Πράσινο εικονίδιο, ίδια δημόσια IP: ποια διαδρομή προσπέρασε το VPN

Το εικονίδιο στη γραμμή εργασιών δηλώνει σήραγγα, όχι προεπιλεγμένη διαδρομή. Τέσσερις έλεγχοι δείχνουν αν ο πελάτης εγκατέστησε τη διαδρομή ή αν η έξοδος δεν μετέφρασε ποτέ την πηγή σας.

Συνδεδεμένο, πράσινο εικονίδιο στη γραμμή εργασιών και μια σελίδα αντανάκλασης διεύθυνσης που εξακολουθεί να δείχνει τη διεύθυνση του παρόχου δεν σημαίνουν αυτόματα βλάβη. Ο πελάτης κάνει δύο ξεχωριστές δουλειές: χτίζει σήραγγα και επεξεργάζεται τον πίνακα δρομολόγησης. Καθεμία μπορεί να συμβεί χωρίς την άλλη, και η επιλεκτική δρομολόγηση είναι η διαμόρφωση όπου η δεύτερη παραλείπεται σκόπιμα.

Τι εγκατέστησε πραγματικά ο πελάτης

Ρωτήστε ποια διεπαφή θα μετέφερε ένα πακέτο σε πραγματικό προορισμό αντί να ρωτήσετε αν η σήραγγα είναι ενεργή. Μια σήραγγα χωρίς διαδρομή προς αυτόν τον προορισμό είναι ιδιωτικός δρόμος που δεν τον χρησιμοποιεί κανείς.

ip route get 9.9.9.9
Find-NetRoute -RemoteIPAddress 9.9.9.9
route print -4

Η πρώτη εντολή απαντά σε Linux και macOS, και οι άλλες δύο είναι τα αντίστοιχα των Windows όπου αρκεί μία. Αν η απάντηση ονομάζει τον φυσικό προσαρμογέα, η σήραγγα είναι ενεργή και η προεπιλεγμένη διαδρομή δεν μετακινήθηκε ποτέ. Επαναλάβετε τον έλεγχο για προορισμό που θα έπρεπε να χρησιμοποιεί τη σήραγγα, γιατί δύο έλεγχοι, ένας απομακρυσμένος και ένας συνηθισμένος, λένε ποια σχεδίαση εφαρμόζεται.

Τρία σχήματα επιλεκτικής δρομολόγησης

Ένα προφίλ πλήρους σήραγγας γράφει συνήθως προεπιλεγμένη διαδρομή προς τη διεπαφή ή γράφει το ζεύγος προθεμάτων μισού εύρους που κερδίζουν στο μήκος προθέματος ενώ η αρχική προεπιλεγμένη μένει στον πίνακα. Η επιλεκτική δρομολόγηση είναι η άλλη επιλογή και έρχεται σε πολλές μορφές. Ένα προφίλ δρομολογεί έναν μόνο κεντρικό υπολογιστή όπως διακομιστή RDP, άλλο δρομολογεί δημόσιο εύρος που πρέπει να προσεγγιστεί από συγκεκριμένη θέση, και τρίτο εξαιρεί σκόπιμα μία εφαρμογή. Και τα τρία είναι θεμιτά, και κανένα δεν αλλάζει τη διεύθυνση που βλέπει ένας συνηθισμένος ιστότοπος.

grep -nE "redirect-gateway|route-nopull|route " /etc/openvpn/client/*.conf
ip route show table main | head -20

Διαβάστε το προφίλ για την οδηγία που αποφασίζει, και μετά τον πίνακα για το τι παρήγαγε. Μια οδηγία που ωθείται μπορεί επίσης να κατασταλεί στον πελάτη, γι' αυτό το προφίλ και ο πίνακας πρέπει να συμφωνούν πριν κατηγορήσετε τον διακομιστή.

Η απέναντι πλευρά πρέπει να ξαναγράψει τη διεύθυνση πηγής

Υπάρχει δεύτερη αποτυχία που από το πρόγραμμα περιήγησης μοιάζει ίδια. Η διαδρομή δείχνει μέσα στη σήραγγα, ο διακομιστής λαμβάνει τα πακέτα και μετά τα προωθεί με την ιδιωτική διεύθυνση του πελάτη άθικτη. Το επόμενο άλμα δεν έχει δρόμο επιστροφής για αυτή τη διεύθυνση, οπότε οι απαντήσεις εξαφανίζονται και οι σελίδες κολλούν. Ο διακομιστής πρέπει να προωθεί καθόλου, και πρέπει να μεταφράζει την πηγή σε κάτι που το διαδίκτυο μπορεί να δρομολογήσει πίσω.

sysctl net.ipv4.ip_forward
iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
iptables -t nat -S | grep MASQUERADE

Ονομάστε τη διεπαφή που κοιτά πραγματικά το διαδίκτυο, που σε μια σύγχρονη διανομή δεν είναι πάντα eth0. Ένας φιλοξενημένος διακομιστής με σταθερή διεύθυνση μπορεί να μεταφράζει ρητά σε αυτή τη διεύθυνση αντί να χρησιμοποιεί masquerade. Και τα δύο μισά μετρούν, γιατί η προώθηση χωρίς μετάφραση διαρρέει μη δρομολογήσιμες πηγές, ενώ η μετάφραση χωρίς προώθηση δεν βλέπει ποτέ το πακέτο.

Η επίλυση ονομάτων ακολουθεί δικό της δρόμο

Η κίνηση μπορεί να βγαίνει από τη σήραγγα ενώ ο έλεγχος που βρήκε το όνομα πήγε σε έναν επιλυτή στο τοπικό δίκτυο. Η ορατή διεύθυνση μένει ίδια, τα ερωτήματα όχι, και αυτό το κενό είναι ακριβώς αυτό που επιλέγει μια σχεδίαση διαχωρισμένου DNS.

resolvectl status | head -20
resolvectl query example.org

Σημειώστε ποιος διακομιστής απάντησε και αν διαφέρει από τη βάση πριν τη σήραγγα. Σε διαχωρισμένη σήραγγα αυτή είναι συνήθως η ρύθμιση που ήθελαν να αλλάξουν όταν παραπονιούνταν για τη διεύθυνση, και είναι αυτή που δεν κοίταξαν ποτέ.

Τέσσερις παρατηρήσεις που το ξεκαθαρίζουν

Καταγράψτε τη διεύθυνση εξόδου με τη σήραγγα κλειστή και μετά ανοιχτή. Εκτελέστε τον έλεγχο προορισμού και στις δύο καταστάσεις και σημειώστε τη διεπαφή κάθε φορά.

curl -sS https://ifconfig.me/ip
ip route get 9.9.9.9

Όταν ο έλεγχος προσγειώνεται μέσα στη σήραγγα και η αντανάκλαση εξακολουθεί να δείχνει τη διεύθυνση του παρόχου, λείπει η μετάφραση στην έξοδο. Όταν ο έλεγχος προσγειώνεται στον φυσικό προσαρμογέα, το προφίλ είναι επιλεκτικό και η δημόσια διεύθυνση δεν ήταν ποτέ στο πεδίο. Αντικαταστήστε την υπηρεσία αντανάκλασης με μία που εμπιστεύεστε και καταγράψτε τις τέσσερις παρατηρήσεις μαζί, γιατί χωριστά είναι ανέκδοτα. Μαζί δείχνουν ποια από τις δύο δουλειές έκανε πραγματικά ο πελάτης.

Σχετικά άρθρα