Dwy borth, un VPN: pam mae OpenVPN yn dewis y cyswllt lan anghywir

Dau gyswllt lan, un twnnel, a'r traffig yn gadael drwy'r un na wnaethoch ei ddewis. Mae'r is-rwydweithiau preifat yn gyrraeddadwy, mae'r log yn nodi cysylltiad llwyddiannus, a'r cyswllt mesuredig sy'n ei gario. Nid oes dim yn allbwn OpenVPN yn sôn am borth, oherwydd ni ddewisodd y cleient un erioed. Agorodd soced i gyfeiriad pell a gadael i'r cnewyllyn benderfynu sut i gyrraedd y cyfeiriad hwnnw.

Nid yw cyfeiriad y twnnel yn bwynt terfyn

Mae dau lwybr gwahanol ym mhob sesiwn. Mae'r llwybr allanol yn cludo'r trafnidiaeth amgryptiedig i gyfeiriad cyhoeddus y gweinydd. Mae'r llwybr mewnol yn cludo popeth y mae'r gweinydd yn ei wthio i'r twnnel, ac nid oes gan reolau llwybro un unrhyw effaith ar y llall.

Mae'r cofnod remote yn y proffil yn enwi'r gyrchfan allanol, felly dyna'r cyfeiriad i'w binio. Dyma hefyd y gwerth sy'n newid pan fydd enw gwesteiwr yn datrys yn wahanol neu'r proffil yn rhestru sawl remote.

Dewch o hyd i'r cyfeiriad y gwnaeth y cleient ei ddeialu mewn gwirionedd

Darllenwch y soced byw yn hytrach na'r ffeil ffurfweddu. Mae'r tabl socedi yn dangos y cymar y cysylltodd y broses ag ef mewn gwirionedd, a dyna'r gwerth y mae'n rhaid i eithriad gyd-fynd ag ef. Gellir golygu proffil ar ôl i'r sesiwn ddechrau, a'r soced yw'r unig dystiolaeth o'r hyn a ddeialwyd:

ss -tunp | grep -i openvpn
journalctl -u openvpn-client@work --no-pager | grep -i "Peer Connection Initiated"

Mae llinell y log yn enwi cyfeiriad a phorth y cymar ar adeg y cysylltiad. Os yw'n anghytuno â'r proffil, mae rhywbeth o flaen y cleient yn ailysgrifennu'r gyrchfan cyn i'r cysylltiad ddechrau.

Gwiriwch y teulu cyfeiriad hefyd. Gall proffil deu-stack gysylltu dros IPv6 tra bod eich eithriad yn cwmpasu IPv4 yn unig, ac yna mae'r traffig yn dilyn rheol wahanol i'r un a ysgrifennwyd gennych. Mae'r un peth yn wir am brocsi sy'n ateb ar ran y pwynt terfyn. Mae'r ddau achos yn cynhyrchu twnnel sy'n gweithio tra nad yw eich llwybr yn gwneud dim.

Piniwch y pwynt terfyn a darllenwch drefn y polisi

Mae llwybr gwesteiwr yn fwy penodol nag unrhyw lwybr diofyn. Felly mae /32 ar gyfer cyfeiriad y cymar yn ennill o fewn y tabl sy'n ei gynnwys. Mae'r ffurf arferol yn enwi'r borth a'r ddyfais yn benodol:

ip route add 203.0.113.40/32 via 192.168.10.1 dev eth0

Nid yw'r llwybr hwnnw'n helpu oni bai bod yr ymchwiliad yn cyrraedd y tabl hwnnw. Mae rheolau polisi yn cael eu gwerthuso mewn trefn a'r gêm gyntaf yn penderfynu, felly mae rheol sy'n anfon popeth i ail dabl yn osgoi eich llwybr gwesteiwr yn main. Darllenwch y rheolau cyn tybio bod y llwybr yn awdurdodol:

ip rule show
ip route get 203.0.113.40

Gofynnwch i'r ail orchymyn gyda'r un cyfeiriad ffynhonnell neu farc y mae'r cleient yn ei ddefnyddio pan fydd y polisi yn dibynnu arnynt. Mae'n adrodd y llwybr y byddai'r cnewyllyn yn ei ddewis, sy'n dystiolaeth am yr ymchwiliad ac nid yn brawf bod y soced byw yn defnyddio'r llwybr hwnnw.

Pan fydd y pwynt terfyn yn symud

Mae enw gwesteiwr sy'n datrys i sawl cyfeiriad yn annilysu /32 parhaol cyn gynted ag y bydd yr ateb yn newid. Mae gan broffil â llinellau remote lluosog yr un broblem, oherwydd gall y cleient lanio ar unrhyw un ohonynt. Adnewyddwch y llwybr o fachau cylch bywyd y cleient ei hun yn lle ei ychwanegu â llaw. Mae sgript up sy'n darllen y cymar a drafodwyd ac yn gosod y llwybr gwesteiwr yn cadw'r eithriad yn unol â realiti, ac mae sgript down gyfatebol yn ei dynnu.

Cofnodwch yr adnewyddu yn yr un lle â gweddill ffurfweddiad llwybro'r gwesteiwr. Mae llwybr sy'n bodoli dim ond tan yr ailgychwyn nesaf yn brawf, nid yn atgyweiriad.

Cadwch y polisi mewnol ar wahân

Nid yw symud y llwybr allanol yn rhoi mynediad i is-rwydwaith preifat newydd, ac nid yw'n newid pa gyrchfannau y mae'r gweinydd yn eu gwthio i'r twnnel. Mae llwybr yr haen isaf yn dewis y wifren; y llwybrau a wthiwyd sy'n dewis beth sy'n mynd i'r twnnel. Cadw'r ddau benderfyniad hynny ar wahân sy'n gwneud y rhaniad yn rhagweladwy.

Os mai'r nod yn unig yw cadw'r trafnidiaeth amgryptiedig oddi ar gyswllt mesuredig, gadewch y llwybr diofyn yn lonydd ac ychwanegu'r eithriad gwesteiwr sengl. Mae disodli'r llwybr diofyn ar draws y peiriant i symud un cysylltiad VPN yn torri pob rhaglen arall ar y gwesteiwr.

Cadarnhewch y canlyniad â dau arsylwad annibynnol: cyfeiriad a dyfais leol y soced, a'r llwybr y mae'r gyrchfan breifat yn datrys iddo. Pan fydd y ddau yn cyd-fynd â'ch bwriad, mae'r rhaniad yn real. Mae llawlyfr OpenVPN 2.6 yn cwmpasu'r opsiynau remote a rhwymo lleol sy'n penderfynu pa gyfeiriad y mae'r cleient yn ei ddeialu.