Twnnel llawn neu lwybr pen y pen: cadw gweinydd VPN yn gyrraeddadwy

Ychwanegwch lwybr diofyn drwy'r twnnel, a bydd pecynnau'r twnnel ei hun yn ei ddilyn. Yna mae'r tabl yn cynnwys rheol sy'n ei threchu ei hun. Mae'r cysylltiad wedi'i amgryptio i'r gweinydd yn ceisio teithio y tu mewn i'r cysylltiad y mae'n ceisio ei sefydlu.

Mae dau fecanwaith yn atal y ddolen honno. Mae un i'w weld yn y tabl llwybrau, mae'r llall yn byw y tu mewn i'r cymhwysiad.

Mae traffig mewnol ac allanol yn benderfyniadau gwahanol

Mae pecyn cymhwysiad yn mynd i mewn i'r rhyngwyneb rhithwir ac yn cael ei amgryptio mewn capsiwl. Y canlyniad yw pecyn newydd wedi'i gyfeirio at gyfeiriad cyhoeddus y gweinydd. Mae angen llwybr ar y pecyn hwnnw ar y rhwydwaith ffisegol, oherwydd ni chaiff dim ohono fynd i mewn i'r twnnel.

Mae'r ddau yn benderfyniadau llwybro, a dim ond yr un cyntaf sy'n perthyn i'r twnnel. Pan fydd y cleient yn gosod llwybr diofyn sy'n cynnwys y gweinydd hefyd, mae'r pecyn allanol yn cael ei ddal hefyd.

Mae'r symptomau yn syth ac yn llwyr. Mae'r handshake yn cwblhau ac yna nid oes dim yn llifo, neu mae'r cysylltiad yn gollwng yr eiliad y gosodir y llwybr. Naill ffordd neu'r llall ni all y keepalive adael mwyach.

Opsiwn un: llwybr gwesteiwr ar gyfer pen y pen

Mae'r dull uniongyrchol yn ychwanegu llwybr ar gyfer cyfeiriad y gweinydd drwy'r porth gwreiddiol. Mae'n cymryd un llinell. Mae'n weladwy i unrhyw un sy'n darllen y tabl. Mae hefyd yn hawdd ei esbonio mewn cofnod newid.

Mae ei wendid yn ymddangos pan fydd y llwybr sylfaenol yn newid. Mae'r llwybr a gadwyd yn enwi porth a rhyngwyneb o'r hen rwydwaith. Ar ôl newid Wi-Fi efallai nad yw'r porth hwnnw'n bodoli, ac mae'r llwybr yn aros ar ôl, yn edrych yn gywir ac yn gwneud dim.

# before the tunnel: which path reaches the endpoint?
ip route get 198.51.100.7

# pin it through the current gateway
ip route add 198.51.100.7/32 via 192.168.1.1 dev wlan0

# after the tunnel is up, confirm the pin survived
ip route get 198.51.100.7

Mae enw gwesteiwr yn gwneud hyn yn anoddach. Os yw pen y pen yn enw sy'n datrys i sawl cyfeiriad, rhaid i'r eithriad gynnwys y cyfeiriad sy'n cael ei ddefnyddio mewn gwirionedd. Gall chwiliad diweddarach ddychwelyd rhywbeth na chafodd y llwybr ei gynnwys erioed.

Opsiwn dau: diogelu'r soced

Nid yw'r dull arall byth yn cyffwrdd y tabl llwybro. Mae'r cleient yn marcio neu'n diogelu'r soced sy'n cario'r twnnel, felly mae'r system weithredu yn anfon traffig y soced hwnnw y tu allan i'r twnnel yn ôl polisi. Mae Android yn datgelu'r mecanwaith yn uniongyrchol i gymwysiadau VPN. Mae cleientiaid pen desg yn gweithredu cyfatebolion gyda marciau wal dân neu alwadau clymu-i-ddyfais.

Y fantais yw bod yr eithriad yn dilyn y cysylltiad yn hytrach na phorth a gadwyd. Mae newid rhwydwaith yn ailysgrifennu'r llwybr sylfaenol, ac mae'r soced gwarchodedig yn symud gyda hi oherwydd na chafodd ei binio i gyfeiriad erioed. Mae'r tabl llwybrau yn aros yn lân.

Y gost yw gwelededd. Nid oes dim yn y tabl llwybro yn dangos yr eithriad, felly mae adolygydd sy'n chwilio am lwybr gwesteiwr yn dod o hyd i ddim ac yn gallu casglu bod y dyluniad yn anniogel. Mae'r amddiffyniad yn byw yng nghod y cleient ac yn y rheolau polisi y mae'r cod hwnnw'n eu gosod.

Dewis rhyngddynt

Dewiswch y mecanwaith ar lefel soced pan fydd y cleient yn ei gefnogi, oherwydd mae'n goroesi'r newidiadau rhwydwaith sy'n torri llwybr wedi'i binio. Dewiswch y llwybr gwesteiwr pan fydd yr eithriad yn gorfod bod yn weladwy i offer eraill, neu pan nad yw'r cleient yn cynnig dim gwell.

Nid yw'r naill fecanwaith na'r llall yn dileu'r angen i gyfeiriad y gweinydd fod yn gyrraeddadwy o gwbl. Mae gan borth preifat gyfeiriad gwrandawr cyhoeddus, a'r cyfeiriad hwnnw yw'r hyn sy'n gorfod aros y tu allan i'r twnnel. Dim ond ar ôl i'r twnnel fodoli y mae'r rhwydweithiau mewnol y tu ôl iddo yn dod yn gyrraeddadwy.

Pa un bynnag a ddewiswch, cadwch ef gyda'r gydran sy'n berchen ar y twnnel. Mae llwybr gwesteiwr crwydrol a ychwanegwyd â llaw yn gweithio hyd at y rhwydwaith nesaf, ac yna mae'n troi'n ddiffyg dirgel yfory.