Cadwch y llwybrau preifat a gollyngwch yr ailgyfeiriad: twndl hollt OpenVPN

Mae’r twndl yn dod i fyny, mae’r rhaglen yn llwytho, ac yna mae popeth arall ar y gliniadur yn dechrau ymddwyn yn rhyfedd. Dyna’r siâp arferol o bolisi preifat yn unig a weithredir drwy ddileu un llinell. Mae tynnu llwybr diofyn a wthiwyd yn newid i ble mae’r traffig yn mynd, ond nid yw’n dweud i ble y dylai’r traffig fynd yn lle hynny, ac nid yw’n cyffwrdd â datrysiad enwau o gwbl. Mae angen dwy hanner gadarnhaol ar bolisi cyn y gellir ei brofi.

Nid yw dileu’r ailgyfeiriad ond hanner y newid

Mae ailgyfeiriad twndl llawn a pholisi preifat yn unig yn wahanol yn yr hyn maent yn ei honni am y byd. Mae’r ailgyfeiriad yn hawlio pob cyrchfan, tra bo’r polisi preifat yn hawlio rhestr ac yn gadael y gweddill yn llonydd. Mae dileu’r hawliad heb ysgrifennu’r rhestr yn cynhyrchu cleient nad yw’n cyrraedd dim y tu allan i’r rhwydwaith lleol, sy’n edrych fel methiant llwybro yn hytrach na bwlch polisi. Ysgrifennwch y rhestr cyn i chi ddileu’r hawliad, ac mae trefn y ddau gam hynny’n peidio â bod o bwys.

Mae’r ddwy hanner yn ofynion yn hytrach na diofynion. Rhaid i ragddodiaid preifat fynd i mewn i’r twndl, a rhaid i gyrchfannau cyffredin gadw’r llwybr oedd ganddynt cyn y cysylltiad.

Os yw sefydliad yn gorfodi twndl llawn, nid yw dim o hyn yn berthnasol. Mae’r dyluniad preifat yn unig yn perthyn i osodiadau lle mae llwybro hollt wedi’i gymeradwyo.

Mae pull-filter yn gyfatebiaeth, nid yn swits

Mae’r gyfarwyddeb pull-filter yn tynnu opsiynau a wthiwyd y mae eu henwau’n cyfateb i ragddodiad, a dyna’r cyfan mae’n ei wneud. Mae anwybyddu’r ailgyfeiriad yn gadael pob opsiwn arall a wthiwyd yn ei le, sef yn aml yr hyn rydych ei eisiau: mae llwybrau, gosodiadau DNS a gwerth porth llwybr i gyd yn dal i gyrraedd. Ni all ychwaith dynnu cyfarwyddeb a ysgrifennwyd yn y proffil lleol, oherwydd bod hidlo’n berthnasol i’r hyn mae’r gweinydd yn ei wthio.

Gwrthwynebwch y demtasiwn i anwybyddu pob opsiwn sy’n dechrau gyda route. Mae’r patrwm hwnnw hefyd yn taflu’r llwybrau preifat sydd eu hangen ar y cysylltiad, a gall ollwng gwybodaeth porth y mae’r twndl yn dibynnu arni.

Mae route-nopull yn benderfyniad ehangach nag y mae’n edrych. Mae’n atal y cleient rhag derbyn llwybrau a wthiwyd ac opsiynau ar ffurf DHCP fel grŵp, sy’n bolisi gwahanol i hidlo un opsiwn allan.

Ysgrifennwch y rhestr llwybrau o’r rhaglen tuag allan

Dechreuwch o’r hyn y mae’r defnyddiwr yn ei agor mewn gwirionedd, yna ychwanegwch y darnau cynhaliol. Mae rhaglen yn 10.60.20.15 yn awgrymu ei is-rwydwaith 10.60.0.0/16, ac mae enw preifat yn awgrymu’r datryswr sy’n ateb ar ei gyfer. Felly mae angen dwy gyrchfan ac un penderfyniad DNS ar ddefnyddiwr a ofynnodd am un rhaglen. Mae popeth y tu hwnt i’r rhestr honno allan o gwmpas yn ôl ei chynllun, a dyna sy’n cadw’r polisi’n adolygadwy.

Ar weinydd cydweithredol mae’r rheini’n dod yn ddau lwybr a wthiwyd, ac nid yw’r naill na’r llall yn ailgyfeiriad. Cadwch dopoleg y twndl a gwerthoedd porth llwybr y mae’r gwasanaeth presennol yn eu darparu.

Pan mai dim ond rhai defnyddwyr sydd angen y polisi hwn, cymhwyswch ef fesul cleient neu fesul grŵp. Newid llwybro pawb i drwsio gofyniad un tîm yw’r ffordd y mae twndl hollt yn troi’n waharddiad gwasanaeth.

Gadewch i DNS ddilyn yr un llwybr

Nid yw llwybr i’r datryswr yn bolisi datryswr. Ar gleient systemd-resolved y canlyniad semantig yw parth llwybro ar gyfer y gofod enwau preifat sy’n pwyntio at y datryswr mewnol, a dyna sy’n gwneud i’r enwau hynny’n unig ei ddefnyddio. Mae angen mecanwaith polisi gofod enwau ei hun ar gleient Windows yn lle hynny. Nid yw llinell gweinydd DNS yn y proffil yn gosod y naill na’r llall ar ei phen ei hun.

Edrychwch ar yr hyn a ddewisodd y system weithredu yn hytrach nag ar yr hyn y gofynnodd y proffil amdano. Ar Linux mae resolvectl status yn dangos y parth a’r gweinydd fesul cyswllt; ar Windows y tabl polisi gofod enwau yw’r dystiolaeth gyfatebol.

Cadwch y datryswr yn gyrraeddadwy drwy’r twndl, neu mae’r polisi’n pwyntio at gyfeiriad na ellir ei holi. Mae cyfeiriad datryswr nad yw’r twndl yn ei gyrraedd yn troi polisi sy’n gweithio yn gyfnod aros.

Gwiriwch y ddwy hanner wrth ailgysylltu

Ailgysylltwch y cleient ar ôl y newid ac archwilwch y llwybr effeithiol i gyfeiriad preifat ac i gyfeiriad cyhoeddus. Yna datryswch enw preifat ac enw cyhoeddus a chadarnhewch fod pob un wedi defnyddio’r datryswr a fwriadwyd. Mae gwefan gyhoeddus yn llwytho yn profi’r ail hanner yn unig, a dyna’r hanner sy’n gweithio ar hap fel arfer.

Cofnodwch y polisi gorffenedig mewn un frawddeg: mae’r rhagddodiaid a’r enwau hyn yn defnyddio’r cysylltiad hwn, mae popeth arall yn dilyn y llwybr lleol. Yna cadwch ef yn y proffil yn hytrach na thrwsio gosodiadau addasydd ar ôl pob mewngofnodi.