OpenVPN redirect-gateway: šta svaki flag radi s rutama

Povežite se s redirect-gateway u profilu i zadana ruta vašeg računara može nestati, podijeliti se na dvije ili ostati tačno tamo gdje je bila, zavisno od flagova koje niko ne čita dvaput. Opcija mijenja stanje rutiranja i ništa drugo, pa je jedini pouzdan dokaz o tome šta je uradila tablica koju je klijent instalirao nakon toga. Slijedi tablica nakon veze, ruta koja održava sam tunel živim i IPv6 saobraćaj koji direktiva nikada ne tvrdi da pokriva. Svaki korak je komanda koju možete pokrenuti na klijentu dok je tunel aktivan.

Šta svaki flag radi sa zadanom rutom

Bez ikakvog flaga opcija uklanja običnu zadanu rutu i stavlja tunel na njeno mjesto, pa stari gateway nestaje iz tablice dok je veza aktivna. Dodajte def1 i ta zadana ruta ostaje na listi, a posao obavljaju dvije uže rute. Dodajte bypass-dhcp i DHCP ruta također preživi, što je važno na mreži gdje klijent još mora doći do lokalnog DHCP servera. Lista flagova na stranici priručnika za OpenVPN 2.6 dovoljno je kratka da se pročita jednom, a svaki unos mijenja koje rute završe u tablici.

Gurnuta opcija se ponaša isto kad stigne, pa klijentski profil može ne sadržavati ništa dok tablica izgleda potpuno preusmjereno. To je normalno: server je poslao flagove, klijent ih je primijenio, a lokalna datoteka nikada nije spomenula direktivu. Kada se čini da guranje ne radi ništa, provjerite filter na strani klijenta koji prihvata ili odbacuje povučene opcije, jer odbačena opcija ne izaziva grešku ni na jednoj strani.

def1 pobjeđuje specifičnošću ne dirajući vašu zadanu rutu

Dvije poluzadane rute zajedno pokrivaju IPv4 prostor, 0.0.0.0/1 i 128.0.0.0/1. Svaka je specifičnija od 0.0.0.0/0, pa ih pretraga preferira dok prava zadana ruta ostaje u tablici za sve što traži najmanje specifično podudaranje.

Čitajte tablicu, a ne profil, jer samo tablica pokazuje u kojem ste od tih slučajeva. Dvije linije su dovoljne da ih razlikujete:

ip route show default
ip route show | grep -E '^(0\.0\.0\.0/1|128\.0\.0\.0/1)'

Zabilježite interfejs i metriku na svakoj liniji, ne samo odredište. Zadana ruta koja pokazuje na tunel i par poluzadanih ruta koje pokazuju na tunel opisuju istu namjeru i ne uspijevaju različito kada tunel padne, jer u jednom slučaju rezervna opcija još postoji. Upišite oba polja u zapis o promjeni. Preživjela rezerva ponekad održava udaljenu sesiju dovoljno dugo da se tunel popravi, a ona je i ono što curi saobraćaj kada je namjera bila pun tunel.

Držite krajnju točku tunela dostupnom

Klijentu treba ruta do daljeg kraja tunela koja sama ne ide kroz tunel. OpenVPN instalira tu host rutu prije nego što promijeni bilo šta drugo, a ručno uređivanje ruta ili drugi VPN klijent mogu je ukloniti. Simptom nakon toga je veza koja javlja da je povezana i zatim ne propušta ništa.

Pitajte kernel koji bi interfejs koristio za adresu krajnje točke dok je tunel aktivan. Odgovor mora navesti fizički interfejs i njegov gateway, nikada tun0:

ip route get 198.51.100.20

Ako ta pretraga vrati tunelski uređaj, tunel nosi vlastiti transport i srušit će se čim neki paket treba izaći. Lokalni prefiksi, drugi adapter i rutiranje po politici i dalje su važni ovdje, zato preusmjerenje koje radi na čistom laptopu može zakazati na hostu s upravljačkim interfejsom i dvije zadane rute. Obično se okrivljuje profil za ono što je uradio plan adresa.

IPv6 saobraćaj nastavlja koristiti svoju tablicu

Preusmjeravanje IPv4 ostavlja IPv6 na miru, a dva porodična skupa mijenjaju različiti flagovi. Na hostu s dvostrukim stekom i radnom v6 zadanom rutom v4 saobraćaj može stajati potpuno unutar tunela dok svako odredište sposobno za v6 izlazi preko fizičke veze. Host koji izgleda ispravno u jednoj tablici curi u drugoj.

Provjerite v6 tablicu nakon povezivanja umjesto da pretpostavite da ju je tunel pokrio. Direktiva nosi flagove adresne familije upravo zbog toga, a profil koji ih izostavi nasljeđuje ono što platforma radi po defaultu:

ip -6 route show default
ip -6 route get 2001:db8::10

Dokažite koji interfejs aplikacija koristi

Stanje „povezano“ nije blokada, a promjena rute nije prekidač za nuždu. Ako direktni saobraćaj mora stati kada tunel zakaže, ta politika živi u firewallu i traži vlastiti test.

Testirajte putanju koju aplikacija zaista prolazi, a ne putanju koju profil opisuje. Prvo zatražite rutu, zatim zavežite zahtjev redom na svaki interfejs i uporedite šta dalja strana prijavljuje:

ip route get 203.0.113.10
curl -s --interface tun0 https://ifconfig.me
curl -s --interface eth0 https://ifconfig.me

Ako oba zahtjeva vrate istu adresu, aplikacija ne koristi tunel iako tablica rutiranja kaže da bi trebala. Ako uspije samo zahtjev vezan za tunel, fizička putanja je filtrirana za to odredište i tunel radi ono što ste tražili. Upišite flagove, instalirane rute, pretragu krajnje točke i oba rezultata izlaza u zapis o promjeni, da sljedeća osoba naslijedi činjenice umjesto snimka ekrana.