Y proxy o hyd ar hen gyfeiriad y twnnel ar ôl ailgysylltu â VPN?

Nid yw ailgychwyn y cleient VPN yn profi ond bod y twnnel wedi dod yn ôl. Nid yw’n dweud dim am y proxy y dywedwyd wrtho am adael trwyddo. Mae Squid, tinyproxy a’r rhan fwyaf o anfonwyr eraill yn cadw’r cyfeiriad ffynhonnell lleol a ddatryswyd ganddynt wrth gychwyn nes bod rhywbeth yn eu gorfodi i ail-lwytho. Pan fydd ailgysylltiad yn rhoi cyfeiriad twnnel newydd, naill ai mae’r anfonwr yn methu ar bob cysylltiad allan, neu mae’n dechrau gadael trwy eich llwybr arferol.

Yr ail fethiant hwnnw yw’r un peryglus: mae’r twnnel i fyny, mae tudalennau’n llwytho, a dim ond y cyfeiriad allan sy’n anghywir.

Dechreuwch gyda’r gwrandawr, nid y twnnel

Mae tri chyfeiriad dan sylw, ac mae ailgysylltiad yn symud rhai ohonynt yn unig. Y gwrandawr yw lle mae eich porwr yn pwyntio, fel arfer 127.0.0.1 neu gyfeiriad LAN, ac nid oes ganddo ddiddordeb bod y twnnel wedi newid. Y ffynhonnell leol allan yw’r hyn y mae’r anfonwr yn gofyn i’r cnewyllyn ei ddefnyddio wrth ddeialu’r naid nesaf, ac mae hwnnw’n rhwym wrth ddyfais y twnnel. Yr allanfa gyhoeddus yw’r hyn y mae gweinydd gwe yn ei gofnodi, a allai fod yn gyfeiriad a gyfieithwyd sawl naid i ffwrdd.

Nid yw chwiliad IP cyhoeddus yn ateb ond y cwestiwn olaf. Ni all ddweud wrthych pa gyfeiriad lleol y dylai anfonwr rwymo iddo, oherwydd gall un allanfa gyhoeddus guddio sawl ffynhonnell fewnol. Darllenwch y cyfeiriad gan pwy bynnag sy’n berchen ar y cysylltiad: allbwn statws y cleient, y rhyngwyneb ei hun, neu’r gofod enw lle mae’r twnnel yn byw. Mae cymryd y rhyngwyneb cyntaf y mae ei enw’n edrych fel twnnel yn rhoi’r ateb anghywir cyn gynted ag y bydd ail broffil.

Mae cynlluniau cynwysyddion a gofodau enw yn torri’r rhagdybiaeth yn dawel. Ni all anfonwr mewn un gofod enw rhwydwaith rwymo twnnel sy’n bodoli mewn un arall, ac nid yw unrhyw faint o olygu ffurfweddiad yn trwsio hynny.

Pedwar gwiriad cyn i chi olygu unrhyw beth

Ewch trwy’r rhain mewn trefn. Y gwiriad cyntaf sy’n methu yw’r man lle rydych yn stopio, oherwydd mae’r rhai diweddarach yn cymryd yn ganiataol bod y rhai cynharach yn dal.

1. Cadarnhewch mai’r twnnel sy’n cael ei ddefnyddio yw’r proffil yr adeiladwyd y proxy o’i gwmpas, nid ail broffil a gysylltodd ar ei ben ei hun.
2. Printiwch y cyfeiriad sydd ar y ddyfais honno ar hyn o bryd a’i gymharu â’r cyfeiriad yn y ffurfweddiad sy’n rhedeg.
3. Gofynnwch i’r anfonwr ba ffynhonnell a ddatryswyd ganddo, yn hytrach na’r hyn y mae’r ffeil ar y disg yn ei honni.
4. Cadarnhewch fod traffig o’r anfonwr yn ddarostyngedig i’r polisi llwybro a wal dân yr ydych yn ei ddisgwyl.

Mae cyfeiriad y ddyfais yn hawdd: mae ip -4 addr show dev tun0 yn printio’r un cyfredol, ac mae ip -4 route get 1.1.1.1 yn dangos pa rwyngwyneb y byddai’r cnewyllyn yn ei ddewis ar gyfer y gyrchfan honno. Mae anfonwr sy’n rhwymo cyfeiriad penodol yn methu’n uchel pan fydd y cyfeiriad yn diflannu. Mae anfonwr sy’n rhwymo dyfais, neu’n disgyn yn ôl i’r ffynhonnell ragosodedig, yn dal i weithio ac yn gollwng, a dyna’r canlyniad tawel.

