Zerbitzariaren IP bera, bi bide: OpenVPNren kanpoko fluxua markatzea

Ohiko begizta babesa host bide bat da: bidali VPN zerbitzariaren helbide publikorako trafikoa uplink-etik kanpora, saio zifratua inoiz bere tunelera sar ez dadin. Horrek funtzionatzen du une horretantxe ere tunelaren bidez zerbitzari beraren web zerbitzu batera iritsi nahi duzun arte, zeren salbuespena helmugarriari lotuta dago eta helmugarria bera da. Irtenbidea helmugarriaren arabera sailkatzeari uztea da, eta paketea zein socketek bidali zuenaren arabera sailkatzea.

Hasi bereizi nahi dituzun bi fluxuekin

Fluxu bat OpenVPN garraio zifratua bera da, uplink-etik irten behar duena, bestela tunelak bere kanpoko konexioa eramango luke. Bestea helbide publiko bererako HTTPS eskaera arrunta da, tunelean barruan nahi duzuna, zerbitzura tunel jatorri batetik irits dadin. Helmugarri bera, kasu askotan portu zenbaki bera, beharrezko bide ezberdina.

Ibilbide honetarako, suposa ezazu 10.90.0.10-ko bezero bat tun1 bidez, 198.51.100.25-eko zerbitzari helbide publikoa, eta ukitu gabeko taula nagusi bat, zeinaren lehenetsia ohiko uplink-era doan. Zerbitzariaren aldeak web zerbitzua barneko bidean onartu eta trafikoa tunel jatorrira itzuli behar du; helbide publiko batera pakete bat bidaltzeak ez du zerbitzariaren entzulea edo suebaki politika gainidazten.

Ezer aldatu aurretik, erregistratu hostaren uneko arauak eta aukeratu inork erabiltzen ez dituen balioak: marka bat, taula zenbaki bat eta hiru arau lehentasun. Euts iezaiozu makinara itzultzeko bide bati konexio hau erabiltzen ez duena, hemen egindako hutsegite batek zure urruneko sarbidea kentzen baitu, nabigatzailearen fitxa bat apurtu beharrean.

Markatu hordagoa daraman socketa

Bezeroaren konfigurazioak marka bat jasotzen du bere irteerako pakete zifratuetarako, eta bere kabuz bideak instalatzeari uzten dio, ordezko politikak soilik bideak erabaki ditzan:

mark 42
route-noexec
disable-dco

42 hamartarra 0x2a hamaseitarra da, eta forma hamaseitarra da bide arauek bat egingo dutena. Link-options erreferentziak mark Linux-en irteerako pakete zifratuei aplikatzen zaiela deskribatzen du, hots, bidea kontrolatu behar duzun socketa bera. Datu kanalaren offload-a desaktibatzeak adibide hau erabiltzaile espazioko bidean mantentzen du, non markaren jokabidea deskribatzen dena den.

route-noexec-ek OpenVPN-ek bide gehitze eta kentze automatikoa ezabatzen du. Ez du haien ordez ezer instalatzen, beraz une honetatik aurrera bide jabeak tunelak behar dituen bide guztiak mantendu behar ditu. Aldaketaren ondoren helmugarri pribatu bat desagertzen bada, falta den ordezko politika da, ez markaren akats bat.

Ez eusten iezaiozu taula nagusiko host bide bati 198.51.100.25-rako hau egiten duzun bitartean. Halako bideak diseinuak murriztu nahi duen salbuespena berreskuratzen du, eta HTTPS fluxuarentzat irabaziko du beheko politiketako inor kontsultatu aurretik.

Bidali gainerako guztia tunel taulara

Tunel interfazea existitzen denean eta bere helbidea duenean, politikak honela dirudi:

ip -4 route add default dev tun1 src 10.90.0.10 table 47100
ip -4 rule add priority 20000 lookup main suppress_prefixlength 0
ip -4 rule add priority 20001 not fwmark 0x2a lookup 47100
ip -4 rule add priority 20002 not fwmark 0x2a unreachable

Lehen arauak hostaren bide zehatzak ikusgai mantentzen ditu, onartutako tokiko sare bat barne, taula nagusiaren bide lehenetsia bilaketa honetarako ikusezin bihurtzen duen bitartean. Bereizketa hori garrantzitsua da: lehenetsia ezabatzea ez da taula ez ikustea bezalakoa, eta oraindik behar dituzun tokiko salbuespenek horregatik irauten dute. Irakurri salbuespen horiek bat banan, emaitza geldialdi etengailu unibertsala dela suposatu beharrean.

