route-gateway ez da redirect-gateway: zer aldatzen den benetan
Aukerak OpenVPN-ek instalatzen dituen bideei hurrengo jauzi bat besterik ez die ematen. Hura kentzeak ez du bultzatutako tunel oso bat itzaltzen, eta zuzenketa birbideraketari dagokio.
Zure tunela altxatzen da, azpisare pribatuak erantzuten du, eta ohiko nabigazioa oraindik VPN barruan desagertzen da norbaitek profilatik atebidearen lerroa ezabatu badu ere. Konbinazio hori editatu zen direktiba okerraren hatz-marka da. Kentzeak bezeroari instalatzen dituen bideetarako hurrengo jauzi bat ematen zion; trafikoa harrapatzen jarraitu zuenak beste leku batetik etorri zen eta zerbitzariak bultzatu zuen. Estaldura eta hurrengo jauzia lan bereiziak dira, eta horietako batek soilik erabakitzen du helburu publikoek tunela erabiltzen duten.
Kendu zenuen lerroa hurrengo jauzi bat zen, ez politika-etengailu bat
Bezeroak instalatzen duen bide bakoitzak atebide-helbide bat behar du seinalatzeko, eta atebidearen direktiba da helbide horren iturria bide batek berak bat izendatzen ez duenean. Ezabatu hura eta bide horiek ez dute non itsatsi, beraz edo ez dira instalatzen edo inora eramaten ez duen bide batean amaitzen dira. Azpisare pribatua halako bide batek zeramana da hain zuzen.
Bitartean bizirik atera zen jokabideak beste egile bat du: bultzatutako blokeko birbideratze-aukerak, irteerako trafiko arrunta tunelera eramaten duena bere banderen arabera. Atebidea kentzeak ez du desgaitzen ez ahultzen. Emaitza bi egoeren arteko okerrena da, trafiko publikoa oraindik harrapatuta eta tunela justifikatzen zuen helburu pribatua orain iristezina. Horregatik bigarren edizioak ere, espiritu berean egina, ez du ezer aldatzen.
Lau palanka, lau lan desberdin
Eztabaida honetan lau direktiba trukagarri aipatzen dira, eta horietako bakarra arduratzen da estalduraz, hau da, zein helburu bideratzen diren tunelaren bidez. Bigarren batek bideek erabiltzen duten hurrengo jauzia ezartzen du, hirugarren batek aurrizki bakarra instalatzen du, eta laugarren batek zerbitzariak bultzatutako guztia botatzen du, hedapenak behar dituen bide pribatuak barne. Taulak administratzaileak aldatu nahi duenaren arabera ordenatzen ditu, ez izenaren arabera, izenak baitira nahasmena eragiten dutenak. Lau erabaki bereizi bezala hartu eta benetan desegin nahi duzuna aukeratu.
Praktikan laurak bultzatutako bloke bakarrean iristen dira sarritan, lerroz lerro, eta horrek ezarpen bakar baten zatitzat hartzera eramaten du. Ez dira, eta OpenVPN erreferentzia mekanismo ezberdin gisa dokumentatzen ditu horrexegatik. Zein erabaki desegiten ari zaren jakitea da lana; edizioa lerro bat da.
| What you are trying to change | Directive that decides it | What it leaves alone |
|---|---|---|
| Which destinations use the tunnel | redirect-gateway | Per-prefix routes and resolver choice |
| The next hop a pushed route points at | route-gateway | Coverage of public destinations |
| One reachable prefix | route | Every other destination, default path included |
| All pushed routing and DNS at once | route-nopull | Nothing, which is the problem |
Iragazi bultzatutako lerroa, gorde hurrengo jauzia
Atsegin ez duzun estaldura bultzatutako aukera gisa iristen bada, erantzun estua aukera hori izenez ezikusi eta bultzatutako blokearen gainerakoa ukitu gabe uztea da. Iragazki gisa idatzita, beheko lerroaren antza du, eta kaltetutako bezeroaren profilean kokatzen da, ez zerbitzariaren konfigurazioan.
pull-filter ignore "redirect-gateway"Estutasuna da kontua. Iragazkiak testu-aurrizki bat alderatzen duenez, eredu laburrago batek hurrengo jauziko direktibarekin ere bat egiten du, eta horrek bide pribatuek behar duten informazioa kentzen du eta jatorrizko akatsa jantzi berri batean errepikatzen du. Iragazkiak bultzatutako aukerei soilik eragiten die, beraz ez dio inoiz ukitzen bertan idatzitako edo sare-kudeatzaileak inposatutako baliokide den lerro bati. Ondoren berriz konektatu, zuzeneko saioak ez baitu berriz ebaluatzen zerbitzariak bultzatutakoa.
Irakurri bilaketa, ez taula
Profila berriz kargatu ondoren, galdetu kernelari bi helburu benetan nora joango liratekeen: bat aurrizki pribatuaren barruan eta bestea internet publikoan. Lehen mailako taularen osoko isurketa irakurtzeko zailagoa eta oker irakurtzeko errazagoa da, bide bat existitu eta hala ere bat-etortze zehatzago bati gal diezaiokeelako. Politika bidezko bideratzean, araua, taula eta iturburu-helbidea ere egiaztapenaren parte dira.
ip route get 10.40.7.25
ip route get 203.0.113.77
ip rule showdef1 bertsioak ezagutza merezi du, sarrera lehenetsi zaharra ikusgai uzten duelako erdi-lehenetsitako bik bilaketak irabazten dituzten bitartean. Beraz, irteeran 0.0.0.0/0 lerro batek bere horretan ez du ezer frogatzen. Bilaketak zerrendak soilik erantzuten duela dirudien galderari erantzuten dio.
DNS, IPv6 eta bide pribatuak oraindik funtzionatu behar dute
IPv4 birbideratze bat baztertzeak ez du ezer esaten ebazpenari buruz, beraz bultzatutako DNS aukera batek tunelera kontsultak bidaltzen jarrai dezake bideak zuzenak diruditen bitartean. IPv6 lehenetsi batek gauza bera egin dezake IPv4 egiaztapenak inoiz ukitu ez zuen helbide-familia batentzat. Biek erabaki esplizitua behar dute, ez suposizioa. Ondoren egiaztatu zerbitzu pribatuak oraindik erantzuten duela, bide pribatua galdu duen tunel zatitua ez baita tunel zatitua, hautsia baizik.
Tresna zabalago batek abisua merezi du: route-nopull bultzatutako bide guztiak eta bultzatutako DNS aukera guztiak botatzen ditu, eta horrek tunel osoa ziur aski gelditzen du eta hedapenak behar dituen bide pribatuak ziur aski hausten ditu, beraz mailu askoz handiagoa da aukera bakarrari zuzendutako izen-iragazki bat baino. Egiaztatu helburu pribatua, helburu publikoa eta ebazpena edozein aldaketaren ondoren, eta amaituako esku-ukaldia esku-ukaldiaz bestelako ezeren froga ez dela hartu.