Pam mae llwybr twnnel llawn yn torri’r gweinydd sy’n ei gario

Trowch twnnel llawn ymlaen ac mae pob cyrchfan bellach yn perthyn i ryngwyneb y VPN, gan gynnwys y peiriant sy’n ei derfynu. Mae’r pecynnau allanol sy’n cario’r twnnel wedi’u cyfeirio at y peiriant hwnnw, felly mae’r llwybr yn bwyta’r cludiant y mae’n dibynnu arno. Mae un llwybr penodol ychwanegol yn ei ddatrys, ac mae’r rheswm yn werth ei ddeall. Heb y rheswm hwnnw, bydd yr ailadeiladu nesaf yn ailgyflwyno’r nam.

Llwybr sy’n bwyta ei gludiant ei hun

Mae encapswleiddio’n lapio pob pecyn mewn ail bennawd. Mae’r un allanol wedi’i gyfeirio o’r cyfeiriad corfforol lleol i gyfeiriad cyhoeddus y gweinydd, ac mae’n rhaid iddo groesi’r cyswllt corfforol cyn y gall unrhyw dwnnel fodoli.

Nawr gadewch i’r chwiliad am y cyfeiriad cyhoeddus hwnnw ddewis y twnnel. I anfon y pecyn, rhaid i’r peiriant ei encapswleiddio, sy’n gofyn am lwybr i’r un cyfeiriad, sy’n dychwelyd y twnnel. Mae cleientiaid yn ymdopi â hyn mewn un o ddwy ffordd. Mae un gofalus yn gwrthod gosod y llwybr diofyn ac yn adrodd gwall, tra bod un llai gofalus yn adrodd llwyddiant ac yna’n symud dim. Y methiant tawel yw’r un sy’n costio prynhawn.

Mae cyfatebiaeth rhagddodiad hiraf yn penderfynu’r chwiliad cyn ymgynghori ag unrhyw fetrig, felly mae llwybr un cyfeiriad yn rhagori ar bob llwybr diofyn ar y peiriant. Dyna’r holl fecanwaith y tu ôl i’r atgyweiriad.

Gosodwch yr eithriad cyn y diofyn

Crëwch lwybr un cyfeiriad ar gyfer y gweinydd, gyda’r porth corfforol fel y naid nesaf, cyn i’r llwybr diofyn symud. Mae trefn yn bwysig: gosod ar ôl hynny yn golygu byw gyda thwnnel wedi torri wrth i chi deipio.

Mae’r rhan fwyaf o gleientiaid yn gwneud hyn heb gais. OpenVPN yn chwilio’r cyfeiriad anghysbell ac yn ei binio cyn ailysgrifennu’r porth diofyn, ac mae ei opsiwn route-delay yn bodoli ar gyfer platfformau lle mae’r dilyniant hwnnw’n rasio. Mae wg-quick yn cymryd ffordd hollol wahanol, gan farcio pecynnau ac ymgynghori â rheol polisi yn hytrach nag ychwanegu eithriad. Mecanweithiau gwahanol, un gofyniad: rhaid i’r pecyn allanol ddianc o’r twnnel y mae’n ei greu.

ip route add 203.0.113.10/32 via 192.168.1.1 dev eth0
ip route get 203.0.113.10

Allbwn y chwiliad yw’r prawf derbyn. Rhaid iddo enwi’r ddyfais gorfforol a’r naid gorfforol nesaf. Mae dyfais twnnel yn yr ateb hwnnw’n golygu bod yr eithriad ar goll, neu wedi’i osod ar ôl rhywbeth sy’n ei ddiystyru.

Y ddelwedd drych ar y gweinydd

Mae’r un trap yn aros ar yr ochr bellaf, wedi’i wrthdroi. Rhowch lwybr diofyn i’r gweinydd trwy dwnnel arall, neu gwthiwch lwybr iddo sy’n cwmpasu cyfeiriadau cyhoeddus y cleientiaid, a bydd ei atebion yn ennill arferiad mynd y ffordd anghywir.

