Reititä OpenVPN-asiakkaat Cloudflaren kautta? Tarkista ensin rooli
Laiteasiakas ei ole reititin. Varmista, että Cloudflaren rooli välittää muiden isäntien paketit, ja pidä palvelimen oma tunneli vanhalla polullaan.
Sinulla on toimiva OpenVPN-palvelin ja isäntä, joka ajaa myös Cloudflaren laiteohjelmistoa, ja ilmeinen seuraava askel näyttää siltä, että asiakasliikenne ohjataan siihen. Kaksi toimivaa yhteyttä yhdessä koneessa ei muodosta siirtoyhdyskäytävää. Puuttuu rooli, joka on dokumentoitu välittämään toiselle kuuluvia paketteja, ja käytäntö, joka luokittelee ne paketit niiden saapuessa.
Ennen mitään sääntöä tulee neljä kysymystä: mikä liikenne tulee sisään, minne se menee seuraavaksi, miten vastaukset löytävät paluutien ja mitä suunnittelu tekee, kun se toinen polku pettää. Kaksi ensimmäistä ovat kyvykkyyskysymyksiä.
Kaksi palvelua yhdellä isännällä ei ole siirtopolku
Laiteasiakas on rakennettu käsittelemään liikennettä, joka syntyy koneessa, jossa se toimii. Se sieppaa nimien selvityksen tai valitun sovellusliikenteen ja lähettää sen oman tunnelinsa kautta, ja sen käytäntö on kirjoitettu kyseisen laitteen käyttäjälle ja kyseisen laitteen prosesseille. OpenVPN-asiakkaasta välitetty paketti ei ole paikallinen lähtö, joten samat säännöt eivät luokittele sitä. Tämä ei ole kokoonpanon yksityiskohta, jonka voisi peittää laajemmalla säännöllä, koska se ratkaisee, näkeekö ohjelmisto paketin lainkaan.
Siksi suunnittelukysymys on kyvykkyyskysymys. Joko asennetulla tuotteella on dokumentoitu rooli, joka välittää liikennettä muille verkoille, tai siirtofunktio kuuluu kokonaan muualle.
Mikä Cloudflaren rooli saa välittää
Cloudflaren laiteasiakas tarjoaa tiloja, jotka eroavat laajuudeltaan: vain nimien selvitys, laitteesta tuleva liikenne ja joskus molemmat. Mikään näistä tiloista ei tee isännästä reititintä yksityiselle alueelle, joka saapuu toisen tunnelin kautta. Erillinen reititysrooli on oma tuote, jolla on oma liitin, rekisteröinti ja verkkömalli.
| Question | What has to answer it |
|---|---|
| Does the installed product forward packets from other hosts? | A documented routing or connector role, not a device mode |
| Which prefixes does the connector advertise? | Its own configuration and status output |
| Does the server's own transport still take the old path? | ip route get for the endpoint, before and after |
| Do replies return through the same path? | Connection tracking counters on the forward rule |
Tarkista asennettu rooli ennen kuin suunnittelet reittejä sen ympärille. Lue, minkä liitännän liitin luo, mainostaako se tiettyjä etuliitteitä vai oletusreittiä, ja soveltuuko paikallinen käytäntö välitettyihin paketteihin samoin kuin paikallisiin. Jos vain paikallista liikennettä käsitellään, OpenVPN-palvelin ei voi olla siirtopiste, kirjoitettiinpa käännössääntö miten tahansa.
Tässä on myös julkisen lähdön vaatimus muotoiltava täsmällisesti. Cloudflaren tarjoama lähtö välitetylle asiakasliikenteelle on tietty käyttötapaus, ja se on vahvistettava sitä palvelua vasten, joka sinulla todella on.
Pidä ulompi tunneli riippumattomana uudesta reitistä
Heti kun lisäät oletusreitin uuteen liitäntään, palvelimen oma lähtevä liikenne alkaa kilpailla siitä, ja se sisältää vastaukset OpenVPN-asiakkaille ja SSH-istuntosi koneeseen. Tavallinen oire on tunneli, joka muodostuu ja sitten kuolee, tai ylläpitäjä, joka jää ulos lukituksi muutoksen näyttäessä toimineen. Vertaa ip route get -komentoa päätepisteelle ennen ja jälkeen, ja käytä käytäntöpohjaista reititystä tai isäntäreittiä pitääksesi palvelimen oman siirron siellä, missä se oli. Tee tämä vertailu koneesta itsestään, koska palvelimen oma näkemys reitistään on se, jolla on merkitystä.
Poikkeus palvelimen julkiselle osoitteelle ei yksin riitä, koska jokaisen etäylläpitäjän paluupolku on eri virtaus. Päätä, minkä näistä virtauksista on selvittävä muutoksesta, ja tarkista sitten jokainen sen sijaan, että olettaisit ensimmäisen kattavan loput.
Rajaa välitys ja käännös yhteen virtaukseen
Vastaanotetut paketit seuraavat välityspolkua, eivät paikallisen lähdön polkua, joten ratkaiseva sääntö elää forward-koukussa. Missä seuraava liitäntä tarvitsee käännöksen, rajaa lähde asiakaspooliin, kohde sallittuun ja lähtö siihen yhteen liitäntään. Vain liitäntään sidottu masquerade-sääntö ei valitse itse reittiä eikä salli välitystä minkään muun suodattimen ohi.
Päätä sulkeutumiskäyttäytyminen etukäteen ja testaa se sitten. Pysäytä seuraava polku ja vahvista, että asiakkaat menettävät aiotun lähdön sen sijaan, että putoaisivat hiljaa tavalliselle ylävirran linkille, sillä se on tulos, jota kukaan ei huomaa ennen kuin liikenne lähtee väärästä ovesta. Toista tarkistus nimien selvitykselle ja IPv6:lle, koska vain v4:n säännöstö jättää v6-polkun avoimeksi.
Kirjoita muistiin ne neljä vastausta, joihin päädyit, ja havainto, joka osoittaa kunkin. Siirtopolku, jonka voit kuvata, on sellainen, jonka voit puolustaa seuraavassa tapahtumakatsauksessa.