Linux kontu bat OpenVPN bidez bideratzea UID arau batekin

Kontuan oinarritutako bideratzea egokia da Linux erabiltzaile baten jabetzako IPv4 socket bakoitza lehendik dagoen tunel batetik irten behar denean, eta ez da egokia programaren mailako isolamendua behar duzunean. UIDaren arabera hautatzen du, beraz kontu horrekin exekutatzen den guztia sartzen da esparruan, ahaztu duzun batch lana barne. Ebatzi galdera hori ip rule bakar bat ukitu aurretik.

Beheko adibideak UID 1500eko nabigatzaile kontu dedikatu bat, 10.80.0.11 helbide lokala duen tun-office tunel gailu bat eta aipatutako helmugak onartzen dituen VPN bat suposatzen ditu. Daemon bera UID horretatik kanpo exekutatzen da.

Mekanismoa aukeratzen duten hiru baldintza

Aukeratu UID araua lana egiten duen identitatea kontua denean, haren trafiko guztia lekuz aldatzea onargarria denean eta namespace bat zereginak merezi duena baino astunagoa izango litzatekeenean. Aukeratu sare namespace bat karga lanak bere interfazeak, ebazlea eta bideratze taula behar dituenean. Aukeratu proxy bat edo prozesuko lotura bat aplikazio bat zehazki mugitu behar denean saioaren gainerakoa bide lokalean geratzen den bitartean. Hiru horiek idazteak nahi baino gehiago isilean estaltzen duen arau bat ekiditen du.

Saihestu beharreko akatsa abiarazleak jabea definitzen duela suposatzea da. Beste erabiltzaile baten saioak URL bat eman dion nabigatzaileak ez ditu UID 1500 pean socketak sortu, eta inongo arauk ez du hark sortzen duen trafikoa mugituko.

Taula, araua eta zaintzailea

Lehendik dauden arauak egiaztatu eta erabili gabeko taula eta lehentasun zenbakiak aukeratu ondoren, antolamendua laburra da: tunelaren iturburu helbidea daraman taula dedikatu bateko bide lehenetsia, kontuaren bilaketak taula horretara bidaltzen dituen araua, eta fallbacka blokeatzen duen amaierako araua. Idatzita, bide ordezkapen idempotente bat da, ip -4 route replace default dev tun-office src 10.80.0.11 table 51820, eta ondoren ip -4 rule add priority 12100 uidrange 1500-1500 lookup 51820.

Zaintzailea ip -4 rule add priority 12101 uidrange 1500-1500 unreachable da, eta haren luzerak iradokitzen duena baino gehiago axola du. Hura gabe, 51820 taulan falta den bide bat ohiko goiko estekara erortzen da eta kontuak isilean ihes egiten du politikak harrapatu behar zuen trafikoak. Harekin, hutsegite bera itxarote-denbora bihurtzen da, hau da, blokeoa fallbackaren ordez.

Eduki ezazu helbide lokalaren ohiko araua hauen aurretik, eta erabaki kontzienteki LAN edo kudeaketa salbuespenak hautatutako taularen aurretik doazen. Han aurkitutako bide lehenetsiak ez dio geroago main-i galdetzen LAN bide zehatzago baten bila, eta horrek taulen artean prefixu luzeenaren bat etortzea espero dutenak harritzen ditu. Idatzi aurreikusitako salbuespen zerrenda aldaketaren oharrean, arrazoiketa oraindik freskoa den bitartean.

UID bideratzeak kanpoan uzten duena: DNS

Ebazlearen daemonak bere goranzko socketak bere UID propioaren pean irekitzen ditu, beraz 1500 aukeratzeak ez ditu kontsulta horiek 51820 taulara eramaten. DNS integrazioa erabaki bereizia da: zuzendu kontua tunelaren bidez irisgarria den ebazle batera, edo onartu izen ebazpenak ostalariaren bidea jarraitzen duela trafikoak ez bezala.

Stub lokal baterako loopback kontsulta ez da goranzko kontsultak nabigatzailearen bidea erabili izanaren froga, eta ezta cachetik ondo kargatutako orrialde bat ere.

IPv6k bere esaldi propioa behar du diseinuan

Goiko arauek IPv4 baino ez dute estaltzen. Baldintza kontu honetatik IPv6 zuzenik gabeko IPv4 tunel bat bada, gehitu berrikusitako amaierako arau bat, adibidez ip -6 rule add priority 12101 uidrange 1500-1500 unreachable, eta gero egiaztatu lehenagoko IPv6 arauak eta mantendu nahi dituzun loopback salbuespenak.

IPv6 zuzena blokeatzea ez da pila biko tunelatzea; muga bat da. Tunelatzea deitzeak politika irakurriko duen hurrengo pertsona nahastuko du, eta nahasmena IPv6 gune hautsi bati buruzko laguntza txartel gisa agertuko da.

Egiaztatu benetako kontuarekin, eta gero jabetu bizi-zikloaz

Konparatu bilaketak: ip -4 route get 198.51.100.25 uid 1500 helmuga beraren aurka UID arrunt batekin. Gero egin baimendutako eskaera bat kontu dedikatuaren pean eta egiaztatu urruneko muturrak ikusten duen iturburu helbidea. Hobetsitako iturburu helbidea ez da source NAT, eta ez dio beste zerbait lotzen duen aplikazio bati gailenduko. Bi bilaketek bide bera itzultzen badute, arauak ez du zuk uste duzuna egiten.

Eduki taula, arauak eta tunel bidearen iraupena jabe bakar baten pean, probatu berriro konektatzea eta tunel galera, eta politikak erretiratzean kendu soilik haren sarrera zehatzak. Namespace bat oraindik eskuragarri dago interfaze bereiziak eta egoera bereizia benetan behar badituzu.