Bideratu LAN azpisare bat OpenVPN bidez eta mantendu lehenespenezko bidea
Mantendu LANeko lehenespenezko bidea azpisare bat tunelatik doan bitartean. Konparatu politika-taula bat taula nagusiko aldaketekin, eta gero aukeratu NAT edo zerbitzariaren aldeko bidea.
LAN baterako bideratzeaz arduratzen diren eta aldi berean VPN batera konektatzen diren kutxek eztabaida bera izaten dute beren buruarekin: tunelak lehenespenezko bidea izan nahi du, eta LANak hura berreskuratu nahi du. OpenVPN konektatzen denean, lehenespenezko bide bat instala dezake tunelaren bidez edo erdi-lehenespenezko bide pare bat, eta hori egokia da ordenagailu eramangarri baterako eta okerra auzokideek bere LAN helbidetik erantzunak espero dituen atebide batentzat. Erantzuna ez da VPNa saltatzea. Erantzuna bi erabakiei taula desberdinak ematea da.
Lehenespenezko bide bat, bi jabe
Birbidalitako trafikoak eta tokian bertan sortutako trafikoak ez dute bide bera egin behar. LANeko bezeroek tunela behar dute zuk aukeratutako helmuguetarako soilik, eta ostalariaren beraren kudeaketa-saioek eta bezero horiei emandako erantzunek LANeko lehenespenezko bidea behar dute. Biak taula nagusian nahasteak erantzun bakarra behartzen du bi galdera desberdinetan.
OpenVPNk badu etengailu bat hain zuzen ere horretarako. route-noexec bezeroari taula nagusia ukitzea eragozten dio, eta erabiliko lituzkeen balioak route-up script batera esportatzen dira route_vpn_gateway, dev eta interfazearen helbideak bezala. Gero zuk erabakitzen duzu zein taulak zein bide jasoko duen, geroago irakur dezakezun kodean.
Politika-taula taula nagusia berridaztearen aurka
| Approach | What it buys | What it costs |
|---|---|---|
| Separate table plus source rule | LAN traffic and host traffic keep independent defaults | Every lookup now depends on rule order |
| Editing the main table only | Fewer moving parts on a single-purpose host | One mistake takes the gateway offline entirely |
| Two half-default routes | Works for a full-tunnel client | Ambiguous on a host that must answer on its LAN address |
Taula bereizia da azpisare bat baino harago eskalatzen duen aukera bakarra. Eman izen bat behin, eta gero aipatu izenaz, inork zenbaki bat gogoratu behar ez dezan:
echo "10 vpn" >> /etc/iproute2/rt_tables
ip rule add from 192.168.50.0/24 table vpn
ip route add default via 10.8.0.1 dev tun0 table vpnHemen agertzen diren helbideak leku-markak dira. Ordeztu LAN aurrizkia, tunelaren atebidea eta gailuaren izena zure hedapen propiotik ezer exekutatu aurretik.
Arauak ostalariarekin ere bat etorri behar du
LAN aurrizkiarekin soilik bat datorren arau batek birbidalitako paketeak estaltzen ditu. Ez du atebideak berak sortzen duen trafikoa estaltzen, ezta LANeko bezeroei itzultzen dizkien erantzunak ere, eta erantzun horiek atebidearen LAN helbidea daramate iturri gisa. Bilaketa horiek main-era erortzen dira eta oraindik tunelatik atera daitezke.
Gehitu bigarren arau bat atebidearen beraren LAN helbiderako, edo zabaldu lehen araua biak biltzen dituen multzo batera. Ordenak garrantzia du: jarri arau zehatzena lehenengo, eta egiaztatu emaitza iturria esplizituki aipatzen duen bilaketa batekin.
ip route get 203.0.113.9 from 192.168.50.1Horrek tokian bertan geratu beharko lukeen helmuga baterako tunel-gailua erakusten badu, arau-multzoa okerra da taulak zer duen edozein dela ere.
NAT edo bidea urruneko aldean
VPN zerbitzariak tunelaren azpisarea ezagutzen du eta besterik ez. LAN iturri-helbidearekin iristen diren paketeek ez dute itzulbiderik inork ematen ez badu, eta hura emateko modu zehatz bi daude. Zerbitzarian LAN aurrizkiaren bidea gehitzeak jatorrizko iturria muturretik muturrera ikusgai mantentzen du, eta hori izaten da auditatutako diseinu batek nahi duena. Atebidean maskaratzeak iturria tunelaren helbidera berridazten du eta ez du zerbitzariaren lankidetzarik behar.
iptables -t nat -A POSTROUTING -s 192.168.50.0/24 -o tun0 -j MASQUERADEAukeratu NAT zerbitzaria kontrolatzen ez duzunean eta han bideak gehitu ezin dituzunean. Aukeratu zerbitzariaren aldeko bidea erregistroek, sarbide-kontrolak edo itzulbidearen simetriak garrantzia dutenean, maskaratzeak jatorrizko helbidea ezabatzen baitu urruneko aldeak erregistratzen duen guztitik.
Edozein kasutan birbidaltzea gaituta egon behar da, eta bidezidorraren iragazketa zorrotzak erantzuna bota dezake mainek tunela iturri horretarako aukeratuko ez balu. Egiaztatu balio eraginkorra tunela erruduntzat jo aurretik.
Egin banaketak berriz konektatzea gainditzea
Eskuz gehitutako arauak eta bideak desagertzen dira interfazea berriz sortzean, eta taulako sarrera zaharkitu batek hura justifikatu zuen saioa gaindi dezake. Jarri taularen araua, tunelaren bidea eta maskaratze-sarrera bezeroaren route-up scriptaren barruan, eta hustu taula scriptaren hasieran atebide zahar batek saio berrian iraun ez dezan.
Egiaztatu bi muturretatik: bilaketa bat atebidean LAN iturriarekin, eta benetako eskaera bat LANeko bezero batetik tunelatik pasatu behar duen helmuga batera. Badagoen baina inoiz aukeratzen ez den bide batek biderik ez balego bezala jokatzen du, kontagailuak irakurri arte.