Llwybro cleientiaid OpenVPN trwy Cloudflare? Gwiriwch y rôl yn gyntaf
Nid yw cleient dyfais yn llwybrydd. Cadarnhewch fod rôl Cloudflare yn anfon pecynnau gwesteiwyr eraill ymlaen, yna cadwch dwnnel y gweinydd ei hun ar ei hen lwybr.
Mae gennych weinydd OpenVPN sy'n gweithio a gwesteiwr sydd hefyd yn rhedeg meddalwedd dyfais Cloudflare, ac mae'r cam nesaf amlwg yn edrych fel cyfeirio traffig y cleientiaid ato. Nid yw dau gysylltiad sy'n gweithio ar un peiriant yn gwneud porth tramwy. Yr hyn sydd ar goll yw rôl a ddogfennwyd i anfon pecynnau sy'n perthyn i rywun arall ymlaen, a pholisi sy'n dosbarthu'r pecynnau hynny pan gyrhaeddant.
O flaen unrhyw reol daw pedwar cwestiwn: pa draffig sy'n dod i mewn, i ble mae'n mynd nesaf, sut mae'r atebion yn dod o hyd i'r ffordd yn ôl, a beth mae'r dyluniad yn ei wneud pan fydd yr ail lwybr hwnnw yn methu. Mae'r ddau gyntaf yn gwestiynau gallu.
Nid yw dwy wasanaeth ar un gwesteiwr yn llwybr tramwy
Mae cleient dyfais wedi'i adeiladu i drin traffig sy'n deillio o'r peiriant lle mae'n rhedeg. Mae'n rhyng-gipio datrysiad enwau, neu draffig cymwysiadau dethol, ac yn ei anfon trwy ei dwnnel ei hun, ac mae ei bolisi wedi'i ysgrifennu ar gyfer defnyddiwr y ddyfais honno a phrosesau'r ddyfais honno. Nid yw pecyn a anfonir ymlaen o gleient OpenVPN yn allbwn lleol, felly nid yw'r un rheolau'n ei ddosbarthu. Nid yw hyn yn fanylion cyfluniad y gallwch ei orchuddio â rheol ehangach, oherwydd mae'n penderfynu a yw'r meddalwedd yn gweld y pecyn o gwbl.
Dyna pam mae'r cwestiwn dylunio yn gwestiwn gallu. Naill ai mae gan y cynnyrch sydd wedi'i osod rôl a ddogfennwyd sy'n anfon traffig ar gyfer rhwydweithiau eraill ymlaen, neu mae'r swyddogaeth tramwy yn perthyn yn hollol rhywle arall.
Pa rôl Cloudflare gaiff anfon ymlaen
Mae cleient dyfais Cloudflare yn cynnig moddau sy'n wahanol o ran cwmpas: datrysiad enwau yn unig, traffig o'r ddyfais, ac weithiau'r ddau. Nid oes unrhyw un o'r moddau hynny'n troi'r gwesteiwr yn llwybrydd ar gyfer ystod breifat sy'n cyrraedd trwy dwnnel gwahanol. Mae'r rôl llwybro bwrpasol yn gynnyrch ar wahân gyda'i gysylltydd, ei gofrestriad a'i fodel rhwydwaith ei hun.
| Question | What has to answer it |
|---|---|
| Does the installed product forward packets from other hosts? | A documented routing or connector role, not a device mode |
| Which prefixes does the connector advertise? | Its own configuration and status output |
| Does the server's own transport still take the old path? | ip route get for the endpoint, before and after |
| Do replies return through the same path? | Connection tracking counters on the forward rule |
Gwiriwch y rôl sydd wedi'i gosod cyn dylunio llwybrau o'i chwmpas. Darllenwch pa ryngwyneb mae'r cysylltydd yn ei greu, a yw'n hysbysebu rhagddodiadau penodol neu lwybr diofyn, ac a yw'r polisi lleol yn berthnasol i becynnau a anfonir ymlaen yn ogystal ag i rai lleol. Os mai dim ond traffig lleol a drinir, ni all y gweinydd OpenVPN fod yn bwynt tramwy waeth sut mae'r rheol gyfieithu wedi'i hysgrifennu.
Dyma hefyd lle mae'n rhaid datgan y gofyniad allanfa gyhoeddus yn fanwl. Mae allanfa a ddarperir gan Cloudflare ar gyfer traffig cleientiaid a anfonir ymlaen yn achos defnydd penodol, ac mae angen ei gadarnhau yn erbyn y gwasanaeth sydd gennych mewn gwirionedd.
Cadwch y twnnel allanol yn annibynnol ar y llwybr newydd
Y foment y byddwch yn ychwanegu llwybr diofyn tuag at y rhyngwyneb newydd, mae traffig allan y gweinydd ei hun yn dechrau cystadlu amdano, ac mae hynny'n cynnwys atebion i gleientiaid OpenVPN a'ch sesiwn SSH i'r blwch. Y symptom arferol yw twnnel sy'n sefydlu ac yna'n marw, neu weinyddwr wedi'i gloi allan tra'r ymddengys bod y newid wedi gweithio. Cymharwch ip route get ar gyfer y pwynt terfyn cyn ac ar ôl, a defnyddiwch lwybro polisi neu lwybr gwesteiwr i gadw cludiant y gweinydd ei hun lle'r oedd. Rhedwch y gymhariaeth honno o'r blwch ei hun, oherwydd golygfa'r gweinydd o'i lwybr ei hun yw'r un sy'n cyfrif.
Nid yw eithriad ar gyfer cyfeiriad cyhoeddus y gweinydd yn ddigon ynddo'i hun, oherwydd mae llwybr dychwelyd pob gweinyddwr o bell yn llif gwahanol. Penderfynwch pa un o'r llifoedd hynny sydd raid iddo oroesi'r newid, yna gwiriwch bob un yn lle tybio bod y cyntaf yn cynnwys y gweddill.
Cyfyngwch yr anfon ymlaen a'r cyfieithu i un llif
Mae pecynnau a dderbynnir yn dilyn llwybr anfon ymlaen, nid llwybr allbwn lleol, felly mae'r rheol sy'n cyfrif yn byw yn y bachyn forward. Lle mae angen cyfieithu ar y rhyngwyneb nesaf, cyfyngwch y ffynhonnell i'r pwll cleientiaid, y cyrchfan i'r hyn a ganiateir a'r allanfa i'r un rhyngwyneb hwnnw. Nid yw rheol masquerade sy'n gysylltiedig ag un rhyngwyneb yn dewis unrhyw lwybr ynddo'i hun ac nid yw'n caniatáu anfon ymlaen heibio unrhyw hidlydd arall.
Penderfynwch ar yr ymddygiad cau pan fydd methiant o flaen llaw, yna profwch ef. Stopiwch y llwybr nesaf a chadarnhewch fod cleientiaid yn colli'r allanfa a fwriadwyd yn lle cwympo'n dawel yn ôl i'r uplink arferol, oherwydd dyna'r canlyniad nad oes neb yn sylwi arno nes bod traffig yn gadael trwy'r drws anghywir. Ailadroddwch y gwiriad ar gyfer datrysiad enwau ac ar gyfer IPv6, oherwydd mae set rheolau ar gyfer v4 yn unig yn gadael llwybr v6 yn agored.
Ysgrifennwch y pedwar ateb y bu i chi setlo arnynt a'r arsylwi sy'n dangos pob un. Mae llwybr tramwy y gallwch ei ddisgrifio yn un y gallwch ei amddiffyn yn yr adolygiad digwyddiad nesaf.