Sut i anfon un cyrchfan IPv4 y tu allan i dwnnel OpenVPN

Mae'r rhan fwyaf o osodiadau twnnel llawn yn anfon pob pecyn drwy'r VPN, a redirect-gateway yw'r cyfarwyddyd sy'n gwneud hynny'n bosibl. Gellir esgusodi un gyrchfan o hyd. Mae ychwanegu llwybr gwesteiwr ar gyfer y cyfeiriad hwnnw gyda'r deiliad lle net_gateway yn dweud wrth y cleient i'w gyrraedd drwy giât wreiddiol y peiriant, tra bo popeth arall yn dal i ddefnyddio'r twnnel.

Mae'r llinell yn edrych yn ddiniwed ac yn aml felly y mae, ond dim ond un cwestiwn y mae'n ei setlo: i ble mae pecynnau ar gyfer y cyfeiriad IPv4 union hwnnw yn mynd. Nid yw'n newid DNS, IPv6, polisi'r mur tan, na pha broses a agorodd y cysylltiad, a gall pob un o'r rhain drechu'r eithriad yn ddistaw.

Beth mae net_gateway yn ei enwi mewn gwirionedd

Un llinell yw cofnod y proffil ar gyfer yr eithriad hwnnw: route 198.51.100.77 255.255.255.255 net_gateway. Mae'r cyfeiriad cyntaf yn ddeiliad lle dogfennaeth ar gyfer y gyrchfan, mae'r mwgwd yn ei wneud yn llwybr un gwesteiwr, ac mae'r tocyn olaf yn enwi deiliad lle'r giât. Mae OpenVPN yn datrys deiliaid lle'r giât pan fydd yn gosod llwybrau. Mae vpn_gateway yn golygu giât y twnnel ei hun, sef ochr bell y ddolen VPN. Mae net_gateway yn golygu'r giât ragosodedig a oedd gan y gwesteiwr cyn i'r VPN newid unrhyw beth, sef y llwybrydd lleol ar y rhwydwaith ffisegol fel arfer.

Mae trydydd deiliad lle, remote_host, yn cyfeirio at gyfeiriad gweinydd y VPN, ac mae'n bodoli fel y gall y twnnel gyrraedd y gweinydd ar hyd y llwybr ffisegol. Cymysgu'r tri hyn yw'r rheswm mwyaf cyffredin dros i eithriad fynd i'r lle anghywir, neu fethu â gosod o gwbl.

Darllenir y gwerth ar amser cysylltu, nid ei ysgrifennu i'r ffeil. Os yw'r peiriant yn symud i rwydwaith arall, mae'r giât cyn y VPN yn newid ac mae'r llwybr yn dilyn yr un newydd. Fel arfer dyna'r hyn rydych chi ei eisiau, ond mae hefyd yn golygu bod ymddygiad yr eithriad yn dibynnu ar y rhwydwaith y dechreuodd y cleient ohono.

Pam mae llwybr gwesteiwr yn curo llwybr rhagosodedig y twnnel

Penderfynir llwybro gan y rhagddodiad cyfatebol mwyaf penodol. Nid yw redirect-gateway def1 fel arfer yn disodli'r llwybr rhagosodedig; mae'n ychwanegu dau hanner, llwybr ar gyfer hanner isaf y gofod cyfeiriadau ac un ar gyfer yr hanner uchaf, felly cedwir y llwybr rhagosodedig gwreiddiol at ddibenion eraill. Mae'r haneri hynny'n fwy eang nag un cyfeiriad.

Mae llwybr ar gyfer un cyfeiriad gyda mwgwd 255.255.255.255 yn /32, sy mor benodol ag y mae IPv4 yn mynd. Pan fydd pecyn ar gyfer y cyfeiriad hwnnw'n cael ei werthuso, mae'r /32 yn cyfateb ac yn ennill waeth pa lwybr a osodwyd gyntaf. Dyma'r mecanwaith y tu ôl i'r eithriad, ac mae'n gweithio'r un fath ar Linux, macOS a Windows cyhyd ag y bo'r llwybr yn bresennol mewn gwirionedd.

