OpenVPN bezeroak Cloudflaren bidez bideratu? Egiaztatu lehenik rola
Gailu-klientea ez da bideratzailea. Egiaztatu Cloudflare rolaren beste ostalarien paketeak birbidaltzen dituela, eta eutsi zerbitzariaren beraren tunelari bere bide zaharrean.
OpenVPN zerbitzari funtzionatzen duzun bat eta Cloudflareren gailu-softwarea ere exekutatzen duen ostalari bat dituzu, eta hurrengo urrats nabarmena bezeroen trafikoa hara bideratzea dirudi. Makina bakarrean funtzionatzen duten bi konexioek ez dute trantsitu-pasabide bat osatzen. Falta dena beste norbaitekiko paketeak birbidaltzeko dokumentatuta dagoen rol bat da, eta pakete horiek iristean sailkatzen dituen politika bat.
Edozein erregelaren aurretik lau galdera daude: zein trafiko sartzen da, norantz doa ondoren, nola aurkitzen dute erantzunek itzulera-bidea, eta zer egiten du diseinuak bigarren bide horrek huts egiten duenean. Lehenengo biak gaitasun-galderak dira.
Ostalari bakarrean bi zerbitzuk ez dute trantsitu-bidea osatzen
Gailu-klientea exekutatzen den makinan sortzen den trafikoa kudeatzeko eraikita dago. Izen-bereizmena edo hautatutako aplikazio-trafikoa atzematen ditu eta bere tunel propiotik bidaltzen du, eta bere politika gailu horren erabiltzailearentzat eta gailu horren prozesuentzat idatzita dago. OpenVPN bezero batetik birbidalitako paketea ez da irteera lokala, beraz erregela berberek ez dute sailkatzen. Hori ez da erregela zabalago batekin estal daitekeen konfigurazio-xehetasun bat, softwareak paketea ikusten duen ala ez erabakitzen baitu.
Horregatik diseinu-galdera gaitasun-galdera da. Edo instalatutako produktuak beste sare batzuetarako trafikoa birbidaltzen duen dokumentatutako rol bat du, edo trantsitu-funtzioa erabat beste leku batekoa da.
Cloudflareren zein rolek du birbidaltzeko baimena
Cloudflareren gailu-klienteak irismenean desberdinak diren moduak eskaintzen ditu: izen-bereizmena soilik, gailutik datorren trafikoa eta batzuetan biak. Modu horietako batek ere ez du ostalaria barruti pribatu baterako bideratzaile bihurtzen, beste tunel batetik iristen dena. Bideratze-rol dedikatua produktu bereizia da, bere konektorea, erregistroa eta sare-eredua dituena.
| Question | What has to answer it |
|---|---|
| Does the installed product forward packets from other hosts? | A documented routing or connector role, not a device mode |
| Which prefixes does the connector advertise? | Its own configuration and status output |
| Does the server's own transport still take the old path? | ip route get for the endpoint, before and after |
| Do replies return through the same path? | Connection tracking counters on the forward rule |
Egiaztatu instalatutako rola haren inguruan bideak diseinatu aurretik. Irakurri konektoreak zein interfaze sortzen duen, prefijo zehatzak ala bide lehenetsia iragartzen duen, eta tokiko politikak birbidalitako paketeei zein tokikoei aplikatzen zaien. Tokiko trafikoa soilik kudeatzen bada, OpenVPN zerbitzaria ezin da trantsitu-puntua izan, itzulpen-erregea nola idatzi den ere.
Hemen ere irteera publikoaren baldintza zehaztasunez adierazi behar da. Cloudflarek birbidalitako bezero-trafikorako ematen duen irteera erabilera-kasu zehatza da, eta benetan duzun zerbitzuaren aurka egiaztatu behar da.
Eutsi kanpoko tunelari bide berritik independente
Interfaze berrirantz bide lehenetsia gehitzen duzun unean, zerbitzariaren beraren irteera-trafikoa harekin lehiatzen hasten da, eta horrek OpenVPN bezeroei ematen zaizkien erantzunak eta makinarako zure SSH saioa barne hartzen ditu. Ohiko sintoma ezartzen den eta gero hiltzen den tunel bat da, edo aldaketa funtzionatu balu bezala kanpoan giltzapetuta geratzen den administratzaile bat. Alderatu ip route get amaierako punturako aurretik eta ondoren, eta erabili politika bidezko bideratzea edo ostalari-bide bat zerbitzariaren beraren garraioa zegoen tokian mantentzeko. Exekutatu konparazio hori makinatik bertatik, zerbitzariak bere bideari buruz duen ikuspegia baita axola duena.
Zerbitzariaren helbide publikorako salbuespena ez da nahikoa bere horretan, urruneko administratzaile bakoitzaren itzulera-bidea fluxu ezberdina baita. Erabaki fluxu horietatik zeintzuk gainditu behar duten aldaketa, eta gero egiaztatu bakoitza, lehenak gainerakoak estaltzen dituela suposatu ordez.
Mugatu birbidaltzea eta itzultzea fluxu bakarrera
Jasotako paketeek birbidaltze-bidea jarraitzen dute, ez irteera lokalaren bidea, beraz axola duen erregela forward kakoan bizi da. Lehenengo interfazeak itzulpena behar duen tokian, mugatu iturburua bezero-poolera, helburua baimendutakoa eta irteera interfaze bakar horretara. Interfaze batera soilik lotutako masquerade erregela batek ez du bere kabuz biderik aukeratzen eta ez du beste edozein iragazki gaindituz birbidaltzen uzten.
Erabaki hutsegitean ixteko jokabidea aurretik eta gero probatu. Gelditu hurrengo bidea eta egiaztatu bezeroek aurreikusitako irteera galtzen dutela isilik ohiko uplink-era itzuli ordez, hori baita inork nabaritzen ez duen emaitza trafikoa ate okerretik atera arte. Errepikatu egiaztapena izen-bereizmerako eta IPv6rako, v4 soilikeko erregela-multzo batek v6 bidea irekita uzten baitu.
Idatzi erabaki zenituen lau erantzunak eta bakoitza frogatzen duen behaketa. Deskriba dezakezun trantsitu-bide bat hurrengo gertaeren berrikuspenean defenda dezakezuna da.