Irteera bereizia: VPN igerilekua usb0-n, atebide trafikoa eth0-n

Bezeroak konektatu eta autentifikatu egiten dira, eta gero haien trafikoa okerreko goranzko estekatik irteten da, makineriako lehenespen-bide bakarra atebidearena bera delako. Lehenespen-bide hori ordezkatzeak makinaren beraren eguneraketak eta kudeaketa-sarbidea hautsiko lituzke, beraz hautaketak «trafiko guztia» baino estuagoa izan behar du. Forma erabilgarria bezero-igerilekuaren barneko iturburu-helbidean oinarritutako politika-arau bat da, WAN alternatiboa duen bigarren bideratze-taula batera seinalatzen duena. Handik aurrera kontrol-zerrenda osotasunaz eta hutsegite-jokabideaz arduratzen da, ez arauaz beraz.

Egiaztatu iturburu-helbidea bideratze-erabakira arte iristen dela

Iturburu-barruti batekin bat datorren politika-araua bilaketa-uneko paketeak iturburu hori oraindik daramanean soilik pizten da. Birbidalitako bezero-trafikoak bai, goian ezerk bideratzearen aurretik berridatzi ez badu. Atebideak berak sortutako trafikoak ez du hori egiten, eta horregatik bertan geratu daiteke atebidearen lehenespen-bidea.

Hemen tokiko probek engainatzen dute. Atebidean exekutatutako curl tokian sortutako fluxua da, atebidearen helbidearekin, beraz taula nagusia hartzen du eta ez du ezer frogatzen bezeroaren bideari buruz. Probatu konektatutako bezero batetik, edo sortu trafikoa igerilekuari benetan dagokion iturburu batekin.

Hasi benetako balioak idazten: igerilekuaren aurrizkia, daraman tunel-interfazea, bigarren WANaren helbidea eta hurrengo jauzia, eta erabili nahi duzun taula-zenbakia. Garbitu aurreko saiakera bateko arau zaharrak berriak gehitu aurretik, lehentasun ezberdinetako arau bikoiztuek ausazkoak diruditen hutsegiteak sortzen baitituzte.

Eraiki hautatutako taula bat osorik

Taula bat ez da lagun bat duen lehenespen-bidea. Nahikoa bide behar ditu bilaketa bakoitza bere barruan ebazteko, WAN azpisarearentzako konektatutako bidea barne, hurrengo jauzia irisgarria izan dadin. tun1-en 10.77.0.0/24 igerileku bat, 203.0.113.1 hurrengo jauzia duen 203.0.113.20/24 WAN helbidea eta 600 taula:

ip -4 route replace 203.0.113.0/24 dev usb0 src 203.0.113.20 table 600
ip -4 route replace 10.77.0.0/24 dev tun1 table 600
ip -4 route replace default via 203.0.113.1 dev usb0 table 600
ip -4 rule add priority 1500 from 10.77.0.0/24 lookup 600

Araua lehendik dagoen dena-hartzen duen edozein arauren azpiko lehentasunean dago, beraz bat datozen bezeroek 600 taula jotzen dute lehenengo eta gainerako guztia taula nagusira erortzen da. ip-rule erreferentzia erreferentziak bilaketa ordenatuaren eredua eta hautatzailearen sintaxia osorik deskribatzen ditu.

Pentsa ezazu gero taulak zer ez duen. Taula nagusian soilik bidea duen helmuga batek, adibidez eth0-tik irisgarria den kudeaketa-azpisare batek, ez du 600 taulan aurkituko eta ez da nagusira itzuliko han lehenespen-bide bat dagoenean. Bide horiek garrantzia badute, gehitu itzazu hautatutako taulan berariaz; hori da, normalean, VPN irteera-taularentzako erantzun egokia.

Eduki entzulearen trafikoa politikatik kanpo

OpenVPN entzuleak bere kanpoko konexioa du, bezeroa iritsi zen goranzko estekatik eramaten dena. Trafiko horrek iritsi zen itzulera-bidea mantendu behar du, eta zerbitzariaren helbide publikoa edo tunel-interfaze osoa hartzen duen arau zabal batek taula alternatibora eraman dezake. Mugatu araua barneko igerilekuari eta beste ezeri ez.