Mae Windows yn ychwanegu ail ddimensiwn. Pan fydd dau lwybr yr un mor benodol, bydd yr un â'r metrig is yn ennill, a gall addasydd VPN gario metrig rhyngwyneb sy'n newid y canlyniad. Mae /32 yn dal yn fwy penodol na'r haneri, felly mae'r eithriad fel arfer yn dal, ond gall llwybr hen o sesiwn flaenorol gynhyrchu canlyniad dryslyd os yw'r un mor benodol.

Beth nad yw'r eithriad yn ei gwmpasu

DNS yw'r bwlch cyntaf. Gall y cleient wthio gosodiadau datrysiad mewnol, a bydd y system weithredu'n parhau i'w defnyddio ar gyfer chwiliadau. Gall cymhwysiad sy'n datrys enw cyn cysylltu dderbyn cyfeiriad mewnol ar gyfer gwasanaeth y dylid mynd yn syth ato, neu gyfeiriad allanol sy'n datrys yn gywir ond wedyn yn baglu dros y bwlch nesaf.

IPv6 yw'r ail. Dim ond IPv4 y mae'r cyfarwyddyd llwybr yn ei drin. Gall cyrchfan deu-stac ffafrio IPv6, sy'n dilyn y twnnel neu lwybr rhagosodedig IPv6 y gwesteiwr yn dibynnu ar bolisi, felly ni ddaw'r eithriad IPv4 i rym byth. Mae angen llwybr IPv6 cyfatebol arnoch, neu benderfyniad bwriadol i analluogi IPv6 ar gyfer y cleient hwnnw.

Cwmpas cymhwysiad yw'r trydydd. Mae'r rheol yn seiliedig ar gyrchfan, felly mae pob proses sy'n cysylltu â'r cyfeiriad hwnnw'n defnyddio'r llwybr uniongyrchol, boed yr un a oedd gennych mewn golwg ai peidio. I'r gwrthwyneb, gall gwefan ateb o sawl cyfeiriad, felly nid yw eithrio un /32 yn eithrio'r safle. Os mai'r gofyniad go iawn yw llwybro fesul cymhwysiad, tabl llwybrau cleient Community yw'r offeryn anghywir.

Gwirio'r eithriad heb dwyllo'ch hun

Dechreuwch gyda'r llwybr a osodwyd, nid â phorwr. Ar Linux, gofynnwch i'r cnewyllyn pa lwybr a naid nesaf y bydd yn ei ddefnyddio ar gyfer y cyfeiriad penodol; ar Windows, darllenwch y tabl llwybrau ar gyfer y /32 hwnnw. Cadarnhewch mai'r giât ffisegol yw hi, ac nid y twnnel. Os yw'r cofnod ar goll, ni chafodd y proffil ei gymhwyso neu nid oedd gan y cleient y braint i newid llwybrau.

Yna profwch ddwy gyrchfan. Dylai cais i'r cyfeiriad a eithriwyd adael drwy'r rhyngwyneb ffisegol, a dylai cais i gyfeiriad mewnol rheoli ddefnyddio'r twnnel o hyd. Nid yw profi dim ond y cyfeiriad a eithriwyd yn profi dim am weddill y twnnel, ac mae profi gwefan gyhoeddus yn profi pa gyfeiriad bynnag y datryswyd y safle hwnnw iddo, nad yw o bosibl yr un sydd yn y rheol.

Yn olaf, gwiriwch y rheolyddion a all orbwyso'r llwybr. Gall kill switch ar ochr y cleient neu osodiad block-outside-dns Windows wahardd traffig uniongyrchol, sy'n ymddangos fel cysylltiad sy'n methu er bod y llwybr yn gywir. Peidiwch ag analluogi'r rheolyddion hynny i beri i'r eithriad ymddangos fel pe bai'n gweithio; os yw'r polisi'n gwahardd y llwybr uniongyrchol, mae'r eithriad yn broblem ddylunio i bwy bynnag sy'n berchen ar y gwasanaeth VPN.

Ailwirio ar ôl ailgysylltu neu newid rhwydweithiau, oherwydd mae'r giât cyn y VPN a'r llwybr sydd ar gael yn briodweddau'r foment, nid y proffil.