Tunel oso osoko OpenVPN: gehitu internet irteera zerbitzari aldean

Bezero bat autentifikatu egiten da, bilguneko helbide bat jasotzen du eta VPN ostalarian dauden zerbitzuetara iristen da, baina helmuga publiko guztiek denbora-muga gainditzen dute. Horrela ikusten da irteerarik gabeko tunel bat, eta horrela jarraitzen du lau gauza bereizi bete arte. Bezeroak defektuzko bidea onartu behar du, zerbitzariak birbidali behar du, suebakiak igarotzea baimendu behar du, eta erantzunek bilgunera itzultzeko bidea behar dute. Lau hutsegiteek sintoma bakarra partekatzen dute, beraz, aldatu elementu bat saiakera bakoitzeko eta idatzi emaitza.

Bultza ezazu defektuzko bidea eta egiaztatu zer instalatu duen bezeroak

Zerbitzari aldeko lerroa laburra da, eta bultzatutako aukerak onartzen dituzten bezeroei baino ez die eragiten. def1 formak bi erdi-defektuzko bide instalatzen ditu lehendik dagoen defektuzkoa ezabatu ordez, eta horrek uneko konexioa bizirik mantentzen du helmuga bakoitza harrapatzen duen bitartean.

push "redirect-gateway def1"

Birkonektatu ondoren, irakurri bezeroaren bideratze-taula, profila fidatu beharrean. Linuxen bi /1 sarrerak jatorrizko defektuzko bidearen ondoan agertzen dira, eta Windowsek pare bera erakusten du 0.0.0.0/1 eta 128.0.0.0/1 gisa. Bultzatutako aukerak alde batera uzten dituen bezeroak, edo horiek uztertzeko konfiguratuta dagoenak, bere defektuzko bide zaharra gordetzen du eta ez du inoiz interneteko trafikoa tunelera bidaltzen. Argitu galdera hori zerbitzarian ezer aldatu aurretik, zerbitzari aldeko inongo arauk ezin baitu hori konpentsatu.

Birbidaltzea zerbitzariaren ezarpena da, ez VPNarena

Irakurri birbidaltze-bandera bideratzea ukitu aurretik. Han zero batek nukleoak bezeroaren paketea jasotzen duela eta ez duela aurrera pasatzen uzten esan nahi du, eta horrek urruneko muturretik suebakiaren blokeoa dirudi zehazki. Ezarri balioa sistemaren konfigurazio direktorioaren bidez, berrabiaraztea gaindi dezan.

sysctl net.ipv4.ip_forward
echo 'net.ipv4.ip_forward=1' | sudo tee /etc/sysctl.d/99-vpn-forward.conf
sudo sysctl --system

Ondoren, egiaztatu ostalariak berak internet irteerarako bide erabilgarria duela. Zerbitzariaren shell-etik egindako eskaera batek frogatzen du goranzko bidea erabilgarria dela eta ez du ezer esaten bezero baten paketea birbidaltzeaz, beraz, trata itzazu bi proba bereizi gisa. Zerbitzaria helmugara iristen ez bada, birbidaltze-konfigurazio kopuruak ez du lagunduko.

Baimendu pentsatzen duzun igarotze zehatza, eta besterik ez

Birbidalitako paketeek forward bidea zeharkatzen dute; VPN ostalariari berari zuzendutako trafikoak input bidea zeharkatzen du. Erabaki desberdinak dira, eta input bidea irekitzeak ez du makinatik igarotzea baimendu ere egiten. Biak nahastea da suebakiak dena baimentzen duela dirudien arren bezeroek denbora-muga gainditzen jarraitzearen arrazoi ohikoena.

Politika minimo batek bilgunetik irteera interfazerako konexio berriak onartzen ditu eta ezarritako fluxuei dagozkien erantzunak onartzen ditu. Jarri zure banaketak erabiltzen duen arau-multzoaren jabean, abio bakoitzean arau bikoiztua gehitzen ibili ordez; arau bikoiztuak metatu egiten dira eta kontagailuek zentzua galtzen dute.

sudo iptables -A FORWARD -i tun0 -o eth0 -s 10.90.0.0/24 -j ACCEPT
sudo iptables -A FORWARD -i eth0 -o tun0 -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT

Kate guztiak onartzera aldatzeak proba pasatzen du eta suebakiaren existentzia-arrazoia kentzen du. Mantendu irismena bilgunean eta irteera interfazean, eta utzi lotu gabeko birbidaltzea bakean.

Eman erantzunei joateko leku bat

Bilguneko helbideak pribatuak dira, beraz zerbitzari publiko batek ezin die erantzunik zuzenean eman. Edo VPN ostalariak iturburu-helbidea itzultzen du irtetean, edo goragoko gailu batek bilgunera itzultzeko bidea gordetzen du.

sudo iptables -t nat -A POSTROUTING -s 10.90.0.0/24 -o eth0 -j MASQUERADE

Gehitu itzultze-geruza zehatz bat. Gorago dagoen bigarren NAT batek lehenengoa ezkutatzen du eta bi erregistroak ia erabilgaitz uzten ditu geroago zerbait hondatzen denean. Goragoko bideratzaile batek bilgunea jadanik atzera bideratzen badu, ostalarian itzultzea gehitzea soberan dago, eta itzulera-bidea bideratzaile horren konfigurazioaren mende geratzen da, ez zurearen.

Hodeiko instantziek beste ate bat gehitzen dute, plataforma batzuek iturburu-helbidea instantziarena ez den paketeak botatzen baitituzte egiaztapen hori malgutzen ez bada. Ezarpen hori gonbidatuaren kanpoan dago eta erraza da ahaztea tokiko proba-makina batek funtzionatzen duenean.

Froga ezazu bezerotik, ez zerbitzariaren shell-etik

Hasi IPv4 eskaera numeriko batekin, gero izen-bilaketa batekin, gero aplikazioarekin. ping batek birbidaltzea eta itzultzea frogatzen du;ez du ezer frogatzen ebazpenari buruz, DNS aukerak bezeroaren integrazioak instalatzen dituenean baino ez baitute eragiten.

curl -4 -m 5 http://198.51.100.10/
dig +short example.com

Idatzi aldaketak eta desegiteko urratsa egiten duzun bitartean, irteera-politika ekintza bakarrean atzera dezazun proba batek huts egiten duenean. Errezeta honek IPv4 baino ez du biltzen; inbentariatu IPv6 bereizita, hedapenak trafiko guztia daramala esan aurretik.