VPN habiaratua: zein tunelek garraiatzen du kanpoko konexioa?

Aldi berean exekutatzen diren bi VPN bezerok ez dute tunel habiaratua sortzen; bi tunel eta bideratzearen inguruko eztabaida sortzen dituzte. Tunel habiaratua dago barruko bezeroak bere zerbitzariarekiko duen konexioa kanpoko tunelak berak garraiatzen duenean, eta hori nahita eraikitzen den antolaketa da. Ongi ateratzen bada, barneko zerbitzariak kanpoko zerbitzariaren helbidea ikusten du; gaizki ateratzen bada, bezero bat isil-isilik berriz konektatzen da bestearen inguruan. Hiru baldintzek erabakitzen dute habiaratzea benetakoa ala kasuala den.

Hiru baldintzek erabakitzen dute habiaratzea

Lehenengoa zein amaierak zein bide behar duen da. Izendatu barneko zerbitzariaren helbidea, izendatu kanpoko zerbitzariarena, eta adierazi espresuki barneko zerbitzaria kanpoko tunelaren bidez baino ezin dela iritsi. Gainerako guztiak esaldi horretatik dator, zein bide zein taulatan doan barne.

Bigarrena ea geruza bakoitzean bidea ikus dezakezun da. Ezin badiozu kernelari galdetu helmuga jakin batek zein bide erabiliko lukeen, irteerako azken IP batetik deduzitzen ari zara katea, eta hori da hain zuzen habiaratzea kasualitate batetik bereizten ez duen froga.

Hirugarrena kanpoko tunela erortzean zer gertatzen den da. Barneko tunelak berarekin gelditu, ohiko sarearen bidez berriz konektatu edo kanpoko bidea itzuli arte blokeatuta egon daiteke, eta hirurak defendagarriak dira. Ez dira politika bera, eta bezero gehienen lehenetsitako jokabidea bigarrena da. Bere amaiera sare fisikotik berriz konektatzen duen bezeroa, konexio osasuntsua erakusten duen bitartean, nahi zen katea isil-isilik loturarik gabeko bi tunel bihurtzeko modurik ohikoena da.

Bat baldintza: zein amaierak zein bide behar du

ip route get 203.0.113.10 galdera horri zuzenean erantzuten dio: bidea, iturburu-helbidea eta kernelak helmuga horretarako oraintxe erabiliko lukeen interfazea inprimatzen ditu.

Exekutatu barneko zerbitzariarentzat barneko bezeroa abiatu aurretik eta berriro ondoren, eta alderatu. Erantzuna interfaze fisikotik kanpoko tunelaren interfazera aldatzen bada, habiaratzea benetakoa da une horretan. Aldatzen ez bada, barneko bezeroa zuzenean konektatzen ari da, panelek esaten duena esanda ere. Errepikatu kanpoko zerbitzariaren helbiderako, oraindik interfaze fisikoaren bidez ebatzi behar dena, zeren bi amaierak era errekurtsiboan harrapatzen dituen bideak makinak saretik erabat ateratzen dituen hutsegitea baita.

Bi baldintza: aztertu bidea geruza bakoitzean

Bide-hautaketa taula nagusia baino gehiago da bezero moderno batean. Politika-arauak markatutako paketeak beste taula batera bidal ditzakete, bezero batek bere socket-a interfaze batera lotu dezake, eta edukiontzi edo namespace batek bere taulak ditu. ip rule eta ip route show table all dira mekanismo horietatik zein ari den jakiteko bidea.

Bere socket-ean SO_MARK jartzen duen bezeroak, edo gailu jakin batera lotzeko konfiguratuta dagoenak, ustez antolatu zenuen lehenetsitako bidea saihesten du. Hori funtzio bat da eta ez akats bat, eta esan nahi du egiaztapen fidagarri bakarra bezeroaren namespace berean exekutatzen dena dela. Bezeroak edukiontzietan exekutatzen badira, exekutatu egiaztapenak edukiontzi horietan ostalarian egin beharrean.

Hiru baldintza: zer gertatzen da kanpoko tunela erortzean

Hutsegite-jokabideak erabaki bat behar du, ez lehenetsitako balio bat. Idatzi zer egin behar duen barneko tunelak kanpokoa desagertzean, eta gero egin bezeroek hori bete dezaten.

Aukerak zehatzak dira. Barneko bezeroa gelditzea kanpoko bidea desagertzean kate garbia eta eten nabarmena ematen ditu. Zuzenean berriz konektatzen uzteak eskuragarritasuna ematen du eta isil-isilik katea eraiki zen propietatea kentzen du. Kanpoko bidea itzuli arte blokeatzea da zorrotzena eta operatzeko gogaikarriena, kanpoko tunelaren oszilazio bakoitza gertakari ikusgai bihurtzen delako.

Probatu hirurak trafiko errugabearekin eta kanpoko tunelaren huts egite deliberatuarekin, konfigurazioa irakurtzeak ez bait dizu esango zein duzun. Hil kanpoko tunela, begiratu zer egiten duen barneko bezeroak eta egiaztatu bidea berriro jaitsita dagoen bitartean. Gero itzuli kanpoko tunela eta berretsi katea berriz eratzen dela, barneko bezeroa bitartean aukeratu zuen bide zuzenan utzi beharrean.

Kateak ematen ez dizuna

Geruza gehigarriek amaierak, giltzak eta hutsegite-moduak gehitzen dituzte; ez dute anonimotasun-bermerik gehitzen eta ez dute kanpoko operadorea tunel bat dagoela ikusteko gai ez denik uzten. Habiaratzeak zer babesten duen dioen edozein baieztapenek babesten duen behagarria izendatu behar du.

Emandakoa dokumentu labur bat da, ez konexio funtzional bat: zein amaierak zein bide erabiltzen duen, kanpoko hutsegite batean zer gertatzen den, eta uneko egoera erakusten duten hiru komandoak. strongSwanen birbidaltzeari buruzko dokumentazioa erreferentzia erabilgarria da tunel-trafikoa Linux ostalari batean interfazeen artean nola birbidaltzen den jakiteko. Exekutatu berriro egiaztapenak bezeroaren eguneraketa bakoitzaren ondoren, zure katea sortu zuten lehenetsitako balioak ez baitira kontratu bat. Ikuskatu ezin duzun tunel habiaratua estatus-argi bat duen zurrumurrua da.