Nola bereizi VPNak bultzatutako ibilbideak estatikoetatik Linuxen

Aurrizki bat agertzen da eramangarrian tunela igotzen denean, beraz VPNak instalatu duela dirudi. Baliteke, baina emaitza bera etor daiteke konektatzean exekutatzen den bezero-script batetik, azpisarea zerrendatzen duen konexio-profil batetik edo hasieratik han zegoen eta interfazea existitu zenean soilik funtzionatzen hasi zen ibilbide estatiko batetik. Jabe okerra aukeratzeak esan nahi du ibilbidea garbiketa bakoitzaren ondoren itzultzen dela, eta hurrengo pertsonak konponketa bera errepikatzen duela. Beheko sekuentziak hirurak bereizten ditu ezer aldatu aurretik.

1. urratsa: izenda ezazu aurrizkiak instalatzen dituen mekanismoa

Protokolo ezberdinek irisgarritasuna modu ezberdinetan ematen dute, eta hori guztia iragarki deitzeak bereizketa ezkutatzen du. OpenVPN zerbitzari batek ibilbide-direktiba bat bultzatzen du kontrol-kanaletik eta bezeroak instalatu egiten du pull iragazki batek blokeatzen ez badu. WireGuard konfigurazio batek baimendutako aurrizkiak lokalki zerrendatzen ditu, bezeroak kriptogako gakoen bideratzerako eta gehitzen dituen ibilbideetarako erabiltzen dituenak. IPsec tunel batek trafiko-hautatzaileak adosten ditu parearekin, eta kernelak hautatzaile horietatik instalatzen ditu ibilbideak.

Egiaztatu zure tunelak horietako zein erabiltzen duen edozein taula irakurri aurretik. Konektatzean bultzatutako ibilbidea ez da bideratze-protokolo baten iragarkia, eta ez du agintzen aurrizkia urruneko muturraren atzean irisgarria denik. Idatzi mekanismoa aurrizkiaren ondoan, konponketa non dagokion erabakitzen baitu.

2. urratsa: konparatu taula konexio baten zehar

Gorde taula nagusia tunela jaitsita, igo, gorde berriro eta konparatu bi kapturak. Agertu den edozer konexioaren bizi-zikloarena da, eta geratu den edozer tokiko konfigurazioarena.

Kapturatu ip route show table main > /tmp/route-down.txt erabiliz, konektatu eta kapturatu berriro. Egin gauza bera ip -6 route-(r)ekin guneak IPv6 erabiltzen badu, han falta den aurrizki batek bideratzearekin zerikusirik ez dutela ematen duten hutsegiteak sortzen baititu.

3. urratsa: irakurri metrika, ez soilik presentzia

Aurrizki bererako bi sarrerek elkarrekin egon daitezke, eta kernelak metrika baxuena aukeratzen du. 50 metrika duen ibilbide estatiko batek 100ean bultzatutako ibilbideari irabazten jarraituko du, biak ikusgai egon arren, horregatik «ibilbidea han dago» eta «trafikoak erabiltzen du» baieztapen ezberdinak dira.

Galdetu kernelari zuzenean ip route get 10.20.5.7 erabiliz eta irakurri jakinarazten duen interfazea. Trafikoa egokitzaile fisikotik irteten bada ibilbidearen tunel-ibilbidea taulan eserita dagoen bitartean, metrikak edo aurrizkiaren luzerak azaltzen du, ez VPN bezeroak. Errepikatu bilaketa tunelaren atzean dagoela dakizun ostalari batentzat eta ez dakizunarentzat, eta diferentziak erakutsiko du banaketak nahi bezala jokatzen duen.

4. urratsa: aurkitu tunelak baino gehiago irauten duten sarrerak

Ibilbide estatikoek deskonexioa gainditzen dute diseinuagatik, eta hortik datoz sarrera zaharkituak. Existitzen ez den interfaze batera seinalatzen duen ibilbide iraunkor batek azpisare bat isil-isilik irentsi dezake, eta berrerabilitako interfaze-izen batera seinalatzen duen batek trafiko pribatua ate okerretik bidal dezake berrabiarazi ondoren.

Egiaztatu alde iraunkorra zure banaketak erabiltzen duen tokian, systemd-networkd unitatea, NetworkManager profila edo bezeroaren up direktorioko script bat izan. Zuzeneko taula ip route del erabiliz konpontzeak hurrengo konexiora arte baino ez du irauten. Hartu ezabaketa hori hipotesiaren proba gisa, ez konponketa gisa.

Urruneko muturrak estaldura okerra ematen duenean, eraman operadorearenera dena iragazi beharrean. Bultzatutako ezarpen guztiak baztertzeak profilean oinarritzen diren DNS eta tunel zatituaren politika ere baztertzen ditu.

5. urratsa: berretsi itzulera-bidea bezeroari errua bota aurretik

Gune arteko konexio baterako edo tunelaren atzeko azpisare baterako, urruneko aldeak zure bezero-helbidera itzultzeko ibilbide bat behar du eta gatewayan birbidalketa gaituta. Norabide bakarreko bide bat bezeroaren bideratze-errore baten berdin-berdina da, eskua emateak eta irteerako paketeak biak lortzen badute izan ezik.

Alderantzizko bidearen iragazketak bigarren tranpa gehitzen die Linux gatewayei. Ibilbideak aurresaten duen interfazeaz bestelako batean iristen den erantzuna modu zorrotzak baztertzen du, eta bi hornitzaileren bidezko bide asimetrikoek modu fidagarrian eragiten dute. Gatewayko bazterketa-kontagailuek, ez bezeroarenek, esaten dute iragazketa den kausa.

6. urratsa: probatu baliabidea, ez pinga

Aukeratutako ibilbidea zuzena denean, ireki benetako baliabidea eta berretsi itzulera-trafikoa. Ping erantzun batek norabide bateko bidea frogatzen du eta ezer ez zerbitzuari buruz, eta cachean gordetako konexio batean erantzuten duen zerbitzu batek are gutxiago frogatzen du.

Ondoren errepikatu egiaztapen osoa berriz konektatu ondoren. Sekuentziaren balioa hurrengo konexioak zer egingo duen aurresaten duela da, horregatik konparaketa eta metrika biak txartelean sartzen dira.