Dante SOCKS tra VPN: plena tunelo kontraŭ fonta enkursigado

Vi volas, ke la trafiko de la SOCKS-prokurilo eliru tra la VPN, dum la resto de la gastiganto konservas sian normalan vojon. Du dezajnoj faras tion, kaj ili diferencas en tio, kio rompiĝas kiam io misfunkcias. Unu puŝas defaŭltan itineron en la tunelon kaj poste ĉirkaŭiras ĝin; la alia lasas la ĉefan tabelon trankvila kaj sendas unu fontan adreson al dua tabelo. La dua estas pli pura, kaj ĝi havas proprajn kaptilojn.

Du dezajnoj, du malsamaj radioj de damaĝo

La dezajno de plena tunelo estas tio, kion plej multaj VPN-klientoj faras defaŭlte: anstataŭigi la defaŭltan itineron tiel, ke ĉio sekvu la tunelon, kaj poste ekskludi tion, kio ne devus. Ĝi estas facile pripensebla kaj malfacile tenebla mallarĝa, ĉar ĉiu loka servo, kiun vi aldonas, heredas la tunelon ĝis vi ekskludos ĝin. La malsukcesa reĝimo estas vasta, ĉar unu malĝusta itinero kunportas la propran konektecon de la gastiganto.

La dezajno laŭ fonta elekto iras la kontraŭan vojon. La ĉefa tabelo restas kiel ĝi estis, kaj unu politika regulo sendas pakaĵojn de specifa loka adreso al tabelo kun tunela defaŭlta itinero. Nenio alia ŝanĝiĝas, kio signifas, ke la radio de damaĝo estas unu adreso.

Tiu mallarĝeco estas ankaŭ la limigo: la dezajno funkcias nur se la eliraj pakaĵoj de la prokurilo vere portas tiun adreson.

Kion faras la agordo external de Dante

La agordo external elektas la adresojn, kiujn la prokurilo uzas por eliraj konektoj; ĝi ne tuŝas la enkursigan politikon de la kerno. Ĝuste tiu disigo ebligas la duan dezajnon, kaj ĝuste tie homoj mislegas la dokumentaron. Direkti external al tunela adreso igas la prokurilon fontigi siajn konektojn el tiu adreso, kaj la enkursiga tabelo poste decidas, kien tiuj pakaĵoj iras.

La aŭskultanto estas aparta afero. Tenu internal limigita al la klientoj, kiuj devus uzi la prokurilon, postulu aŭtentikigon, kaj fajrormuru la pordon, ĉar malfermita aŭskultanto ne estas trajto de VPN-eliro.

Konfirmu, ke la agordita adreso vere apartenas al la tunelo ene de la reta nomspaco de la prokurilo.

Konstruado de la tabelo laŭ fonta elekto

Por TUN-adreso 10.90.0.2/24 kun atingebla peer ĉe 10.90.0.1, kaj tabelnumero, kiun nenio alia uzas, la aranĝo aspektas tiel:

ip -4 route add table 100 10.90.0.0/24 dev tun0 src 10.90.0.2
ip -4 route add table 100 default via 10.90.0.1 dev tun0 metric 10
ip -4 route add table 100 unreachable default metric 32760
ip -4 rule add priority 1000 from 10.90.0.2/32 lookup 100

La neatingebla itinero estas la parto, kiun homoj preterlasas. Sen ĝi, tabelo, kies tunela itinero malaperas, falas al la ordinara defaŭlto kaj la prokurilo silente eliras tra la WAN. Kun ĝi, la serĉo malsukcesas, kio estas videbla malsukceso anstataŭ silenta liko. La prioritato de la regulo ankaŭ devas stari antaŭ ĉio alia, kio kongruas kun tiu fonto.

Ĉi tiuj valoroj priskribas unu topologion. Punkt-al-punktaj peer-oj, net30-adresado kaj klientoj, kiuj disdonas alian prefikson, ĉiuj bezonas proprajn itinerojn, do kopiu la formon, ne la adresojn.

Kie la fonta regulo likas

Regulo, kiu kongruas kun fonta adreso, efikas al ĉiu procezo, kiu uzas ĝin, ne nur al la prokurilo. Se alia demono ligas la saman adreson, ĝia trafiko ankaŭ prenas la tunelon, kaj la malsukceso aspektos kiel problemo de nerilata servo. Donu al la prokurilo adreson, kiun nenio alia uzas, aŭ akceptu, ke la amplekso estas la adreso, ne la procezo.

DNS estas la alia liko. Solva klingo ne nepre uzas la external-fonton de la datumkonektoj de la prokurilo, do nomserĉoj ankoraŭ povas eliri tra la WAN. Testu la solvadon aparte de la konekta establo, kaj decidu, ĉu tiu rezulto estas akceptebla.

IPv6 bezonas proprajn regulojn kaj itinerojn, ĉar IPv4-aranĝo pruvas nenion pri ĝi.

Elektu laŭ la malsukceso, kiun vi povas toleri

Elektu la plenan tunelon, kiam la gastiganto devas esti protektata kiel tuto kaj vi povas prizorgi la ekskludan liston. Elektu fontbazitan enkursigadon, kiam la gastiganto devas konservi sian propran vojon kaj nur unu servo devas esti redirektita. Ambaŭ estas legitimaj; la eraro estas elekti unu kaj poste testi ĝin kvazaŭ ĝi estus la alia.

Kiun ajn vi elektos, kontrolu de ambaŭ flankoj: peto tra la prokurilo kaj rekta peto de la gastiganto, kun la observita elira adreso registrita por ĉiu.

Se la tunelo falas, decidu anticipe, ĉu la prokurilo devas malsukcesi aŭ reiri, kaj lasu la enkursigan tabelon esprimi tiun decidon.