Grien piktogram, selde iepenbiere IP: hokker rûte de VPN oersloech

It piktogram yn de taakbalke meldt in tunnel, net in standertrûte. Fjouwer kontrôles litte sjen oft de klient de rûte ynstallearre hat, of oft de útgong jo boarne nea oerset hat.

Ferbûn, in grien piktogram yn de taakbalke en in side dy't jo adres werjout en noch altyd it adres fan de provider toant, betsjutte net automatysk in stoaring. In klient docht twa aparte taken: hy bout in tunnel en hy bewurket de routingtabel. Elk kin sûnder de oare barre, en selektive routing is de konfiguraasje wêryn't de twadde mei opsetsin oerslein wurdt.

Wat de klient eins ynstallearre hat

Freegje hokker ynterface in pakket nei in echte bestimming drage soe, ynstee fan te freegjen oft de tunnel omheech is. In tunnel sûnder rûte nei dy bestimming is in partikuliere dyk dêr't nimmen oer giet.

ip route get 9.9.9.9
Find-NetRoute -RemoteIPAddress 9.9.9.9
route print -4

It earste kommando antwurdet op Linux en macOS, en de oare twa binne de Windows-ekwivalinten dêr't ien genôch is. As it antwurd de fysike adapter neamt, is de tunnel omheech en hat de standertrûte him nea ferpleatst. Werhelje de kontrôle foar in bestimming dy't de tunnel brûke moat, want twa kontrôles, ien fierôf en ien gewoan, fertelle hokker ûntwerp ynset is.

Trije foarmen fan selektive routing

In folsleine tunnelprofyl skriuwt meastentiids in standertrûte nei de ynterface, of skriuwt it pear healberik-prefiksen dat op prefikslange wint wylst de oarspronklike standert yn 'e tabel bliuwt. Selektive routing is de oare kar, en dy komt yn ferskate foarmen. Ien profyl rûtet ien host lykas in RDP-tsjinner, in oar rûtet in iepenbier berik dêr't men fan in bepaald plak komme moat, en in tredde slút ien applikaasje mei opsetsin út. Alle trije binne rjochtmatich, en gjinien feroaret it adres dat in gewoane website sjocht.

grep -nE "redirect-gateway|route-nopull|route " /etc/openvpn/client/*.conf
ip route show table main | head -20

Lês it profyl foar de rjochtline dy't beslút, en dan de tabel foar wat dy oplevere hat. In triuwde rjochtline kin ek op de klient dempe wurde, dêrom moatte profyl en tabel oerienkomme foar't jo de tsjinner de skuld jouwe.

De oare kant moat it boarneadres oerskriuwe

Der is in twadde stoaring dy't fan de browser ôf identyk liket. De rûte wiist de tunnel yn, de tsjinner ûntfangt de pakketten en stjoert se dan troch mei it partikuliere adres fan de klient ûnoantaaste. De folgjende hop hat gjin weromwei foar dat adres, dus antwurden ferdwine en siden hingje. De tsjinner moat hielendal trochstjoere, en hy moat de boarne oersette yn eat dat it ynternet werom rûte kin.

sysctl net.ipv4.ip_forward
iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
iptables -t nat -S | grep MASQUERADE

Neam de ynterface dy't echt nei it ynternet sjocht, wat op in moderne distribúsje net altyd eth0 is. In hoste tsjinner mei in fêst adres kin eksplisyt nei dat adres oersette ynstee fan masquerade te brûken. Beide helten telle, want trochstjoere sûnder oersetting lekt net-rûtebere boarnen, wylst oersetting sûnder trochstjoere it pakket nea sjocht.

Namme-oplossing giet syn eigen paad

Ferfier kin troch de tunnel nei bûten gean wylst de kontrôle dy't de namme fûn nei in resolvers op it lokale netwurk gie. It sichtbere adres bliuwt itselde, de fragen net, en krekt dy kleau is wat in splitst DNS-ûntwerp kiest.

resolvectl status | head -20
resolvectl query example.org

Merk op hokker tsjinner antwurde en oft dy fan de basisline foar de tunnel ferskilt. Op in splitst tunnel is dat meastentiids de ynstelling dy't minsken feroarje woene doe't se oer it adres kleiden, en it is dejinge dêr't se nea nei seagen.

Fjouwer waarnimmings dy't it besljochtsje

Fêstlizze it útgongsadres mei de tunnel del, en dan mei de tunnel omheech. Rin de bestimmingskontrôle yn beide tastannen en notearje elke kear de ynterface.

curl -sS https://ifconfig.me/ip
ip route get 9.9.9.9

As de kontrôle yn 'e tunnel falt en it weroanbring noch altyd it adres fan de provider toant, ûntbrekt de oersetting by de útgong. As de kontrôle op de fysike adapter falt, is it profyl selektive en wie it iepenbiere adres nea yn byld. Ferfang de weroanbringtsjinst troch ien dy't jo fertrouwe en skriuw de fjouwer waarnimmings byinoar op, want apart binne it anekdoates. Byinoar litte se sjen wa fan de twa taken de klient echt dien hat.

Relatearre artikelen