Markatu gabeko trafikoak tunel taulara jotzen du orduan, tunel jatorria hartzen du eta VPN bidez irteten da. Markatutako trafikoak hurrengo bi arauetan fwmark proba huts egiten du eta zerrendan beherago dagoen ohiko bilaketa nagusira jarraitzen du, non uplink-eko lehenetsia oraindik dagoen. Amaierako unreachable araua da, tunelaren bidea falta denean, markatu gabeko fluxua lasai uplink-era erortzea eragozten duena. Hautatzailea marka da hasieratik amaierara, eta helmugarriaren helbidea ez da inoiz erabakian sartzen.

Mantendu babes hori deskonexioen zehar, eta instalatu politikaren gainerakoarekin batera, eskuz egin beharrean. Interfazearekin desagertzen den araua ez da politika, kasualitatea baizik. Tunela erortzean politika ezabatzeak hutsegite modua “blokeatua” izatetik “ihes egina” izatera aldatzen du, eta gero iraungitzen den tunel bide zaharkitua askoz errazago azaltzeko arazoa da interfaze okerretik atera zen trafikoa baino.

Utzi itzulera bideari marka bera ikusten

Irteerako markak mekanismoaren erdia baino ez dira, eta hau da berregite gehienek uzten duten zatia. Saio zifratuaren erantzunak uplink-etik iristen dira eta itzulera bidearen baliozkotzeari lotuta daude, iturburuak etorri zen bide beretik itzuliko lukeen galdetzen duena. Laguntzarik gabe, bilaketa horrek zure markatu gabeko tunel politika aplikatzen du eta paketea interfaze okerrean dagoela ondorioztatzen du.

Konponketa suebakiaren jabearena da: gorde marka irteerako konexioan, berrezarri datozen pakete egokietan, eta gaitu iturburuak baliozkotutako marken kudeaketa dagokion biderako. OpenVPN-ek socket marka bat ezartzeak ez du hiru gauza horietako bat ere egiten, eta bezeroaren aukerak soilik zerrendatzen dituen errezeta osatugabea da. Eskatu integrazio hori idatziz, diseinuaren zati ikusgaitzena baita eta berreraikuntza batean galtzen errazena.

Itzulera bidearen egiaztatze laxoa ere ez da ordezko. Modu laxoak iturburuarentzako bide bat behar du oraindik, eta gehitu zenituen unreachable babesak nahita kentzen du bat markatu gabeko bilaketetarako. Amaitu eta berrikus ezazu konexio markaren integrazioa diseinu honetan oinarritu aurretik, eta tratatu host iragazkiak galdera bereizi gisa: marka bide seinale bat da, ez baimen bat. Integrazioa falta bada, sintoma erantzunak iristen hasi bezain laster isiltzen den saioa da.

Froga ezazu bi bide bilaketarekin

Konparatu nukleoak bi testuinguruetarako erabakitzen duena, eta irakurri dev eta src eremuak irteera egoera baino:

ip -4 route get 198.51.100.25
ip -4 route get 198.51.100.25 mark 0x2a

Lehen bilaketak tun1-era joan behar du tunel jatorriarekin, eta bigarrenak uplink-era. Bilaketa sintetikoak dira, beraz politika frogatzen dute eta ez prozesu bizia: egiaztatu exekutatzen ari den bezeroaren benetako garraio bidea bereizita, eta gero egin benetako HTTPS eskaera ziurtagiri egiaztapena piztuta.

Idatzi diseinuak estaltzen ez duena amaitu dela adierazi aurretik. DNS-ek, IPv6-k eta arauen bizitza zikloak beren erabakia behar dute, eta hau IPv4 bide adibide bat da, ez pribatutasun konfigurazio oso bat. Haren balioa hautatzailea da: hordagoak uplink salbuespena jasotzen du, eta helbide bereko zerbitzu arruntak ez du hori heredatu behar.