Dychmygwch gleient sy’n cysylltu ac yn anfon cais. Mae’r ateb wedi’i gyfeirio at gyfeiriad cyhoeddus y cleient hwnnw, sydd bellach yn cyfateb i lwybr twnnel, felly mae’n gadael o ryngwyneb gwahanol gan gario ffynhonnell na ddeialodd y cleient erioed. Gall y cleient dderbyn y pecyn hwnnw ac eto ei daflu, oherwydd nid oes dim yn ei gysylltu â’r cais a anfonodd. Gweithiwch o benderfyniad llwybro’r gweinydd yn hytrach nag o gyfnod aros y cleient, gan mai dim ond un ohonynt sy’n dangos y dewis gwirioneddol.

ip route get 198.51.100.44 from 10.90.0.1
ip rule show
sudo tcpdump -ni any host 198.51.100.44

Mae tair atgyweiriad yn bodoli ac nid ydynt yn gyfartal. Mae pinio’r gwasanaeth i’r cyfeiriad corfforol, neu gyfieithu’r ffynhonnell, y ddau yn cuddio’r penderfyniad llwybro yn hytrach na’i gywiro. Mae anfon traffig ateb ar gyfer cronfa’r twnnel trwy dabl penodol yn trwsio’r achos, ac mae’r ddau arall yn dderbyniol dim ond tra bod y dyluniad llwybro wedi’i rewi.

Eithriadau y mae’r twnnel yn parhau i’w dwyn

Mae llond llaw o dasgau angen y rhyngrwyd agored hyd yn oed tra bod y twnnel yn berchen ar y llwybr diofyn, ac mae angen ei eithriad ei hun ar bob un. Yr diweddarwr DNS deinamig yw’r cyntaf i dorri fel arfer.

Mae’n datrys y darparwr, yn agor cysylltiad, ac yn darganfod bod ei becynnau ei hun yn teithio trwy dwnnel y newidiodd ei gyfeiriad eiliadau yn ôl, felly mae’r diweddariad yn methu neu’n cyhoeddi’r cyfeiriad anghywir. Tri ffordd allan: pinio’r darparwr â llwybr gwesteiwr trwy’r porth corfforol, rhedeg y diweddariad cyn i’r twnnel godi, neu roi tabl polisi i’r diweddarwr nad yw’r twnnel byth yn ei gyffwrdd. Mae cydamseru amser yn wynebu’r un datguddiad ar ddyfais sy’n cychwyn heb ddatryswr, ac mae pwyntiau dilysu tystysgrifau yn perthyn i’r rhestr am yr un rheswm.

Mae eithriad na ysgrifennodd neb i lawr yn eithriad y bydd yr ailadeiladu nesaf yn ei ollwng yn dawel.

Profwch ef ar ôl ailgysylltu, nid cyn hynny

Profwch dair cyrchfan, nid un: y pen draw, cyfeiriad preifat y tu ôl i’r twnnel, a chyfeiriad cyhoeddus y tu hwnt iddo. Nid yw un chwiliad llwyddiannus yn dweud fawr ddim am y ddau arall.

ip route get 203.0.113.10
traceroute -n 203.0.113.10
ip route get 10.90.0.5
ip route get 1.1.1.1

Yna ailgychwynwch y cysylltiad, oherwydd bydd cleient sy’n ailadeiladu ei dabl wrth ailgysylltu yn taflu llwybr y gwnaethoch ei deipio â llaw. Gyda kill switch ar waith, gwiriwch fod y pen draw yn cael ei ganiatáu, neu ni all y twnnel ddychwelyd ar ôl newid rhwydwaith a bydd y symptom yn edrych fel toriad. Storiwch yr eithriad yn y proffil neu’r ffeil unit yn hytrach nag yn hanes y shell, fel bod yr ailgysylltu’n ei ail-greu yn hytrach na’i ddileu.