Tam tunel SSH sessiyanızı öldürdü: qayıdış marşrutunu bərkidin

SSH ilə işlədiyiniz maşında OpenVPN müştərisini işə salın və əmr yerinə yetirilərkən sessiya donur. Tunel qoşulduğunu bildirir, host onun vasitəsilə internetə çıxır və heç nə qayıtmadığı halda klaviatura basışlarınız gəlməyə davam edir. Dəyişən tunel deyil: sizə ünvanlanmış paketlər üçün qayıdış yoludur, hansı ki indi yeni defolt marşruta uyğun gəlir və uzaq şlüzün masanıza çatmaq üçün istifadə etməyəcəyi tunelə daxil olur.

redirect-gateway əslində nə quraşdırır

Öz def1 formasında, redirect-gateway əlavə edir 0.0.0.0/1 və 128.0.0.0/1 defolt marşrutun üzərinə yazmaq əvəzinə. Bu iki yarı bütün ünvan məkanını əhatə edir, halbuki hər ikisi 0.0.0.0/0-dən daha uzun prefiks olaraq qalır, buna görə daha dəqiq uyğunluğu olmayan istənilən təyinat indi tunelə daxil olur. Yadda saxlanmalı mexanizm budur, çünki aşağıdakı hər düzəliş daha dəqiq uyğunluq quraşdırmaqla işləyir.

İdarəetmə ünvanınız həmin təyinatardan biridir.

VPN serveri müştəriləri üçün trafiki internetə doğru yönləndirir. Onun qoşulduğunuz ümumi ünvan üçün marşrutu yoxdur və bu paketləri müştəridən gələn trafikdən başqa cür qəbul etməyə heç bir səbəbi də yoxdur, ona görə onları atır. Bu arada göndərdiyiniz sorğu hosta yenə də çatdı, buna görə sessiya yalnız bir tərəfdə canlı görünür.

ip route show table main | head -n 20
ip route get 198.51.100.23

Mənbə ünvanınızı və tuneldən əvvəlki yolu tapın

Serverdə qurulmuş SSH bağlantısını siyahıya alın və onun gəldiyi peer ünvanını qeyd edin. Qayıdış marşrutunuzun əhatə etməli olduğu ünvan budur və o həmişə düşündüyünüz ünvan deyil: jump host, NAT şlüzü və ya operator səviyyəli tərcüməçi başqa mənbə qoya bilər.

Sonra tunel başlamazdan əvvəl trafiki daşıyan fiziki şlüzü və interfeysi tapın. def1 düzümündə defolt marşrut yarım-defoltların altında hələ də mövcuddur, yəni məlumat əlçatandır, baxmayaraq ki uzun marşrut cədvəlini gözlə oxumaq səhvləri dəvət edir.

Hər iki dəyəri və interfeys adını birlikdə qeyd edin, çünki əlavə etmək üzrə olduğunuz marşrut hər üçünə ehtiyac duyur. Əgər host öz yuxarı kanalını seçmək üçün siyasət əsaslı marşrut qaydası istifadə edirdisə, adi marşrut ümumiyyətlə nəzərə alınmaya bilər və bu ehtimal düzəlişi dəyişir.

Yarım-defoltlardan üstün olan host marşrutu bərkidin

Bir /32 marşrutu iki yarım-defoltun hər birindən uzundur, buna görə ünvanınıza gedən cavablar tunelin əvəzinə onu tutur. Növbəti hop tuneldən əvvəlki şlüzdür və cihaz fiziki interfeysdir, bu da paketi tunel yaranmazdan əvvəl istifadə etdiyi yolda saxlayır.

ip route add 198.51.100.23/32 via 203.0.113.1 dev eth0

Cədvəli yoxlamaq əvəzinə axtarışla təsdiqləyin: cavab eth0 və şlüzü adlandırmalıdır, heç vaxt tun0.

OpenVPN artıq VPN serverinin öz ünvanına host marşrutu eyni səbəbdən əlavə edir, buna görə naxış tanışdır və idarəetmə ünvanı sadəcə daha bir istisnadır. Bunu düzəltmək üçün route-nopull istifadə etməyin, çünki o, tunelin ehtiyac duyduğu ötürülən marşrutları, o cümlədən uzaq şəbəkəni və DNS seçimlərini atır.

Yenidən qoşulmaya dözməsini təmin edin

Əl ilə əlavə edilən marşrut müştəri yenidən qoşulub öz marşrutunu quraşdırdıqda yox olur və bu, düzəlişi təkrarlanan kəsintiyə çevirir. Əmri marşrutlar quraşdırıldıqdan sonra işləyən bir şeyə bağlayın.

İstər route-up skripti, istərsə də şəbəkə menecerinin pre-up qarmağı işləyir və etibarlı yoxlama yenidən qoşulmadan sonra eyni axtarışdır.

Windows-da ekvivalent -p ilə əlavə edilən davamlı marşrutdur, hansı ki yenidən başlatmalara dözür, lakin şəbəkə dəyişikliyindən sonra yenə də düzgün şlüzə işarə etməlidir. Platforma hansı olursa olsun, səbəbi marşrutun yanında yazın: növbəti administrator onun idarəetmə sessiyasını qorumaq üçün mövcud olduğunu bilməlidir, şəbəkə dizaynı tələb etdiyi üçün deyil.

Bərkidilmiş marşrut hələ də kifayət etmədikdə

Əks yol filtrləmə bir interfeysdə gəlib digərindən çıxan paketi ata bilər və bərkidilmiş marşrut məhz bunu yaradır. Effektiv rp_filter dəyərini qlobal şəkildə nəyisə söndürməzdən əvvəl yoxlayın və yoxlamanı söndürməkdənsə asimmetriyanı düzəltməyə üstünlük verin. Tətbiq olunan interfeys üzrə ayardır və loose rejimi çox vaxt paketi atmaq əvəzinə yalnız asimmetriyanı qeyd edir. Filtrin sizin günahınız olduğu qənaətinə gəlməzdən əvvəl hər ikisini oxuyun.

Siyasət əsaslı marşrutlaşdırma istifadə edən hostlara marşrutla yanaşı qayda da lazımdır, çünki qayda bazası içindəki marşrut nəzərə alınmazdan əvvəl cədvəli seçir. main cədvəlindəki marşrut başqa cədvələ işarə edən qaydaya uyğun gələn axın üçün görünməzdir. main-ə nəyisə əlavə etməzdən əvvəl qaydaları oxuyun. Əgər qayda artıq idarəetmə trafikini əhatə edirsə, istisna bunun əvəzinə həmin qaydanın cədvəlinə aiddir.

Test edərkən kənar konsolu açıq saxlayın və istifadə etdiyiniz girişi bağlamazdan əvvəl ikinci girişdən yenidən yoxlayın. Öz idarəetmə trafikinizi tunelə göndərən marşrut onu təmir etdiyiniz bağlantını kəsir. Sonra yenidən içəri girmək seriyalı konsol və ya xilasetmə yüklənməsi deməkdir ki, bu da bir yoxlama addımını atlamaq üçün pis mübadilədir.