Mae’r twnnel llawn wedi lladd eich sesiwn SSH: pinwch y llwybr dychwelyd

Dechreuwch OpenVPN gleient ar y blwch rydych chi’n gweithio arno dros SSH, ac yng nghanol y gorchymyn mae’r sesiwn yn rhewi. Mae’r twnnel yn dweud ei fod wedi cysylltu, mae’r gwesteiwr yn cyrraedd y rhyngrwyd drwyddo, ac mae eich cnociau bysellau chi yn dal i gyrraedd tra nad oes dim yn dod yn ôl. Yr hyn a newidiodd yw nid y twnnel: y llwybr dychwelyd ar gyfer pecynnau a gyfeiriwyd atoch chi ydyw, sy’n awr yn cyfateb i’r llwybr diofyn newydd ac yn mynd i mewn i dwnnel na fydd y porth anghysbell yn ei ddefnyddio i gyrraedd eich desg.

Beth mae redirect-gateway yn ei osod mewn gwirionedd

Yn ei ffurf def1 redirect-gateway mae’n ychwanegu 0.0.0.0/1 a 128.0.0.0/1 yn lle trosysgrifo’r llwybr diofyn. Mae’r ddwy hanner hyn yn cwmpasu’r holl ofod cyfeiriadau tra bo’r ddwy yn parhau’n rhagddodiaid hirach na 0.0.0.0/0, felly mae unrhyw gyrchfan heb gyfatebiaeth fwy penodol yn mynd i’r twnnel nawr. Dyma’r mecanwaith i’w gadw, oherwydd mae pob atgyweiriad isod yn gweithio drwy osod cyfatebiaeth fwy penodol.

Mae eich cyfeiriad gweinyddol yn un o’r cyrchfannau hynny.

Mae’r gweinydd VPN yn anfon traffig ei gleientiaid tuag at y rhyngrwyd. Nid oes ganddo lwybr ar gyfer y cyfeiriad cyhoeddus rydych chi’n cysylltu ohono, nac unrhyw reswm i drin y pecynnau hynny fel rhywbeth heblaw traffig sy’n cyrraedd o gleient, felly mae’n eu gollwng. Yn y cyfamser cyrhaeddodd y cais a anfonoch chi’r gwesteiwr o hyd, a dyna pam mae’r sesiwn yn edrych yn fyw ar un ochr yn unig.

ip route show table main | head -n 20
ip route get 198.51.100.23

Dewch o hyd i’ch cyfeiriad ffynhonnell a’r llwybr cyn y twnnel

Ar y gweinydd, rhestru’r cysylltiad SSH sefydledig a nodwch y cyfeiriad cymar y daeth ohono. Y cyfeiriad hwnnw yw’r hyn y mae’n rhaid i’ch llwybr dychwelyd ei gwmpasu, ac nid dyma bob amser yr hyn rydych chi’n meddwl: gall gwesteiwr naid, porth NAT neu gyfieithydd cludwr amnewid ffynhonnell wahanol.

Yna dewch o hyd i’r porth ffisegol a’r rhyngwyneb a gludodd draffig cyn i’r twnnel ddechrau. Yn y def1 drefniant mae’r llwybr diofyn yn dal yn bresennol o dan y hanner-diofynau, felly mae’r wybodaeth ar gael, er bod darllen tabl llwybr hir â’r llygad yn gwahodd camgymeriadau.

Cofnodwch y ddau werth ac enw’r rhyngwyneb gyda’i gilydd, oherwydd mae ar y llwybr rydych chi ar fin ei ychwanegu angen y tri. Os defnyddiodd y gwesteiwr reol llwybro polisi i ddewis ei uplink, efallai na ystyrir llwybr plaen o gwbl, ac mae’r posibilrwydd hwnnw’n newid yr atgyweiriad.

