OpenVPN redirect-gateway: zer egiten duen bandera bakoitzak ibilbideetan

Konektatu profilean redirect-gateway erabiliz, eta zure makinaren lehenetsitako ibilbidea desagertu, bitan zatitu edo zegoen lekuan bertan geratu ahal da, inork bitan irakurtzen ez dituen banderen arabera. Aukerak bideratze-egoera soilik aldatzen du, besterik ez, beraz egiten duenaren froga fidagarri bakarra bezeroak geroago instalatutako taula da. Hona hemen konexio osteko taula, tunela bera bizirik mantentzen duen ibilbidea eta direktibak inoiz estaltzen duela dioen IPv6 trafikoa. Urrats bakoitza bezeroan exekuta dezakezun komando bat da, tunela martxan dagoen bitartean.

Zer egiten duen bandera bakoitzak lehenetsitako ibilbidean

Bandera bat ere gabe, aukerak ohiko lehenetsitako ibilbidea kentzen du eta tunela jartzen du haren lekuan, beraz ate zaharrak taulatik desagertzen dira konexioa aktibo dagoen bitartean. Gehitu def1 eta lehenetsitako hori zerrendan geratzen da, bi ibilbide estuagok egiten dute lana. Gehitu bypass-dhcp eta DHCP ibilbideak ere bizirauten du, eta hori garrantzitsua da bezeroak oraindik tokiko DHCP zerbitzarira iritsi behar duen sare batean. OpenVPN 2.6 eskuliburuaren orrialdeko bandera-zerrenda behin irakurtzeko bezain laburra da, eta sarrera bakoitzak aldatzen du zein ibilbide amaitzen diren taulan.

Bultzaturiko aukera berdin jokatzen du iristen denean, beraz bezeroaren profilean ezer ez egon liteke taula guztiz birbideratuta agertzen den bitartean. Hori normala da: zerbitzariak banderak bidali zituen, bezeroak aplikatu zituen, eta tokiko fitxategiak ez zuen direktiba aipatu inoiz. Bultzada ezer egiten ez duela dirudienean, egiaztatu ateratako aukerak onartzen edo baztertzen dituen bezero aldeko iragazkia, baztertutako aukerak ez baitu errorearik sortzen bi muturretan.

def1-k espezifikotasunez irabazten du zure lehenetsia ukitu gabe

Bi erdi-lehenetsitako ibilbidek elkarrekin IPv4 espazioa estaltzen dute, 0.0.0.0/1 eta 128.0.0.0/1. Bakoitza 0.0.0.0/0 baino espezifikoagoa da, beraz bilaketa batek haiek nahiago ditu, eta benetako lehenetsia taulan geratzen da espezifikotasun gutxien eskatzen duen edozertarako.

Irakurri taula, ez profila, taulak soilik erakusten baitu kasu horietako zeinetan zauden. Bi lerro nahikoa dira haiek bereizteko:

ip route show default
ip route show | grep -E '^(0\.0\.0\.0/1|128\.0\.0\.0/1)'

Kontuan hartu lerro bakoitzeko interfazea eta metrika, ez soilik helmuga. Tunelera seinalatzen duen lehenetsi batek eta tunelera seinalatzen duten erdi-lehenetsi bikote batek asmo bera deskribatzen dute eta modu ezberdinean huts egiten dute tunela erortzen denean, kasu batean ordezko bidea oraindik existitzen delako. Idatzi bi eremuak aldaketa-oharrean. Bizirik dirauen ordezko bidea batzuetan urrutiko saio bat tunela konpontzeko adina bizirik mantentzen duena da, eta asmoa tunel osoa zenean trafikoa isurtzen duena ere bera da.

Eduki tunelaren muturra irisgarri

Bezeroak tunelaren urrutiko muturrerainoko ibilbide bat behar du, bera tunelatik igarotzen ez dena. OpenVPN ostalari-ibilbide hori beste ezer aldatu aurretik instalatzen du, eta eskuzko ibilbide-aldaketak edo bigarren VPN bezero batek ken dezake. Ondorengo sintoma konektatuta dagoela dioen eta gero ezer pasatzen ez duen konexio bat da.

Galdetu kernelari zein interfaze erabiliko lukeen muturreko helbiderako tunela martxan dagoen bitartean. Erantzunak interfaze fisikoa eta haren atea aipatu behar ditu, inoiz ez tun0:

ip route get 198.51.100.20

Bilaketa horrek tunelaren gailua itzultzen badu, tunelak bere garraioa darama eta hondoratu egingo da pakete batek irten behar duen bezain laster. Tokiko aurrizkiek, bigarren egokitzaileak eta politika bidezko bideratzeak oraindik garrantzia dute hemen, horregatik ordenagailu garbi batean funtzionatzen duen birbideratzeak huts egin dezake kudeaketa-interfaze bat eta bi lehenetsi dituen ostalari batean. Normalean profila erruduntzen da helbide-planak egin zuenagatik.

IPv6 trafikoak bere taula erabiltzen jarraitzen du

IPv4 birbideratzeak IPv6 bakean uzten du, eta bi familiak bandera ezberdinek aldatzen dituzte. Bi pila dituen ostalari batean v6 lehenetsi bat funtzionatzen duela, v4 trafikoa tunelaren barruan egon daiteke erabat, v6 gaitasuna duen helmuga bakoitza esteka fisikoaz irteten den bitartean. Taula batean zuzen ematen duen ostalariak bestean isurtzen du.

Egiaztatu v6 taula konektatu ondoren, tunelak estali zuela suposatu beharrean. Direktibak helbide-familiaren banderak daramatza arrazoi horregatik, eta haiek alde batera uzten dituen profilek plataformak lehenetsiz egiten duena heredatzen du:

ip -6 route show default
ip -6 route get 2001:db8::10

Froga ezazu zein interfaze erabiltzen duen aplikazio batek

Konektatutako egoera ez da blokeoa, eta ibilbide-aldaketa ez da segurtasun-etengailua. Trafiko zuzena tunela huts egitean gelditu behar bada, politika hori suebakian bizi da eta bere proba behar du.

Probatu aplikazio batek benetan hartzen duen bidea, profilek deskribatzen duen bidea beharrean. Eskatu ibilbidea lehenik, gero lotu eskaera bat interfaze bakoitzari txandaka eta alderatu urrutiko aldeak zer jakinarazten duen:

ip route get 203.0.113.10
curl -s --interface tun0 https://ifconfig.me
curl -s --interface eth0 https://ifconfig.me

Bi eskaerek helbide bera itzultzen badute, aplikazioak ez du tunela erabiltzen bideratze-taulak beharko lukeela esan arren. Tunelari lotutako eskaerak soilik arrakasta izanez gero, bide fisikoa helmuga horretarako iragazita dago eta tunelak eskatu duzuna egiten du. Idatzi banderak, instalatutako ibilbideak, muturreko bilaketa eta bi irteera-emaitzak aldaketen erregistroan, hurrengo pertsonak pantaila-argazki bat beharrean gertaerak hereda ditzan.