Eicon gwyrdd, un IP gyhoeddus: pa lwybr y gwnaeth y VPN ei hepgor

Wedi cysylltu, eicon gwyrdd yn y hambwrdd, a thudalen atsain cyfeiriad yn dal i ddangos cyfeiriad y darparwr, nid yw hynny'n golygu nam yn awtomatig. Mae cleient yn gwneud dau waith ar wahân: mae'n adeiladu twnnel, ac mae'n golygu'r tabl llwybro. Gall y naill ddigwydd heb y llall, a llwybro dethol yw'r ffurfweddiad lle anwybyddir yr ail yn fwriadol.

Yr hyn a osododd y cleient mewn gwirionedd

Gofynnwch pa rwydwedd a gludai becyn i gyrchfan go iawn yn lle gofyn a yw'r twnnel i fyny. Mae twnnel heb lwybr i'r gyrchfan honno yn ffordd breifat nad oes neb yn ei defnyddio.

ip route get 9.9.9.9
Find-NetRoute -RemoteIPAddress 9.9.9.9
route print -4

Mae'r gorchymyn cyntaf yn ateb ar Linux a macOS, a'r ddau arall yw'r cyfatebol ar Windows lle mae un yn ddigon. Os yw'r ateb yn enwi'r addasydd ffisegol, mae'r twnnel i fyny ac ni symudodd y llwybr diofyn erioed. Ailadroddwch y chwiliad ar gyfer cyrchfan a ddylai ddefnyddio'r twnnel, oherwydd mae dau chwiliad, un o bell ac un cyffredin, yn dweud pa ddyluniad sydd wedi'i osod.

Tri siâp o lwybro dethol

Mae proffil twnnel llawn fel arfer yn ysgrifennu llwybr diofyn sy'n pwyntio at y rhwydwedd, neu'n ysgrifennu'r pâr o ragddodiadau hanner-amrediad sy'n ennill ar hyd rhagddodiad tra bo'r llwybr diofyn gwreiddiol yn aros yn y tabl. Llwybro dethol yw'r dewis arall, ac mae'n dod ar sawl ffurf. Mae un proffil yn llwybro un gwesteiwr fel gweinydd RDP, mae un arall yn llwybro amrediad cyhoeddus y mae'n rhaid ei gyrraedd o le penodol, ac mae trydydd yn eithrio un rhaglen yn fwriadol. Mae'r tri yn ddeddfus, ac nid oes yr un yn newid y cyfeiriad y mae gwefan gyffredin yn ei weld.

grep -nE "redirect-gateway|route-nopull|route " /etc/openvpn/client/*.conf
ip route show table main | head -20

Darllenwch y proffil am y gorchymyn sy'n penderfynu, ac yna'r tabl am yr hyn a gynhyrchodd. Gellir atal gorchymyn a wthiwyd ar y cleient hefyd, a dyna pam mae'n rhaid i'r proffil a'r tabl gytuno cyn i chi feio'r gweinydd.

Rhaid i'r ochr bell ailysgrifennu'r cyfeiriad ffynhonnell

Mae ail fethiant sy'n edrych yn union yr un fath o'r porwr. Mae'r llwybr yn mynd i'r twnnel, mae'r gweinydd yn derbyn y pecynnau, ac yna'n eu hanfon ymlaen gyda chyfeiriad preifat y cleient yn gyfan. Nid oes gan y naid nesaf lwybr dychwelyd ar gyfer y cyfeiriad hwnnw, felly mae atebion yn diflannu ac mae tudalennau'n hongian. Rhaid i'r gweinydd anfon o gwbl, a rhaid iddo gyfieithu'r ffynhonnell yn rhywbeth y gall y rhyngrwyd ei lwybro'n ôl.

sysctl net.ipv4.ip_forward
iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
iptables -t nat -S | grep MASQUERADE

Enwch y rhwydwedd sy'n wynebu'r rhyngrwyd mewn gwirionedd, nad yw bob amser yn eth0 ar ddosbarthiad modern. Gall gweinydd a gynhelir â chyfeiriad sefydlog gyfieithu'n benodol i'r cyfeiriad hwnnw yn lle defnyddio masquerade. Mae'r ddau hanner yn bwysig, oherwydd mae anfon heb gyfieithu yn gollwng ffynonellau na ellir eu llwybro tra nad yw cyfieithu heb anfon byth yn gweld y pecyn.

Mae datrys enwau'n cymryd ei lwybr ei hun

Gall traffig adael trwy'r twnnel tra bo'r chwiliad a ddaeth o hyd i'r enw wedi mynd i ddatryswr ar y rhwydwaith lleol. Mae'r cyfeiriad gweladwy yn aros yr un fath, nid felly'r ymholiadau, a'r bwlch hwnnw yn union yw'r hyn y mae dyluniad DNS hollt yn ei ddewis.

resolvectl status | head -20
resolvectl query example.org

Nodwch pa weinydd a atebodd ac a yw'n wahanol i'r llinell sylfaen cyn y twnnel. Ar dwnnel hollt dyma fel arfer y gosodiad yr oedd pobl am ei newid pan gwynasant am y cyfeiriad, a dyma'r un na chymerasant unrhyw sylw ohono.

Pedwar arsylwad sy'n setlo'r mater

Cofnodwch y cyfeiriad allan â'r twnnel i lawr, ac yna gyda'r twnnel i fyny. Rhedwch y chwiliad cyrchfan yn y ddau gyflwr a nodwch y rhwydwedd bob tro.

curl -sS https://ifconfig.me/ip
ip route get 9.9.9.9

Pan fydd y chwiliad yn glanio y tu mewn i'r twnnel ac mae'r atsain yn dal i ddangos cyfeiriad y darparwr, mae cyfieithu yn y man allan ar goll. Pan fydd y chwiliad yn glanio ar yr addasydd ffisegol, mae'r proffil yn ddethol ac ni fu'r cyfeiriad cyhoeddus yn y sgôp erioed. Amnewidiwch wasanaeth atsain rydych yn ymddiried ynddo a chofnodwch y pedwar arsylwad gyda'i gilydd, oherwydd ar wahân maent yn anecdotau. Gyda'i gilydd maent yn nodi pa un o'r ddau waith a wnaeth y cleient mewn gwirionedd.