Dante SOCKS dros VPN: twnnel llawn neu lwybrydio ffynhonnell

Rydych am i draffig y proxy SOCKS adael drwy’r VPN tra bod gweddill y gwesteiwr yn cadw ei lwybr arferol. Mae dau gynllun yn gwneud hyn, ac maen nhw’n wahanol yn y peth sy’n torri pan aiff rhywbeth o’i le. Mae un yn gwthio llwybr diofyn i mewn i’r twnnel ac yna’n ei osgoi; mae’r llall yn gadael y prif dabl yn llonydd ac yn anfon un cyfeiriad ffynhonnell i ail dabl. Mae’r ail yn lanach, ac mae ganddo’i beryglon ei hun.

Dau gynllun, dau radiws difrod gwahanol

Y cynllun twnnel llawn yw’r hyn y mae’r rhan fwyaf o gleientiaid VPN yn ei wneud yn ddiofyn: disodli’r llwybr diofyn fel bod popeth yn dilyn y twnnel, ac yna eithrio’r hyn na ddylai. Mae’n hawdd rhesymu amdano ac yn anodd ei gadw’n gul, oherwydd mae pob gwasanaeth lleol a ychwanegwch yn etifeddu’r twnnel nes i chi ei eithrio. Mae’r dull methu yn eang, gan fod un llwybr anghywir yn mynd â chysylltedd y gwesteiwr ei hun gydag ef.

Mae’r cynllun a ddewisir gan ffynhonnell yn mynd y ffordd arall. Mae’r prif dabl yn aros fel yr oedd, ac mae un rheol polisi yn anfon pecynnau o gyfeiriad lleol penodol i dabl sydd â llwybr diofyn drwy’r twnnel. Nid oes dim arall yn newid, sy’n golygu mai un cyfeiriad yw radiws y difrod.

Mae’r culni hwnnw hefyd yn gyfyngiad: dim ond os yw pecynnau allan y proxy yn cario’r cyfeiriad hwnnw mewn gwirionedd y mae’r cynllun yn gweithio.

Beth mae gosodiad external Dante yn ei wneud

Mae’r gosodiad external yn dewis y cyfeiriadau y mae’r proxy yn eu defnyddio ar gyfer cysylltiadau allan; nid yw’n cyffwrdd â pholisi llwybrydio’r cnewyllyn. Y gwahanu hwnnw sy’n gwneud yr ail gynllun yn bosibl, a dyna hefyd lle mae pobl yn camddarllen y ddogfennaeth. Mae pwyntio external at gyfeiriad twnnel yn gwneud i’r proxy ffynhonnellu ei gysylltiadau o’r cyfeiriad hwnnw, ac yna mae’r tabl llwybrydio’n penderfynu i ble mae’r pecynnau hynny’n mynd.

Mae’r gwrandawr yn fater ar wahân. Cadwch internal yn gyfyngedig i’r cleientiaid a ddylai ddefnyddio’r proxy, gofynnwch am ddilysiad, a fflangellwch y porth, oherwydd nid yw gwrandawr agored yn nodwedd o allanfa VPN.

Cadarnhewch fod y cyfeiriad a ffurfweddwyd yn perthyn i’r twnnel mewn gwirionedd o fewn gofod enwau rhwydwaith y proxy.

Adeiladu’r tabl a ddewisir gan ffynhonnell

Ar gyfer cyfeiriad TUN o 10.90.0.2/24 gyda chymar cyrraeddadwy yn 10.90.0.1, a rhif tabl nad oes dim arall yn ei ddefnyddio, mae’r trefniant fel hyn:

ip -4 route add table 100 10.90.0.0/24 dev tun0 src 10.90.0.2
ip -4 route add table 100 default via 10.90.0.1 dev tun0 metric 10
ip -4 route add table 100 unreachable default metric 32760
ip -4 rule add priority 1000 from 10.90.0.2/32 lookup 100

Y llwybr anghyrraeddadwy yw’r rhan y mae pobl yn ei hepgor. Hebddi, mae tabl y mae ei lwybr twnnel yn diflannu yn syrthio i’r llwybr diofyn arferol ac mae’r proxy’n gadael yn dawel drwy’r WAN. Gyda hi, mae’r chwiliad yn methu, sef methiant gweladwy yn lle gollyngiad tawel. Rhaid i flaenoriaeth y rheol hefyd fod o flaen unrhyw beth arall sy’n cyd-fynd â’r ffynhonnell honno.

Mae’r gwerthoedd hyn yn disgrifio un topoleg. Mae cymarau pwynt-i-bwynt, cyfeirio net30 a chleientiaid sy’n dosbarthu rhagddodiad gwahanol i gyd angen eu llwybrau eu hunain, felly copïwch y siâp yn hytrach na’r cyfeiriadau.

Lle mae’r rheol ffynhonnell yn gollwng

Mae rheol sy’n cyd-fynd â chyfeiriad ffynhonnell yn effeithio ar bob proses sy’n ei ddefnyddio, nid yn unig y proxy. Os bydd daemon arall yn rhwymo’r un cyfeiriad, mae ei draffig yntau’n cymryd y twnnel, a bydd y methiant yn edrych fel problem gwasanaeth nad yw’n gysylltiedig. Rhowch gyfeiriad i’r proxy nad oes dim arall yn ei ddefnyddio, neu derbyn mai’r cyfeiriad, nid y broses, yw’r cwmpas.

DNS yw’r gollyngiad arall. Nid yw soced datryswr o reidrwydd yn defnyddio ffynhonnell cysylltiadau data allan y proxy, felly gall chwiliadau enw fynd allan drwy’r WAN o hyd. Profwch y datrysiad ar wahân i sefydlu cysylltiad, a phenderfynwch a yw’r canlyniad hwnnw’n dderbyniol.

Mae IPv6 angen ei reolau a’i lwybrau ei hun, oherwydd nid yw trefniant IPv4 yn profi dim amdano.

Dewiswch yn ôl y methiant y gallwch ei oddef

Dewiswch y twnnel llawn pan ddylai’r gwesteiwr gael ei amddiffyn fel cyfan ac y gallwch gynnal y rhestr eithrio. Dewiswch lwybrydio yn seiliedig ar ffynhonnell pan fydd rhaid i’r gwesteiwr gadw ei lwybr ei hun a dim ond un gwasanaeth ddylai gael ei ailgyfeirio. Mae’r ddau yn ddilys; y camgymeriad yw dewis un ac yna ei brofi fel petai’r llall.

Pa un bynnag a ddewiswch, gwiriwch o’r ddwy ochr: cais drwy’r proxy a chais uniongyrchol o’r gwesteiwr, gyda’r cyfeiriad allanfa a arsylwyd yn cael ei gofnodi ar gyfer y ddau.

Os bydd y twnnel yn cwympo, penderfynwch ymlaen llaw a ddylai’r proxy fethu neu ddychwelyd, a gadewch i’r tabl llwybrydio fynegi’r penderfyniad hwnnw.