nuwe aanmelding valideer nie. ’n Nuwe sessie kan kortstondig slaag deur toestand wat die ou een nie meer het nie.

Pen die adres in die kliënt se eie opstelling vas

’n Roete wat met die hand bygevoeg is, verdwyn by herbegin en jaag teen die kliënt se eie tabelopdaterings, so plaas die uitsondering waar die tabel bestuur word. Onder OpenVPN verwys die net_gateway-sleutelwoord na die deurgang wat voor die tonnel bestaan het, so route 203.0.113.9 255.255.255.255 net_gateway hou presies een adres daarbuite. WireGuard het ’n ander benadering nodig omdat wg-quick self roetes bestuur: stel Table = off en voeg die uitsondering in PostUp by, met ’n ooreenstemmende PostDown wat dit verwyder. Albei vorme druk dieselfde bedoeling uit, en albei beperk die uitsondering tot een adres eerder as om die tonnel vir alles te verswak.

Vir IPv6 neem dieselfde idee ’n enkelgasheer-voorvoegsel, en die ingepakte-vervoer-geval is die moeite werd om te onthou: as die tonnel se eie buitenste verbinding op ’n vaste adres leef, moet daardie adres buite die tonnel bly wat dit dra, anders roeteer die kliënt sy eie vervoer in homself in.

Of haal die hooftabel uit die argument

Wanneer verskeie dienste op die gasheer hul normale pad moet behou, moet jy ophou om die hooftabel te redigeer en gee die kliënt sy eie. ’n Netwerknaamruimte met ’n veth-paar doen dit skoon: die kliënt se verstekroete leef in ’n ander stapel en net prosesse wat daarbinne begin is, gebruik die tonnel. Beleidsroetering bereik ’n soortgelyke plek vir een bestemming, deur ooreenstemmende verkeer na ’n toegewyde tabel te stuur wie se verstek steeds na die fisiese deurgang wys. Enige van die twee benaderings laat die gasheer se hooftabel sonder ’n nuwe verstekroete, en dit is die eienskap wat SSH aan die antwoord hou.

Albei is meer masjinerie as ’n enkele gasheerroete, en albei is die moeite werd wanneer meer as een ding op die masjien die tonnel moet oorleef.

Aanvaar dat die pen kan faal

’n Roete wat op jou huidige openbare adres geskoei is, breek die oomblik wanneer jou verskaffer dit hertoewys. ’n Afgeleë bediener het dan ’n pad nodig wat nie van daardie adres afhang nie: ’n konsole, ’n tweede bestuurskoppelvlak, of ’n spronggasheer wat buite die tonnel bly.

Twee veiligheidsmaatreëls kos tien minute. ’n Waghonde wat die kliënt stop as ’n bevestigingsaanmelding nie binne ’n paar minute verskyn nie, verander ’n uitsluiting in ’n vertraging, en ’n tweede SSH-sessie wat tydens die verandering oopgehou word, bewys die uitsondering werk terwyl die tonnel op is. Alleenstaande lewendhouers help hier nie, want die pad is weg eerder as ledig; hulle maak net die dood makliker om raak te sien.

Verifieer in die volgorde wat saak maak

Verbind die tonnel, bevestig dat die roete na jou adres steeds deur die fisiese deurgang vertrek, en maak dan ’n nuwe sessie oop. As die nuwe sessie werk en die ou een tog sterf, is die oorsaak verbindingsnavolging of ’n staatvolle firewall eerder as roetering, wat ’n ander regstelling is.

Skryf die vasgepen adres en die opdrag wat dit bewys het in die veranderingsrekord. Die volgende persoon wat ’n kliënt op daardie gasheer begin, sal albei nodig hê, en die adres het dalk teen dan verander.