Alderantzizko bidearen iragazketak begirada bat merezi du arrazoi beragatik. Bezeroei erantzunak usb0-tik irteten direnean eskaera beste esteka batetik iritsi bada, rp_filter ezarpen zorrotzak bideratze-politikak baliozkotzat jotzen dituen paketeak gal ditzake. Egiaztatu bi interfazeen sysctl balio eraginkorrak arauak huts egin duela ondorioztatu aurretik.

Ordena ere garrantzitsua da makinerako beste edozeren aldean. Docker zubiek, bigarren VPN batek eta hornitzaileen irudi bateko lehendik dauden arauek lehentasunak gehitzen dituzte, beraz irakurri arauen zerrenda osoa 100 lehentasuna bakarrik dagoela suposatu beharrean.

Egin birbidalketa eta itzulpena bidearekin bat etortzea

Bideratzeak goranzko esteka bat hautatzen du; ez du birbidaltzeko baimenik ematen. Kernelak IPv4 birbidalketa gaituta izan behar du, eta suebakiak onartu behar ditu bezerotik WANerako noranzkoa eta itzulera-trafikoa. Fluxua baztertzen duen FORWARD kate batekin taula zuzen batek bide falta duen sintoma bera ematen du, horregatik biak aldi berean egiaztatzen dira.

Bigarren WANak igerileku pribatu bat zuregana bideratuko ez badu, itzuli iturburua irteera horretan. Helbide dinamikoko interfaze baterako, ohiko aukera igerilekuari eta interfazeari mugatutako masquerade arau estu bat da:

iptables -t nat -A POSTROUTING -s 10.77.0.0/24 -o usb0 -j MASQUERADE

Hemen helburua baino garrantzitsuagoa da irismena. Irteerako edozein interfazerekin bat datorren masquerade arau batek eth0-tik behar bezala irteten den trafikoa ere berridatziko du, eta horrek bideratze-akatsak ezkutatzen ditu zuzendu beharrean. Itzulpena bideratze-erabakiaren ondoren exekutatzen da, beraz ezin du inoiz okerreko goranzko estekara bidalitako pakete bat konpondu.

Tunelaren gainkostuak arreta ere behar du bideak desberdinak direnean. Bezeroek TCP MSS handi bat negoziatzen badute eta WAN alternatiboak MTU baxuagoa edo barnean tunel bat badu, segmentu handiak trabatu egiten dira txikiek funtzionatzen duten bitartean. Birbidalketa-bidean MSS mugatzeak jokabide aurreikusteko modukoa bihurtzen du, noizean behingo blokeoa izan beharrean.

Erabaki zer gertatzen den usb0 desagertzen denean

Taula hutsa ez da hutsegitean ixten duen egoera. Bat datorren bidea desagertzen bada, bilaketak hurrengo arauarekin jarraitzen du, taula nagusira iristen da eta eth0 lehenespen-bidea hartzen du. Bigarren WANetik irten behar zuen trafikoa isilean irteten da lehenenetik, eta politika bidez bideratutako ezarpen batean hori da, normalean, gutxien nahi duzun emaitza.

Atzera-jausi hori onartezina den tokian, gehitu amaierako bide esplizitu bat 600 taulan, adibidez blackhole lehenespen-bide bat, edo bota igerilekua suebakian interfazea behera dagoen bitartean. Bi aukera horietako edozein idatz dezakezun erabakia da; isiltasuna ez.

Iraunkortasuna da azken puntua. Bi esteken jabea nor den, sare-kudeatzailea, bidaltzaile script bat edo konexioaren bizitza-zikloa izan, berreraiki behar ditu bideak eta araua berrikonexio bakoitzean, bikoizturik gehitu gabe. Egiaztatu benetako bezero baten eskaerarekin eta atebidetik egindako eskaera bereizi batekin, berretsi behatutako irteera bietan, gero kendu bigarren WAN eta ikusi diseinatutako bi emaitzetatik zein gertatzen den benetan. IPv6-k bere taula, arau eta itzulpen propioa behar ditu; goiko IPv4 arauak ez du horri buruz ezer esaten.