OpenVPN müştərilərini Cloudflare-dən keçirmək? Əvvəlcə rolu yoxlayın
Cihaz müştərisi marşrutlaşdırıcı deyil. Cloudflare rolunun digər hostların paketlərini yönləndirdiyini təsdiqləyin, sonra serverin öz tunelini köhnə yolda saxlayın.
İşləyən bir OpenVPN serveriniz və həm də Cloudflare-in cihaz proqramını işlədən bir hostunuz var və növbəti aşkar addım müştəri trafikini ora yönəltmək kimi görünür. Bir maşında iki işləyən bağlantı keçid şlüzü yaratmır. Çatışmayan şey başqasına aid paketləri yönləndirmək üçün sənədləşdirilmiş rol və həmin paketləri gəldikləri zaman təsnif edən siyasətdir.
Hər hansı qaydadan əvvəl dörd sual gəlir: hansı trafik daxil olur, sonra hara gedir, cavablar geri yolu necə tapır və ikinci yol sıradan çıxanda dizayn nə edir. İlk ikisi imkan suallarıdır.
Bir hostda iki xidmət keçid yolu deyil
Cihaz müştərisi işlədiyi maşında yaranan trafiki idarə etmək üçün qurulub. Ad həllini və ya seçilmiş tətbiq trafikini tutur və öz tunelindən göndərir, siyasəti isə həmin cihazın istifadəçisi və həmin cihazın prosesləri üçün yazılıb. OpenVPN müştərisindən yönləndirilən paket lokal çıxış deyil, ona görə eyni qaydalar onu təsnif etmir. Bu, daha geniş qayda ilə üstündən keçə biləcəyiniz konfiqurasiya detalı deyil, çünki proqramın paketi ümumiyyətlə görüb-görmədiyini bu həll edir.
Dizayn sualının imkan sualı olmasının səbəbi budur. Ya quraşdırılmış məhsulun digər şəbəkələr üçün trafiki yönləndirən sənədləşdirilmiş rolu var, ya da keçid funksiyası tamam başqa yerə aiddir.
Cloudflare-in hansı rolu yönləndirməyə icazə verir
Cloudflare-in cihaz müştərisi əhatə dairəsinə görə fərqlənən rejimlər təklif edir: yalnız ad həlli, cihazdan gələn trafik və bəzən hər ikisi. Bu rejimlərin heç biri hostu başqa tuneldən gələn özəl diapazon üçün marşrutlaşdırıcıya çevirmir. Xüsusi marşrutlaşdırma rolu öz konnektoru, qeydiyyatı və şəbəkə modeli olan ayrı məhsuldur.
| Question | What has to answer it |
|---|---|
| Does the installed product forward packets from other hosts? | A documented routing or connector role, not a device mode |
| Which prefixes does the connector advertise? | Its own configuration and status output |
| Does the server's own transport still take the old path? | ip route get for the endpoint, before and after |
| Do replies return through the same path? | Connection tracking counters on the forward rule |
Marşrutları onun ətrafında dizayn etməzdən əvvəl quraşdırılmış rolu yoxlayın. Konnektorun hansı interfeysi yaratdığını, konkret prefiksləri yoxsa defolt marşrutu elan etdiyini və yerli siyasətin yönləndirilən paketlərə də tətbiq olunub-olunmadığını oxuyun. Yalnız yerli trafik idarə olunursa, tərcümə qaydası necə yazılsa da, OpenVPN serveri keçid nöqtəsi ola bilməz.
Ümumi çıxış tələbinin dəqiq ifadə edilməli olduğu yer də burasıdır. Yönləndirilən müştəri trafiki üçün Cloudflare-in təqdim etdiyi çıxış xüsusi bir istifadə halıdır və faktiki malik olduğunuz xidmətə qarşı təsdiqlənməlidir.
Xarici tuneli yeni marşrutdan asılı olmayaraq saxlayın
Yeni interfeysə doğru defolt marşrut əlavə etdiyiniz anda serverin öz çıxış trafiki ona görə rəqabətə başlayır və bura OpenVPN müştərilərinə cavablar və qutuya SSH sessiyanız da daxildir. Adi simptom qurulan və sonra ölən tunel, ya da dəyişiklik işləyirmiş kimi görünərkən administratorun kilidlənməsidir. Son nöqtə üçün ip route get-i əvvəl və sonra müqayisə edin və serverin öz nəqliyyatını əvvəlki yerdə saxlamaq üçün siyasət əsaslı marşrutlaşdırma və ya host marşrutu istifadə edin. Bu müqayisəni qutunun özündən aparın, çünki serverin öz marşrutuna baxışı əhəmiyyətli olandır.
Serverin ictimai ünvanı üçün istisna özlüyündə kifayət deyil, çünki hər uzaq administratorun qayıdış yolu fərqli axındır. Bu axınlardan hansının dəyişikliyə dözməli olduğunu qərarlaşdırın, sonra birincinin qalanları əhatə etdiyini fərz etmək əvəzinə hər birini yoxlayın.
Yönləndirməni və tərcüməni bir axınla məhdudlaşdırın
Qəbul edilən paketlər yönləndirmə yolunu izləyir, lokal çıxış yolunu yox, ona görə əhəmiyyətli qayda forward qarmağında yaşayır. Sonrakı interfeys tərcümə tələb edirsə, mənbəni müştəri hovuzuna, təyinatı icazə verilənlərə və çıxışı həmin tək interfeysə məhdudlaşdırın. Yalnız interfeysə bağlanmış masquerade qaydası özü heç bir marşrut seçmir və başqa heç bir filtri keçərək yönləndirməyə icazə vermir.
Uğursuzluqda bağlanan davranışı əvvəlcədən qərarlaşdırın, sonra onu sınaqdan keçirin. Sonrakı yolu dayandırın və müştərilərin adi yuxarı bağlantıya səssizcə düşmək əvəzinə nəzərdə tutulan çıxışı itirdiyini təsdiqləyin; bu, trafik səhv qapıdan çıxana qədər heç kimin görmədiyi nəticədir. Ad həlli və IPv6 üçün yoxlamanı təkrarlayın, çünki yalnız v4 üçün qaydalar dəsti v6 yolunu açıq qoyur.
Qərar verdiyiniz dörd cavabı və hər birini sübut edən müşahidəni yazın. Təsvir edə bildiyiniz keçid yolu növbəti insident baxışında müdafiə edə biləcəyiniz yoldur.