Dante SOCKS VPN bidez: tunel osoa edo iturburuaren araberako bideratzea

SOCKS proxy-aren trafikoak VPN bidez irten behar du, eta ostalariaren gainerakoak bere bide arrunta mantendu. Bi diseinuk egiten dute hori, eta zerbait gaizki doanean zer hausten den ezberdintzen dira. Batek lehenetsitako bidea tunelera bultzatzen du eta gero hari saiheska egiten dio; besteak taula nagusia bakean uzten du eta iturburu-helbide bakarra bigarren taula batera bidaltzen du. Bigarrena garbiagoa da, eta baditu bere tranpak.

Bi diseinu, kalte-erradio ezberdinak

Tunel osoko diseinua da VPN bezero gehienek lehenespenez egiten dutena: lehenetsitako bidea ordezkatu, dena tunelari jarrai diezaion, eta gero jarraitu behar ez duena baztertu. Erraza da pentsatzen eta zaila estutu mantentzen, gehitzen duzun tokiko zerbitzu bakoitzak tunela oinordetzen baitu baztertu arte. Hutsegite-modua zabala da, bide oker batek ostalariaren konektibitatea bera eraman egiten baitu.

Iturburuaren araberako diseinuak beste bidea hartzen du. Taula nagusia bezala geratzen da, eta politika-arau batek tokiko helbide jakin bateko paketeak tunel-bide lehenetsia duen taula batera bidaltzen ditu. Beste ezer ez da aldatzen, hau da, kalte-erradioa helbide bat da.

Estutasun hori da, halaber, murrizketa: diseinuak bakarrik egiten du lan proxy-aren irteerako paketeek helbide hori benetan badarama.

Zer egiten du Dante-ren external ezarpenak

External ezarpenak proxy-ak irteerako konexioetarako erabiltzen dituen helbideak hautatzen ditu; ez dio kernelaren bideratze-politikari ukitzen. Bereizketa horrek egiten du bigarren diseinua posible, eta hor bertan irakurtzen du jendeak dokumentazioa gaizki. External tunel-helbide batera zuzentzeak proxy-aren konexioak helbide horretatik sortzen ditu, eta bideratze-taulak erabakitzen du gero pakete horiek norantz joaten diren.

Entzulea aparteko kontua da. Eutsi internal proxy-a erabili behar duten bezeroetara mugatuta, eskatu autentifikazioa eta itxi ataka suebaki batekin, entzule irekia ez baita VPN irteeraren ezaugarri.

Egiaztatu konfiguratutako helbidea benetan tunelarena dela proxy-aren sare-izen-espazioan.

Iturburuaren araberako taula eraikitzea

10.90.0.2/24 TUN helbidea eta 10.90.0.1-en peer iristeko modukoa izanda, eta beste ezerk erabiltzen ez duen taula-zenbaki batekin, antolamendua honela da:

ip -4 route add table 100 10.90.0.0/24 dev tun0 src 10.90.0.2
ip -4 route add table 100 default via 10.90.0.1 dev tun0 metric 10
ip -4 route add table 100 unreachable default metric 32760
ip -4 rule add priority 1000 from 10.90.0.2/32 lookup 100

Iristezin den bidea da jendeak saltatzen duen zatia. Hori gabe, tunel-bidea desagertzen zaion taula lehenetsitako bide arruntera erortzen da eta proxy-a isilean irteten da WAN-etik. Harekin, bilaketak huts egiten du, eta hori hutsegite ikusgai bat da isurketa isil baten ordez. Arauaren lehentasunak iturburu horri dagokion beste edozeren aurretik egon behar du.

Balio hauek topologia bat deskribatzen dute. Puntu-puntuko peer-ek, net30 helbideratzeak eta beste prefijo bat banatzen duten bezeroek beren bideak behar dituzte, beraz kopiatu forma, ez helbideak.

Non isurtzen du iturburu-arauak

Iturburu-helbide batekin bat egiten duen arauak hura erabiltzen duen prozesu guztiei eragiten die, ez proxy-ari soilik. Beste daemon batek helbide bera lotzen badu, haren trafikoak ere tunela hartzen du, eta hutsegiteak zerbitzu ez-erlamantzat dirudien arazo baten itxura izango du. Eman proxy-ari beste inork erabiltzen ez duen helbide bat, edo onartu eskumena helbidea dela, ez prozesua.

DNS da beste isurketa. Resolver socket batek ez du nahitaez proxy-aren external datu-konexioaren iturburua erabiltzen, beraz izen-bilaketek oraindik WAN-etik irten daitezke. Probatu ebazpena konexioa ezartzeari dagokionez bereizita, eta erabaki emaitza hori onargarria den.

IPv6-k bere arauak eta bideak behar ditu, IPv4-ren antolamenduak ez baitu hartaz ezer frogatzen.

Hautatu jasan dezakezun hutsegitearen arabera

Hautatu tunel osoa ostalaria osotasunean babestu behar denean eta baztertze-zerrenda mantendu ahal duzunean. Hautatu iturburuaren araberako bideratzea ostalariak bere bidea mantendu behar duenean eta zerbitzu bakarra birbideratu behar denean. Biak dira zilegi; akatsa bat hautatu eta gero bestea balitz bezala probatzea da.

Edozein hautatzen duzula, egiaztatu bi aldeetatik: eskaera bat proxyaren bidez eta eskaera zuzen bat ostalaritik, bakoitzaren behatutako irteera-helbidea erregistratuta.

Tunela erortzen bada, erabaki aldez aurretik proxyak huts egin behar duen edo atzera egin, eta utzi bideratze-taulari erabaki hori adierazten.