Sut i wahaniaethu llwybrau a wthir gan VPN od rhai statig ar Linux

Mae rhagddodiad yn ymddangos ar y gliniadur pan ddaw'r twnnel i fyny, felly mae'n teimlo fel petai'r VPN wedi'i osod. Efallai y gwnaeth, ond gall yr un canlyniad ddod o sgript cleient sy'n rhedeg wrth gysylltu, proffil cysylltiad sy'n rhestru'r is-rwydwaith, neu lwybr statig a oedd yno drwy'r amser ac a ddechreuodd weithio dim ond ar ôl i'r rhyngwyneb fodoli. Dewis y perchennog anghywir yn golygu bod y llwybr yn dychwelyd ar ôl pob glanhau, ac mae'r person nesaf yn ailadrodd yr un atgyweiriad. Mae'r dilyniant isod yn gwahanu'r tri cyn newid unrhyw beth.

Cam 1: enwch y mecanwaith sy'n gosod rhagddodiadau

Mae protocolau gwahanol yn darparu cyrhaeddiad mewn ffyrdd gwahanol, ac mae galw hyn i gyd yn hysbyseb yn cuddio'r gwahaniaeth. Mae gweinydd OpenVPN yn gwthio cyfarwyddeb llwybr dros y sianel reoli ac mae'r cleient yn ei gosod oni bai bod hidlydd pull yn ei rwystro. Mae ffurfweddiad WireGuard yn rhestru'r rhagddodiadau a ganiateir yn lleol, y mae'r cleient yn eu defnyddio ar gyfer llwybro allweddi cryptograffig ac ar gyfer y llwybrau y mae'n eu hychwanegu. Mae twnnel IPsec yn cytuno ar ddetholwyr traffig gyda'r cymar, ac mae'r cnewyllyn yn gosod llwybrau o'r detholwyr hynny.

Nodwch pa un o'r rhain y mae eich twnnel yn ei ddefnyddio cyn darllen unrhyw dabl. Nid yw llwybr a wthir ar amser cysylltu yn hysbyseb protocol llwybro, ac nid yw'n addo bod y rhagddodiad yn gyrhaeddadwy y tu ôl i'r pen pell. Nodwch y mecanwaith wrth ymyl y rhagddodiad, oherwydd ef sy'n penderfynu ble mae'r atgyweiriad yn perthyn.

Cam 2: cymharwch y tabl ar draws cysylltiad

Cadwch y prif dabl gyda'r twnnel i lawr, codwch ef, cadwch eto, a chymharwch y ddau ddaliad. Mae unrhyw beth a ymddangosodd yn perthyn i gylch bywyd y cysylltiad, ac mae unrhyw beth a arhosodd yn perthyn i ffurfweddiad lleol.

Daliwch ef gyda ip route show table main > /tmp/route-down.txt, cysylltwch, a dal eto. Gwnewch yr un peth ar gyfer ip -6 route os yw'r safle'n defnyddio IPv6, oherwydd mae rhagddodiad ar goll yno yn cynhyrchu methiannau sy'n edrych yn ddi-gysylltiad â llwybro.

Cam 3: darllenwch y metrig, nid yn unig y presenoldeb

Gall dau gofnod ar gyfer yr un rhagddodiad gydfodoli, ac mae'r cnewyllyn yn dewis y metrig is. Bydd llwybr statig â metrig 50 yn parhau i guro llwybr a wthir ar 100 er bod y ddau yn weladwy, a dyna pam mae 'mae'r llwybr yno' a 'mae'r traffig yn ei ddefnyddio' yn ddatganiadau gwahanol.

Gofynnwch i'r cnewyllyn yn uniongyrchol gyda ip route get 10.20.5.7 a darllenwch y rhyngwyneb y mae'n ei adrodd. Os yw traffig yn gadael drwy'r addasydd ffisegol tra bod llwybr twnnel yn eistedd yn y tabl, y metrig neu hyd y rhagddodiad sy'n egluro hynny, nid y cleient VPN. Ailadroddwch yr edrychiad ar gyfer gwesteiwr rydych yn gwybod sy'n byw y tu ôl i'r twnnel ac un rydych yn gwybod nad yw, ac mae'r gwahaniaeth yn dangos a yw'r hollt yn ymddwyn fel y bwriadwyd.

Cam 4: dewch o hyd i'r cofnodion sy'n goroesi'r twnnel

Mae llwybrau statig yn goroesi datgysylltiad yn ôl dyluniad, a dyna o ble mae cofnodion hen ffasiwn yn dod. Gall llwybr parhaus sy'n pwyntio at ryngwyneb nad yw'n bodoli mwyach lyncu is-rwydwaith yn dawel, ac un sy'n pwyntio at enw rhyngwyneb a ailddefnyddiwyd gall anfon traffig preifat allan drwy'r drws anghywir ar ôl ailgychwyn.

Gwiriwch yr ochr barhaus yn y man y mae eich dosbarthiad yn ei ddefnyddio, boed yn uned systemd-networkd, yn broffil NetworkManager, neu'n sgript yn nghyfeiriadur up y cleient. Mae trwsio'r tabl byw gyda ip route del ond yn dal tan y cysylltiad nesaf. Triniwch y dilead hwnnw fel prawf o'r rhagdybiaeth yn hytrach na'r atgyweiriad.

Lle mae'r pen pell yn darparu'r sylw anghywir, codwch hyn gyda'r gweithredwr yn lle hidlo popeth. Mae gollwng yr holl osodiadau a wthir hefyd yn taflu DNS a pholisi twnnel hollt y mae'r proffil yn dibynnu arnynt.

Cam 5: cadarnhewch y llwybr dychwelyd cyn beio'r cleient

Ar gyfer safle-i-safle neu is-rwydwaith y tu ôl i'r twnnel, mae angen llwybr yn ôl i gyfeiriad eich cleient ar yr ochr bell ac angen anfon ymlaen wedi'i alluogi ar y porth. Mae llwybr unffordd yn edrych yn union fel nam llwybro cleient, ac eithrio bod yr ysgwyd llaw a'r pecyn allanol yn llwyddo ill dau.

Mae hidlo llwybr gwrthdro yn ychwanegu ail fagl ar byrth Linux. Mae ateb sy'n cyrraedd ar ryngwyneb gwahanol i'r un y mae'r llwybr yn ei ragweld yn cael ei ollwng gan y modd llym, ac mae llwybrau anghymesur drwy ddau ddarparwr yn ei sbarduno'n ddibynadwy. Y cownteri gollwng ar y porth, nid ar y cleient, sy'n dweud a yw hidlo yn yr achos.

Cam 6: profwch yr adnodd, nid y ping

Unwaith y bydd y llwybr a ddewiswyd yn gywir, agorwch yr adnodd gwirioneddol a chadarnhau'r traffig dychwelyd. Mae ateb ping yn profi'r llwybr i un cyfeiriad a dim am y gwasanaeth, ac mae gwasanaeth sy'n ateb ar gysylltiad wedi'i storio yn profi hyd yn oed yn llai.

Yna ailadroddwch y gwiriad cyfan ar ôl ailgysylltu. Gwerth y dilyniant yw ei fod yn rhagweld beth fydd y cysylltiad nesaf yn ei wneud, a dyna pam mae'r gymhariaeth a'r metrig ill dau yn perthyn i'r tocyn.