VPNaren helbidera lotutako aplikazioak bide okerra erabiltzen jarraitzen du

Aplikazio bat VPNaren helbidera lotzen da, eta konexioak ohiko bide lehenetsitik irteten jarraitzen du. Lotzean ez da ezer huts egin; lotzeak egiten duen zehazki hori egin du. Socket bat tokiko helbide batera lotzeak kernela goiburuan jartzen duen iturburu-helbidea aukeratzen du. Ez du biderik instalatzen, eta ez du iturburu hori daramaten paketeak tunel jakin batera bidaliko lituzkeen politika-araua sortzen.

Gida honen gainerakoa erabiltzen dudan egiaztapen-ordena da, behaketa bakoitza ematen duen komandoarekin batera.

Zer erabakitzen du benetan lotzeak

Lotzeak tokiko helbide bat esleitzen dio socketari. Ondoren kernelak bestela egingo lukeen bide-bilaketa bera egiten du, politika-arau batek bilaketa horrek zein taula irakurriko duen aldatzen ez badu behintzat.

Horregatik irten daiteke pakete bat VPN iturburu-helbidearekin interfaze fisiko batetik. Beste aldean, sareak bide horretan inoiz espero ez zuen barruti pribatu batetik iristen da, itzulerako trafikoak ez du itzultzeko biderik, eta konexioa zintzilik geratzen da edo berrezarri egiten da.

Linux IP socket erreferentziak lotzearen semantika dokumentatzen du. Bideratzearen erdia ip-rule eta ip-route fitxategietan bizi da, eta arrazoi batengatik dira eskuliburu bereiziak.

Egiaztatu helbidea izen-espazio honetakoa dela

Lotu dezakezun helbideak aplikazioa exekutatzen den sare-izen-espazioaren barruko interfaze batean egon behar du. Pare baten helbidea, atebide baten helbidea edo beste izen-espazio batean soilik dagoen helbidea ezin da lotu, eta deiak EADDRNOTAVAIL errorearekin huts egiten du.

ip -br addr show
ip netns identify <pid>
ss -tanp | grep <port>

Exekutatu hiru horiek aplikazioaren testuinguru berean: izen-espazio bera, eta erabiltzaile bera lortu dezakezun. net30 diagrama zahar bat ez da zure egungo topologiak bezeroari zein helbide esleitu dion frogatzeko. Irakurri benetan aktibo dagoen interfazea.

Irakurri iturburu eta helmuga horren bilaketa

Komando bakar batek lotzeak erantzun ez zuen galderari erantzuten dio:

ip route get 203.0.113.10 from 10.8.0.2
ip rule show

Lehenengo lerroak iturburu horretatik helmuga horretara joango litzatekeen paketearen bidea inprimatzen du, irteerako interfazea eta iturburu hobetsia barne. Interfaze fisikoa aipatzen badu, lotzeak eta bideak desados egiten dute, eta paketea bideak itzuli ezin dion iturburu batekin irtengo da.

Gero ip rule show-ek esango dizu arauren batek beste taula bat aukeratuko lukeen. Lehentasunek garrantzia dute hemen, lehenengo bat datorren arauak irabazten baitu, eta zurea baino goragoko guztia harrapatzen duen arau batek zure araua ikusezin bihurtzen baitu.

Instalatu politika-araua diseinua hori bada soilik

Iturburuan oinarritutako bideratzea diseinu deliberatua da, ez aplikazio bakar baterako konponketa. Politikanaren jabeak tunelaren azpisaretik datorren trafikoak tunela erabil dezan nahi badu, araua haren konfigurazioan dagokio, ez zure ordenagailuko behin-behineko komando batean.

Forma erabilgarri bat tunelaren bidezko bide lehenetsia duen taula bereizi bat da, gehi VPN iturburu-barrutia taula horretara bidaltzen duen arau bat. Gehitu diseinuak behar dituen salbuespenak, tunel-lehenetsia soilik duen taula batek tokikoak izan behar duten edo bide fisikoaren bidez iristekoak diren helmugak harrapatuko baititu.

ip route add default dev tun0 table 100
ip rule add from 10.8.0.2 table 100 priority 100
ip route get 203.0.113.10 from 10.8.0.2

Desegin ip rule del eta ip route flush table 100 erabiliz. Horrela gehitutako guztia berrabiaraztean desagertzen da, kudeatzaile batek idazten ez badu behintzat; hau segurtasun-ezaugarria da eta zure shellaren historian kopia bakarra ez gordetzeko arrazoia.

Egiaztatu hiru behaketarekin

Idatzi aplikazioak eskatu zuen iturburua, bilaketak aukeratu zuen bidea eta zerbitzariak benetan ikusi zuen iturburua.

Hiru horiek desados egon daitezke, eta desadostasun bakoitzak leku ezberdin batera seinalatzen du. Tunelaren interfazean egindako harrapaketa batek frogatzen du paketea iturburu egokiarekin irten zela. Interfaze fisikoan egindako harrapaketa batek frogatzen du bide okerretik irten zela. Zerbitzariaren aldeko ikuspegia da bidea hasieratik amaierara frogatzen duen bakarra.

Aplikazioak gailu batera lotzeko aukera edo aplikazioko bideratze-modua eskaintzen badu, trata ezazu murrizketa ezberdinak dituen mekanismo ezberdin gisa. Itxuraz antzeko ezarpenek ez dute denek kernelaren erabaki berera eramaten.