Niyə tam tunel marşrutu onu daşıyan serveri kəsir

Tam tuneli yandırdıqda hər təyinat artıq VPN interfeysinə aiddir, o cümlədən onu sonlandıran maşın. Tuneli daşıyan xarici paketlər həmin maşına ünvanlanır, ona görə də marşrut asılı olduğu nəqliyyatı özü istehlak edir. Bir əlavə dəqiq marşrut bunu həll edir və səbəbi anlamağa dəyər. Bu səbəb olmadan növbəti yenidənqurma nasazlığı qaytarır.

Öz nəqliyyatını yeyən marşrut

Enkapsulyasiya hər paketi ikinci başlığa bükür. Xarici başlıq yerli fiziki ünvandan serverin ictimai ünvanına ünvanlanır və hər hansı tunel yaranmazdan əvvəl fiziki keçidi keçməlidir.

İndi qoy həmin ictimai ünvan üçün axtarış tuneli seçsin. Paketi göndərmək üçün maşın onu enkapsulyasiya etməlidir, bu da eyni ünvana marşrut tələb edir, o da tuneli qaytarır. Müştərilər bunu iki yoldan biri ilə həll edir. Diqqətli olan standart marşrutu quraşdırmaqdan imtina edir və xəta bildirir, daha az diqqətli olan isə uğur bildirir və sonra heç nəyi dəyişmir. Səssiz nasazlıq bir gününüzü aparandır.

Ən uzun prefiks uyğunluğu hər hansı metriyə baxmadan axtarışı həll edir, ona görə də tək ünvanlı marşrut maşındakı hər standart marşrutdan üstündür. Təmirin arxasındakı bütün mexanizm budur.

İstisnanı standartdan əvvəl quraşdırın

Server üçün tək ünvanlı marşrut yaradın, növbəti hop kimi fiziki şlüzü götürün, standart marşrut dəyişməzdən əvvəl. Sıra vacibdir: sonra quraşdırmaq yazarkən pozulmuş tunellə yaşamaq deməkdir.

Əksər müştərilər bunu tələb olmadan edir. OpenVPN uzaq ünvanı axtarır və standart şlüzü yenidən yazmazdan əvvəl onu bərkidir, route-delay seçimi isə bu ardıcıllığın yarışdığı platformalar üçün mövcuddur. wg-quick tamamilə başqa yol tutur, paketləri işarələyib siyasət qaydasına müraciət etməklə istisna əlavə etmək əvəzinə. Fərqli mexanizmlər, eyni tələb: xarici paket yaratdığı tuneldən qaçmalıdır.

ip route add 203.0.113.10/32 via 192.168.1.1 dev eth0
ip route get 203.0.113.10

Axtarış çıxışı qəbul testidir. O, fiziki cihazı və fiziki növbəti hopu adlandırmalıdır. Cavabda tunel cihazı görünməsi istisnanın olmadığını və ya onu üstələyən bir şeydən sonra yerləşdirildiyini bildirir.

Serverdə güzgü əksi

Eyni tələ yan tərəfdə, tərsinə gözləyir. Serverə başqa tuneldən standart marşrut verin və ya ona müştərilərin ictimai ünvanlarını əhatə edən marşrut göndərin, onun cavabları səhv istiqamət vərdişi qazanır.

Bağlanan və sorğu göndərən bir müştəri təsəvvür edin. Cavab həmin müştərinin ictimai ünvanına ünvanlanır, bu ünvan artıq tunel marşrutuna uyğun gəlir, ona görə də cavab müştərinin heç vaxt yığmadığı mənbə daşıyan fərqli interfeysdən çıxır. Müştəri bu paketi ala və yenə də at bilər, çünki heç nə onu göndərdiyi sorğuya bağlamır. Müştərinin taym-autundan deyil, serverin marşrut qərarından başlayın, çünki onlardan yalnız biri həqiqi seçimi göstərir.

ip route get 198.51.100.44 from 10.90.0.1
ip rule show
sudo tcpdump -ni any host 198.51.100.44

Üç təmir mövcuddur və onlar bərabər deyil. Xidməti fiziki ünvana bərkitmək və ya mənbəyi tərcümə etmək hər ikisi marşrut qərarını düzəltmək əvəzinə gizlədir. Tunel hovuzu üçün cavab trafikini ayrı cədvəldən göndərmək səbəbi düzəldir, digər ikisi isə yalnız marşrut dizaynı donmuş halda məqbuldur.

Tunelin durmadan oğurladığı istisnalar

Bir sıra işlər tunel standart marşruta sahib olsa da açıq internetə ehtiyac duyur və hər biri öz istisnasını tələb edir. Dinamik DNS yeniləyicisi adətən ilk sınan olur.

O, provayderi həll edir, bağlantı açır və öz paketlərinin ünvanı saniyələr əvvəl dəyişmiş tuneldən keçdiyini görür, ona görə yeniləmə uğursuz olur və ya səhv ünvanı dərc edir. Üç çıxış yolu: provayderi fiziki şlüzdən host marşrutu ilə bərkidin, yeniləməni tunel qalxmazdan əvvəl işə salın, ya da yeniləyiciyə tunelin heç toxunmadığı siyasət cədvəli verin. Vaxt sinxronizasiyası resolver olmadan yüklənən cihazda eyni məruz qalmağa malikdir və sertifikat yoxlama son nöqtələri də eyni səbəbdən siyahıya aiddir.

Heç kimin yazmadığı istisna, növbəti yenidənqurmanın səssizcə atacağı istisnadır.

Yenidən qoşulmadan sonra sübut edin, əvvəl yox

Üç təyinatı sınayın, birini yox: son nöqtə, tunelin arxasındakı şəxsi ünvan və onun o biri tərəfindəki ictimai ünvan. Tək uğurlu axtarış digər ikisi haqqında demək olar ki, heç nə demir.

ip route get 203.0.113.10
traceroute -n 203.0.113.10
ip route get 10.90.0.5
ip route get 1.1.1.1

Sonra bağlantını yenidən qurun, çünki cədvəlini yenidən qoşulmada yenidən quran müştəri əllə yazdığınız marşrutu atacaq. Kill switch işləyirsə, son nöqtənin icazəli olduğunu yoxlayın, əks halda tunel şəbəkə dəyişikliyindən sonra qayıda bilməz və simptom kəsinti kimi görünür. İstisnanı shell tarixçəsində deyil, profildə və ya unit faylında saxlayın, belə ki yenidən qoşulma onu silmək əvəzinə yenidən yaratsın.