Cysylltwch y ddogfennaeth â’r rhyddhad yr ydych yn ei redeg, nid â’r canlyniad chwilio uchaf. Mae cyfarwyddeb cyfeiriad allan Squid wedi’i dogfennu ar gyfer v7 ac yn gynharach, ac mae dogfennaeth v8 yn dweud yn blwmp fod y gyfarwyddeb ar gael yno, felly nid yw sgript a adeiladwyd o’i chwmpas yn goroesi’r ffin honno (gweler cyfeirlyfr Squid tcp_outgoing_address). Dilyswch gyda pharsiwr y cynnyrch ei hun cyn ail-lwytho unrhyw beth: mae squid -k parse yn adrodd gwallau ac yn gadael heb gyffwrdd â’r broses sy’n rhedeg.

Rhifwch bob twnnel a gwrthodwch gyfnewidiadau darfodedig

Trosglwyddiad yw ailgysylltiad, ac mae angen trefn ar drosglwyddiadau. Tagiwch bob cysylltiad a arsylwyd â chownter neu stamp amser sy’n cynyddu gyda phob sefydliad llwyddiannus, yna cludwch y tag hwnnw o fewn y ffurfweddiad ymgeisiol. Pan fydd y tag ar ymgeisydd yn hŷn na’r un cyfredol, gwrthodwch yr ymgeisydd yn lle ei gymhwyso, oherwydd byddai diweddariad araf a ysgrifennwyd ar gyfer y twnnel blaenorol fel arall yn trosysgrifo’r gosodiadau ar gyfer yr un cyfredol. Cyfunwch fyrstioedd o ddigwyddiadau fel bod cyswllt sy’n fflachio yn cynhyrchu un trosglwyddiad yn lle pymtheg.

Trefnwch y gwaith mewn pedwar symudiad: annilyswch gyflwr allan yr hen un, arhoswch i berchennog y cysylltiad adrodd bod y gwaith wedi’i gwblhau, adeiladwch y darn a reolir yn unig, yna dilyswch a gweithredwch trwy’r rheolwr gwasanaeth. Ailddychmygu’r ffeil gyfan o ddau werth cyfeiriad yw’r ffordd y mae cyfyngiadau gwrandawr, dilysu a pholisi cyrchfan yn diflannu’n dawel. Parchwch stop bwriadol hefyd. Mae cynorthwyydd sy’n parhau i ddeialu twnnel y mae’r defnyddiwr wedi’i ddiffodd yn nam, nid yn gydnerthedd.

Ni fydd socedi agored yn dilyn y cyfeiriad newydd

Nid yw ailffurfweddu’r anfonwr yn dweud dim am gysylltiadau sydd eisoes wedi’u sefydlu. A ydynt yn draenio neu’n marw yn dibynnu ar y cynnyrch, felly arsylwch ymddygiad yn lle ei dybio.

Mae cais a weinir dros soced a agorwyd cyn y cyfnewidiad yn dal i adael trwy’r hen lwybr, hyd yn oed pan fydd y ffurfweddiad newydd yn gywir. Os yw hynny’n bwysig, penderfynwch yn bendant: caniatáu ffenestr ddraenio fer a stopio derbyn gwaith newydd, neu derfynu’r hen socedi a derbyn y gwallau. Yna profwch â chysylltiad newydd a chadwch y canlyniad hwnnw ar wahân i’r gwiriad draenio. Nid yw rhwymo ffynhonnell yn ffin diogelwch chwaith. Pan na ddylai traffig byth gyffwrdd â’r llwybr arferol, gorfodwch hynny â nodau a rheolau wal dân, gan gynnwys DNS ac IPv6, fel bod ail-lwytho’n methu yn gadael y proxy wedi’i ddiffodd yn bendant yn lle’n agored.

Profwch yr allanfa newydd â chais newydd

Y peth sy’n bwysig yw cais a agorwyd ar ôl gweithrediad, nid ping ac nid tudalen a oedd eisoes wedi’i chache. Gofynnwch i’r proxy am URL go iawn a darllenwch y cyfeiriad allan y mae’r pen pell yn ei adrodd, yna ei gymharu â golwg y cleient ei hun ar y twnnel pan fydd y darparwr yn datgelu un.

Cadwch y parsio, yr ail-lwytho a’r cais yn orchmynion ar wahân fel bod methiant yn pwyntio at un cam. Nid yw’r ddau gyntaf yn newid dim pan fyddant yn methu, a dyna’n union pam maent yn rhedeg cyn yr ailgychwyn.

squid -k parse
sudo squid -k reconfigure
curl -x http://127.0.0.1:3128 -sS -o /dev/null -w '%{http_code} %{remote_ip}\n' https://example.com

Os bydd yr ail-lwytho’n methu, stopiwch y gwasanaeth a thrwsiwch y darn; mae proxy sy’n gweini ag allanfa hen yn waeth na chyfnod byr o fethiant. Os bydd yr ail-lwytho’n llwyddo ond bod y cais newydd yn dal i adael yn rhywle annisgwyl, dychwelwch at y gwiriad llwybro yn lle golygu cyfeiriadau eto. Cofnodwch y genhedlaeth twnnel y gwnaethoch ddilysu yn ei herbyn, fel bod gan yr ailgysylltiad nesaf rywbeth pendant i’w gymharu.