Ποιος πρέπει να κατέχει τις διαδρομές και το DNS όταν συνδέεται το openfortivpn;

Τέσσερα στάδια στοιβάζονται το ένα πάνω στο άλλο σε μια λειτουργική συνεδρία openfortivpn. Ο πελάτης πιστοποιείται στην πύλη και ξεκινά μια σύνδεση TLS, μετά εκτελεί PPP μέσα σε αυτή τη σύνδεση, μετά λαμβάνει μια διεύθυνση και πληροφορίες DNS, και τέλος εφαρμόζει διαδρομές κεντρικού υπολογιστή και ρυθμίσεις resolver. Κάθε στάδιο μπορεί να είναι ζωντανό ενώ το επόμενο δεν είναι, και γι' αυτό το “συνδεδεμένο” είναι τόσο γλιστερή λέξη σε νήματα υποστήριξης.

Η απόφαση που αφαιρεί το μεγαλύτερο μέρος της σύγχυσης είναι ποιος κατέχει το τελευταίο στάδιο. Είτε ο πελάτης VPN εφαρμόζει ο ίδιος τις αλλαγές στον κεντρικό υπολογιστή, είτε τις κάνει άλλο συστατικό, και το να ανακατεύεις τα δύο στη μέση είναι το πώς οι διαδρομές και τα αρχεία resolver καταλήγουν να περιγράφουν διαφορετικές συνεδρίες.

Τέσσερα στάδια που μοιάζουν με μία σύνδεση

Το πρώτο στάδιο είναι η αποδοχή. έναν ονομασμένο τομέα πιστοποίησης ή έναν κωδικό μίας χρήσης και λαμβάνει τις παραμέτρους που χρειάζεται για να συνεχίσει. Όταν ο πελάτης τυπώνει ότι είναι συνδεδεμένος στην πύλη, αυτό σημαίνει ότι η μεταφορά TLS είναι ενεργή. Δεν σημαίνει ότι το PPP έχει διαπραγματευτεί, και σίγουρα δεν σημαίνει ότι μια εσωτερική εφαρμογή είναι προσβάσιμη.

Το δεύτερο στάδιο είναι ο σύνδεσμος PPP. Ο πελάτης ξεκινά μια διεργασία PPP απέναντι στη συσκευή σήραγγας, και οι δύο πλευρές διαπραγματεύονται επιλογές συνδέσμου και διευθύνσεις. Μόνο μετά από αυτό ο κεντρικός υπολογιστής γνωρίζει ποιες τοπικές και απομακρυσμένες διευθύνσεις χρησιμοποιεί η συνεδρία, και μόνο τότε μια διαδρομή προς τη σήραγγα έχει νόημα.

Το τρίτο στάδιο είναι η εφαρμογή αυτών των πληροφοριών στον κεντρικό υπολογιστή, και εδώ η ιδιοκτησία έχει σημασία. Ο πελάτης μπορεί να προσθέσει τις διαδρομές και να ξαναγράψει τη διαμόρφωση του resolver, ή μπορεί να του ζητηθεί να αποσυρθεί και να αφήσει και τα δύο σε ό,τι άλλο διαχειρίζεται το δίκτυο σε εκείνο το μηχάνημα. Το README του έργου τα περιγράφει ως ξεχωριστές ευθύνες αντί για μία αυτόματη συμπεριφορά.

Ποιος επεξεργάζεται τον πίνακα δρομολόγησης

Από προεπιλογή ο πελάτης είναι ο ιδιοκτήτης. Προσθέτει μια διαδρομή προς την πύλη μέσω της φυσικής διεπαφής, μια διαδρομή για τον ομότιμο της σήραγγας και διαδρομές για τα δίκτυα που επιτρέπεται να χρησιμοποιεί η συνεδρία, και μετά τις αφαιρεί όταν η διεργασία εξέρχεται. Αυτή η προεπιλογή είναι βολική σε φορητό υπολογιστή με έναν μόνο διαχειριστή δικτύου και χωρίς άλλο λογισμικό VPN.

Επιλέξτε τη μεταβίβαση μόνο όταν κάτι άλλο κατέχει πραγματικά τη δρομολόγηση. Μια ενσωμάτωση διαχειριστή δικτύου, ένας χώρος ονομάτων δικτύου container ή ένας πράκτορας δρομολόγησης σε επίπεδο τοποθεσίας μπορεί να γνωρίζει ήδη πώς να εγκαθιστά και να καθαρίζει τα ίδια προθέματα. Η παράδοση της επιλογής no-routes τότε εμποδίζει δύο εγγραφείς να παλεύουν για τον ίδιο πίνακα, που είναι ένας αγώνας που εμφανίζεται ως διακοπτόμενη απώλεια ενός υποδικτύου αντί ως καθαρή αποτυχία.

Η επικάλυψη είναι ο δεύτερος λόγος για μεταβίβαση. Αν οι διαδρομές που ωθούνται περιλαμβάνουν ένα πρόθεμα που το τοπικό δίκτυο χρησιμοποιεί ήδη, ο πελάτης δεν μπορεί να λύσει τη σύγκρουση για εσάς. Κάποιος πρέπει να αποφασίσει αν αυτό το πρόθεμα είναι προσβάσιμο μέσω της σήραγγας, μέσω του φυσικού συνδέσμου ή μέσω μιας πιο συγκεκριμένης διαδρομής, και αυτή η απόφαση ανήκει σε όποιον κατέχει την τοπολογία.