Pinwch lwybr gwesteiwr sy’n trechu’r hanner-diofynau

Mae llwybr /32 yn hirach na’r naill hanner-diofyn neu’r llall, felly mae atebion i’ch cyfeiriad yn ei gymryd o flaen y twnnel. Y naid nesaf yw’r porth cyn y twnnel a’r ddyfais yw’r rhyngwyneb ffisegol, sy’n cadw’r pecyn ar y llwybr a ddefnyddiodd cyn bod y twnnel.

ip route add 198.51.100.23/32 via 203.0.113.1 dev eth0

Gwiriwch gyda chwiliedydd yn lle archwilio’r tabl: rhaid i’r ateb enwi eth0 a’r porth, byth tun0.

Mae OpenVPN eisoes yn ychwanegu llwybr gwesteiwr at gyfeiriad y gweinydd VPN ei hun am yr un rheswm, felly mae’r patrwm yn gyfarwydd ac mae’r cyfeiriad gweinyddol yn syml yn eithriad arall. Peidiwch â chyrraedd am route-nopull i drwsio hyn, oherwydd mae’n taflu’r llwybrau gwthiedig y mae ar y twnnel eu hangen, gan gynnwys y rhwydwaith anghysbell a’r opsiynau DNS.

Gwnewch iddo oroesi ailgysylltiad

Mae llwybr a ychwanegwyd â llaw yn diflannu pan fydd y cleient yn ailgysylltu ac yn ailosod ei un ei hun, sy’n troi atgyweiriad yn ddiffyg cylchol. Cysylltwch y gorchymyn wrth rywbeth sy’n rhedeg ar ôl gosod llwybrau.

Mae sgript route-up neu fachyn pre-up rheolwr y rhwydwaith yn gweithio’r ddau, a’r gwiriad dibynadwy yw ailgysylltiad wedi’i ddilyn gan yr un chwiliad.

Ar Windows y cyfwerth yw llwybr parhaus a ychwanegwyd gyda -p, sy’n goroesi ailgychwyn ond sy’n dal i orfod pwyntio at y porth cywir ar ôl newid rhwydwaith. Beth bynnag yw’r platfform, ysgrifennwch y rheswm wrth ymyl y llwybr: mae angen i’r gweinyddwr nesaf wybod ei fod yn bodoli i amddiffyn sesiwn rheoli, nid oherwydd bod dyluniad y rhwydwaith wedi’i fynnu.

Pan nad yw llwybr wedi’i binio’n ddigon o hyd

Gall hidlo llwybr cefn ollwng pecyn sy’n cyrraedd ar un rhyngwyneb ac yn gadael drwy un arall, a dyna’n union y mae llwybr wedi’i binio’n ei greu. Gwiriwch y gwerth rp_filter effeithiol cyn analluogi unrhyw beth yn fyd-eang, a chymerwch wella’r anghymesuredd na throi’r gwiriad i ffwrdd. Y gosodiad fesul rhyngwyneb sy’n gymwys, ac mae modd rhydd yn aml ond yn cofnodi’r anghymesuredd yn hytrach na gollwng y pecyn. Darllenwch y ddau cyn dod i’r casgliad mai’r hidlydd yw eich bai.

Mae gwesteiwyr â llwybro polisi angen rheol yn ogystal â llwybr, oherwydd mae’r sylfaen rheolau’n dewis y tabl cyn ystyrir y llwybr ynddo. Mae llwybr yn y tabl main yn anweladwy i lif sy’n cyfateb i reol sy’n pwyntio at dabl arall. Darllenwch y rheolau cyn ychwanegu unrhyw beth at main. Os yw rheol eisoes yn cwmpasu traffig rheoli, mae’r eithriad yn perthyn i dabl y rheol honno yn lle hynny.

Cadwch gonsol all-amledd ar agor wrth brofi, ac ailwirio o ail fewngofnodi cyn datgysylltu’r un rydych chi’n ei ddefnyddio. Mae llwybr sy’n anfon eich traffig rheoli eich hun i’r twnnel yn torri’r cysylltiad rydych chi’n ei drwsio drwyddo. Mae mynd yn ôl i mewn wedyn yn golygu consol gyfresol neu gychwyn achub, sy’n fargen wael am hepgor un cam gwirio.