Wrthi’n cychwyn cleient VPN dros SSH? Pinied eich llwybr eich hun yn gyntaf

Rydych yn SSHio i westeiwr adeiladu, yn cychwyn y cleient VPN arno, ac mae’r sesiwn yn stopio ateb. Nid oes unrhyw beth wedi chwalu, ac nid oes unrhyw beth yn edrych yn gamgyfluniedig yn yr ystyr amlwg. Mae’r cleient wedi gosod llwybr diofyn, felly mae atebion i’ch gorsaf waith nawr yn gadael drwy’r twnnel, lle nad yw cyfeiriad eich gorsaf waith yn llwybradwy. Y rhan ddiddorol yw bod y canlyniad hwn yn ragweladwy, a’r atgyweiriad yw un llwybr a ysgrifennir cyn i’r cleient ddechrau. Tybiwch weinydd ag un addasydd rhwydwaith, porth o 192.0.2.254, a gweinyddwr sy’n cysylltu o 203.0.113.9.

Cofnodwch y llwybr cyn i chi ddechrau

Mae ip route show default yn enwi’r porth a’r rhyngwyneb presennol, tra mae ip route get 203.0.113.9 yn dangos pa ryngwyneb a chyfeiriad ffynhonnell y byddai’r cnewyllyn yn eu defnyddio ar gyfer eich sesiwn. Cadwch y ddau allbwn. Ar ôl i’r twnnel godi dylai’r ddau orchymyn hynny ddal i ddisgrifio’r llwybr corfforol, ac os ydynt yn disgrifio’r twnnel yn lle hynny, mae’r sesiwn eisoes yn byw ar amser benthyg.

Y cysylltiad sefydledig yw’r un sy’n bwysig, felly peidiwch â dilysu gyda mewngofnod newydd yn unig. Gall sesiwn newydd lwyddo’n fyr drwy gyflwr nad yw’r hen un yn ei feddu mwyach.

Piniwch y cyfeiriad yng nghyflun y cleient ei hun

Mae llwybr a ychwanegwyd â llaw yn diflannu ar ailgychwyn ac yn rasio yn erbyn diweddariadau tabl y cleient ei hun, felly rhowch yr eithriad lle y rheolir y tabl. O dan OpenVPN mae’r allweddair net_gateway yn datrys i’r porth a fodolai cyn y twnnel, felly mae route 203.0.113.9 255.255.255.255 net_gateway yn cadw union un cyfeiriad y tu allan iddo. Mae WireGuard angen dull gwahanol oherwydd bod wg-quick yn rheoli llwybrau ei hun: gosodwch Table = off ac ychwanegwch yr eithriad yn PostUp, gyda PostDown cyfatebol sy’n ei dynnu. Mae’r ddau ffurf yn mynegi’r un bwriad, ac mae’r ddau yn cyfyngu’r eithriad i un cyfeiriad yn hytrach na gwanhau’r twnnel ar gyfer popeth.

Ar gyfer IPv6 mae’r un syniad yn cymryd rhagddodiad gwesteiwr sengl, ac mae’r achos cludo wedi’i lapio yn werth ei gofio: os yw cysylltiad allanol y twnnel ei hun yn byw ar gyfeiriad sefydlog, mae’n rhaid i’r cyfeiriad hwnnw aros y tu allan i’r twnnel y mae’n ei gario, neu mae’r cleient yn llwybro ei glud ei hun i mewn iddo’i hun.

Neu tynnwch y prif dabl allan o’r ddadl

Pan fo’n rhaid i sawl gwasanaeth ar y gwesteiwr gadw eu llwybr arferol, stopiwch olygu’r prif dabl a rhowch un eu hunain i’r cleient. Mae gofod enw rhwydwaith gyda phâr veth yn gwneud hynny’n lân: mae llwybr diofyn y cleient yn byw mewn stac gwahanol a dim ond prosesau a gychwynnir y tu mewn iddo sy’n defnyddio’r twnnel. Mae llwybro polisi yn cyrraedd lle tebyg ar gyfer un cyrchfan, drwy anfon traffig cyfatebol i dabl penodedig y mae ei lwybr diofyn yn dal i bwyntio at y porth corfforol. Mae’r naill ddull neu’r llall yn gadael prif dabl y gwesteiwr heb lwybr diofyn newydd, a dyna’r briodwedd sy’n cadw SSH yn ateb.

Mae’r ddau yn fwy o beiriannwaith na llwybr gwesteiwr sengl, ac mae’r ddau’n werth chweil pan fo mwy nag un peth ar y blwch yn gorfod goroesi’r twnnel.

Cymerwch yn ganiataol y gall y pinio fethu

Mae llwybr wedi’i allweddu i’ch cyfeiriad cyhoeddus presennol yn torri’r eiliad y mae eich darparwr yn ei ailddyrannu. Yna mae angen llwybr ar weinydd o bell nad yw’n dibynnu ar y cyfeiriad hwnnw: consol, ail ryngwyneb rheoli, neu westai naid sy’n aros y tu allan i’r twnnel.

Mae dwy fesur diogelwch yn costio deg munud. Mae watchdog sy’n atal y cleient os nad yw mewngofnod cadarnhau yn ymddangos o fewn ychydig funudau yn troi cloi allan yn oediad, ac mae ail sesiwn SSH a gedwir ar agor yn ystod y newid yn profi bod yr eithriad yn gweithio tra mae’r twnnel i fyny. Nid yw keepalives yn unig yn helpu yma, oherwydd mae’r llwybr wedi mynd yn hytrach nag yn segur; maent ond yn gwneud y farwolaeth yn haws i’w sylwi.

Gwiriwch yn y drefn sy’n bwysig

Cysylltwch y twnnel, cadarnhewch fod y llwybr i’ch cyfeiriad yn dal i adael drwy’r porth corfforol, yna agorwch sesiwn newydd. Os yw’r sesiwn newydd yn gweithio ac mae’r hen un yn marw beth bynnag, yr achos yw olrhain cysylltiadau neu wal dân â chyflwr yn hytrach na llwybro, sef atgyweiriad gwahanol.

Ysgrifennwch y cyfeiriad piniedig a’r gorchymyn a’i profodd yn y cofnod newid. Bydd ar y person nesaf sy’n cychwyn cleient ar y gwesteiwr hwnnw angen y ddau, ac efallai y bydd y cyfeiriad wedi newid erbyn hynny.