VPN bezeroak ezabatzen du zuk gehitutako bidea? Erabili politika-taula bat

Laborategiko inprimagailu baterako /24 bat desagertzen da ip route show dei bien artean, eta bezeroaren erregistroak sareak aldatu duela besterik ez du esaten. Ez zegoen ezer gaizki komandoan, aurrizkian edo zure pribilegioetan. Hostaren bideratze-eredua duen enpresa-bezero batek eredu hori berrezartzen du beste norbaitek aldatzen duen bakoitzean, beraz gehitu duzun sarrera intruso gisa kentzen da. Taula berean haren aurka borrokatzea posizio galdua da. Konponbidea taula horrekiko lehia erabat uztea eta salbuespena monitoreak inoiz begiratzen ez duen lekuan jartzea da.

Monitoreak azaltzen du desagertutako bidea

Erakutsi hori ezer birformulatu aurretik: irakurri taula, gehitu aurrizkia, itxaron segundo batzuk, irakurri berriro. Sarrera ez badago eta hura kentzeko ezer idatzi ez baduzu, agente bat zelatan dago. Aurkitu jokabide horren jabe den prozesua eta irakurri haren egunkaria bidea desagertzen den uneko inguruan, zerbitzu berak tunela, pakete-iragazkiak eta resolver konfigurazioa mantendu ohi baititu. Hura hiltzea zure bidea mantentzeko truke bat da, hurrengo berrikonexioan damutuko zarena.

ip route show
ip route add 192.168.2.0/24 dev enp0s31f6
sleep 5; ip route show

Goiko aurrizkia eta interfazea leku-markak dira. Interfaze-izen bat beste makina bateko adibide erabilgarri batetik kopiatzea da demostrazio honek ezer ere ez emateko arrazoi ohikoena.

Bigarren taula bat ikusezina da monitorearentzat

Agenteak berak duen taula baino ez du berreraikitzen. Emaiozu salbuespenari bere taula bat eta helmuga egokiak hara bidaltzen dituen arau bat, eta taula nagusia ez da inoiz aldatzen, beraz agenteak ez du ezer zuzentzeko. Hori da ideia osoa: beste norbaitek mantentzen duen bideen izen-espazio bat, eta zu bakarrik ukitzen duzun beste bat.

Trukea mantentze-lana da. Bi objektu elkarrengandik aldendu daitezke, eta arauak zerrendan duen posizioak beste zerikusi du hautatzen duen taularen barruko bideak adina.

Eraiki salbuespena eta gero egin irabazten

Sortu taula, instalatu bidea eta gehitu helmuga horretarako taula hautatzen duen arau bat. Lehentasunak erabakitzen du zure araua bezeroak txertatutako aurretik edo ondoren kontsultatuko den, eta geroago ordenatzen den arau batera ez da inoiz iristen, beraz zenbakia diseinuaren parte da eta ez apaingarria. Gero galdetu nukleoari zer egingo lukeen benetan, konfiguratu duzunaren beste galdera bat baita.

ip rule add to 192.168.2.0/24 table 110 pref 30010
ip route add 192.168.2.0/24 dev enp0s31f6 table 110
ip route get 192.168.2.50

ip route get nukleoak erabiliko lukeen bidea ebazten du, gailua eta iturburu-helbidea barne. Ez du taularen identifikatzailea inprimatzen, beraz konbinatu ip rule show-rekin zein taulak irabazi zuen baieztatzeko behar duzunean. Elkarrekin garrantzia duen galdera bakarra erantzuten dute: helbide horretarako trafikoa zuk nahi zenuen lekutik irteten al da?

Ideia beraren beste forma batzuk

Eredua orokortu egiten da helmugatan pentsatzeari uzten diozunean. Sare lokal batek irisgarri jarrai dezake tunelak bide lehenetsia mantentzen duen bitartean. LANera konektatutako SSH zerbitzari baten erantzunek iritsi ziren interfazetik irten daitezke tunelera desagertu beharrean. Eta interfazean oinarritutako arau batek haririk gabeko interfazera iristen den guztia tunelera bultza dezake, hostak berak sortutako trafikoa Etherneten geratzen den bitartean:

ip rule add iif wlan0 table 10
ip route add default dev tun0 table 10

Azken kasu hori sarrerako interfazearekin bat dator, ez helmugarekin, eta hori beste arau-mota eta beste pentsamendu-eredu bat da. Birbidalitako trafikoak net.ipv4.ip_forward gaituta behar du ere, eta urruneko aldeak iturburu-barrutia atzera bideratu edo itzuli behar du; makina bateko arau batek ez du inoiz bidearen beste erdia sortzen.

Hartu araua behin-behinekotzat

Arauak eta taula-bideak memorian bizi dira. Berrikonexioaren ondoren tunel-gailuaren izena alda daiteke, esleitutako helbidea mugi daiteke, eta balio zaharra duen araua isilka uzten da bat etortzen. Aplikatu berriro aldaketa osoa hura duen script bakar batetik, eta gero egiaztatu berriro ip rule show, uneko gailu-izena eta ip route get berri bat benetako helmuga baten aurka, salbuespenari fidel zaizkion aurretik.

Bi muga bizirik atera dira zainketa guztien ondoren. Bezeroak oraindik bere iragazki-arauak eta resolver konfigurazioa kontrolatzen ditu, eta bideratze-salbuespen batek ez du inor gainditzen. Bezeroak zure politika-araua ere ezabatzen badu, onartutako bideak bere split-tunnel politika edo bideak kudeatzen uzten dizun bezero bat dira, hala nola OpenConnect; hornitzaile baten binarioa adabakiz haren monitorea isilaraztea integritate-egiaztapen batekin lotutako mantentze-konpromisoa da.

Idatzi taula-zenbakia, lehentasuna eta helmuga scriptaren ondoan dagoen ohar batean. Bestela, hurrengo pertsonak tunela gainditzen duen arau bat aurkituko du eta ez du jakingo zergatik.