Ο καθαρισμός είναι ο τρίτος. Ένας πελάτης που καταρρέει πριν αφαιρέσει τις διαδρομές του αφήνει μια μαύρη τρύπα που επιβιώνει της συνεδρίας, και η επόμενη σύνδεση μπορεί να προσθέσει ένα διπλότυπο πάνω της. Όποιος κατέχει τη δρομολόγηση κατέχει και την επαλήθευση ότι οι παλιές εγγραφές έχουν φύγει. Κάντε αυτόν τον έλεγχο μέρος της διαδρομής εκκίνησης, όχι προαιρετικό βήμα καθαρισμού.

Ποιος κατέχει το DNS και το αρχείο resolver

Το DNS είναι η ίδια απόφαση με πιο κοφτερές άκρες. Ο πελάτης μπορεί να δεχτεί τους διακομιστές DNS που αναφέρει η πύλη ή ο ομότιμος PPP και να τους γράψει στη διαμόρφωση resolver του κεντρικού υπολογιστή. Σε ένα απλό μηχάνημα αυτό είναι ακριβώς αυτό που θέλετε, γιατί τα εσωτερικά ονόματα τότε επιλύονται μόνο όσο η σήραγγα είναι ενεργή.

Σε έναν σύγχρονο κεντρικό υπολογιστή Linux ο resolver μπορεί να διαχειρίζεται από ένα τοπικό stub, και το ξαναγράψιμο του αρχείου resolver πίσω από την πλάτη αυτού του stub παράγει μια διαμόρφωση που φαίνεται σωστή και συμπεριφέρεται ασυνεπώς. Αν ο κεντρικός υπολογιστής εκτελεί ήδη διαχειριστή resolver, αφήστε τον να κατέχει το DNS και τροφοδοτήστε τον με τους διακομιστές της σήραγγας μέσω της υποστηριζόμενης διεπαφής του. Η επιλογή no-dns του πελάτη είναι η σωστή επιλογή εκεί, όχι παράκαμψη.

Το Split DNS είναι ξεχωριστό ερώτημα από το ποιος γράφει το αρχείο. Η αποστολή κάθε ερωτήματος μέσω της σήραγγας είναι απλή και αργή· η αποστολή μόνο εσωτερικών ζωνών μέσω αυτής απαιτεί διαμόρφωση ανά τομέα που οι περισσότεροι απλοί πελάτες δεν παρέχουν. Αποφασίστε ποια συμπεριφορά χρειάζεται ο κεντρικός υπολογιστής πριν ενεργοποιήσετε τις αλλαγές resolver του πελάτη. Μια λάθος επιλογή εδώ μοιάζει με διακοπή επίλυσης ονομάτων ακόμα και όταν η ίδια η σήραγγα είναι εντάξει.

Προνόμια, ετοιμότητα και η μεταβίβαση

Η δημιουργία της συσκευής σήραγγας και η επεξεργασία διαδρομών κεντρικού υπολογιστή ή κατάστασης resolver απαιτεί αυξημένη δικτυακή εξουσία. Το συνηθισμένο λάθος είναι να συμπεράνει κανείς ότι γι' αυτό τα πάντα πρέπει να εκτελούνται ως root, συμπεριλαμβανομένου του προγράμματος περιήγησης ή της εφαρμογής που χρησιμοποιεί τη σήραγγα. Κρατήστε το προνομιούχο μέρος μικρό: ο πελάτης και το αρχείο διαμόρφωσής του, που ανήκουν σε διαχειριστή, ενώ οι εφαρμογές χρήστη διατηρούν τον κανονικό λογαριασμό τους.

Η ετοιμότητα πρέπει να ορίζεται ανά καταναλωτή. Ένας επόπτης μπορεί να θεωρεί την υπηρεσία εκκινημένη όταν η διεργασία του πελάτη εκτελείται και η συσκευή σήραγγας υπάρχει. Μια εργασία αντιγράφων ασφαλείας πρέπει να θεωρεί το VPN χρησιμοποιήσιμο μόνο όταν το τελικό σημείο αποθήκευσής της απαντά μέσω της σήραγγας. Αυτοί είναι διαφορετικοί έλεγχοι, και η χρήση του ασθενέστερου για τον ισχυρότερο σκοπό παράγει εργασίες που ξεκινούν πολύ νωρίς και αποτυγχάνουν διακοπτόμενα. Γράψτε τον επιλεγμένο ορισμό, γιατί ένας επόπτης και μια εργασία που διαφωνούν για την ετοιμότητα είναι ένα δελτίο υποστήριξης που περιμένει να συμβεί.

Δοκιμάστε το συμβόλαιο με τέσσερις παρατηρήσεις: η φάση της πύλης ολοκληρώνεται, το PPP εκχωρεί διευθύνσεις, η προβλεπόμενη διαδρομή υπάρχει και ένα αίτημα προς εσωτερικό κεντρικό υπολογιστή πετυχαίνει. Στη συνέχεια σταματήστε τον πελάτη και επιβεβαιώστε ότι καθένα από αυτά έχει αφαιρεθεί ή αποκατασταθεί. Αν ο κεντρικός υπολογιστής εξακολουθεί να επιλύει εσωτερικά ονόματα ή να κρατά μια διαδρομή μετά το κλείσιμο της σήραγγας, η μεταβίβαση ιδιοκτησίας είναι ελλιπής.