Hoe'tsto de útgong fan Linux beskoattelje kinst sadat der neat lekket as de VPN falt

Stel dy in mediaboks foar op in thúsferbining dy't it ynternet allinnich fia in tunnel berikke moat. As de tunnel falt, moat de applikaasje stopje ynstee fan stil troch te gean oer de fysike ynterface. Dat gedrach krijen is in probleem fan de firewall en net fan rûten, en it ferskil is fan belang om't in rûte ferfongen wurde kin troch in werstart fan de daemon, wylst in filter bliuwt dêr'tsto it setst. Hjirnei folget hoe't it pakketpaad eins beslút, en dan hoe't de útsûnderingen beheind wurde moatte dy't de tunnel wer ferbine litte.

Lokale útgong is in oare haak as trochstjoeren

In pakket dat in applikaasje op de masine ferlit giet troch de útgongshaak; in pakket dat de masine foar in oare host rûtet giet troch trochstjoeren. In belied dat allinnich forward neamt beheint it twadde en lit it earste hielendal iepen, en dêrom sjogge safolle útgongsslotten der goed út en dogge se neat. Ynterface-oerienkomst heart by deselde regel: oifname "tun0" accept lit ferkear troch dat al troch de tunnel rûte is. Rûten en filterjen bliuwe ek aparte besluten, sadat in uplink-rûte bestean kin wylst it filter it pakket wegert. Op dy skieding fertrouwe jo.

In gateway dy't foar oare apparaten trochstjoert hat beide haken nedich. Allinnich de útgong beskoattelje beskermet de masine sels en lit elke klant derûnder frij om te lekken.

Skriuw de list fan útsûnderingen fan it einpunt nei bûten

Begjin by it einpunt fan de tunnel: ien bestimmingsadres of in lytse goedkarde set, it transportprotokol en de bestimmingspoarte, bygelyks udp dport 1194 ip daddr 203.0.113.7 accept. As de klant in hostnamme oplost, hat de begjinnende DNS-útwikseling in eigen regel nedich, beheind ta de resolver en ta poarte 53, net in algemiene tastimming foar it adres fan dy resolver. Elke útsûndering heart de reden te neamen wêrom't se bestiet. In tastimming foar al it UDP-ferkear nei de VPN-poarte dekt folle mear as de iene autentisearre tsjinst dy'tsto yn 't sin hiest.

De begjinnende oplossing is it plak dêr't slotten ornaris ferrotsje. In adressset dy't op in timer ferfarske wurdt hat definiearre gedrach nedich as it ferfarskjen mislearret, en dat gedrach kin net wêze om de ferbining iepen te setten oant it slagget. Ferfarskje oer de tunnel salang't de tunnel oerein is, en fal oars werom op it lêste bekende goede einpunt.

Lokaal behear hat deselde behanneling nedich. In behearsubnet is net betrouber om't syn adressen privee binne, en in regel dy't derop fertrout noadiget in twadde paad om it slot hinne út.

Ynterface-oerienkomst is gjin bewiis fan in sûne tunnel

Regels dy't alles akseptearje wat tun0 ferlit, geane derfan út dat in pakket op dy ynterface fan de tunnel kaam. Ynterfacenammen wurde op 'e nij makke, en in namme is gjin kryptografyske identiteit. De peer kin ek fuort wêze wylst de ynterface oerein bliuwt, wat de regel in tige oertsjûgjende non-aksje makket.

Ferbiningsfolgjen foeget in besibbe falstrik ta. In brede regel foar fêstige ferbiningen spilet de tastimming werom dy't in flow earder krige, sadat in sesje dy't begûn foardat de tunnel foel, dêrnei trochgiet. Behein steatbefestige akseptaasje ta de ynterfaces en adressen dy'tsto echt bedoelst, oars hast in slot boud dat himsels iepenet. Yn- en útgongsregels beantwurdzje ek ferskillende fragen, en ien hurder meitsje wylststo de oare negearst lit de masine berikber yn 'e rjochting dy'tsto net betocht hast.

Wat in daemon-crash oerlibbet

In filter dat ynstallearre wurdt troch in skript dat draait nei't de tunnel omheech giet, ferdwynt mei de tunnel, krekt op it momint dat it nedich wie. Laad it slot by it opstarten en lit de daemon allinnich syn útsûnderingen beheare.

De standertrûte wiskje is ek gjin ferfanging. De rûte is steat dy't de daemon besit en oerskriuwt, en it fuortheljen kin it paad weinimme dat nedich is om wer te ferbinen. IPv6 hat syn eigen plan nedich, om't buoropspoaring en router-oankundigings keppelingstsjinsten binne dy't trochgean moatte wylst gewoan ferkear blokkearre is. DHCP heart by deselde kategory. Skriuw dizze dingen op as útsûnderingen mei in doel, ynstee fan se letter as steuringen te ûntdekken.

Herstelpaad foar de ynset

Test it slot sa't it mislearje sil: opstarte sûnder tunnel, de daemon deadzje, it einpunt feroarje en wer ferbine. Elk gefal heart de applikaasjes stopje te litten en it herstelkanaal wurkjend te hâlden. Doch it fan in konsôle, om't in remote shell de sesje is dy't it meast wierskynlik troch dyn eigen regel bûten sleatien wurdt.

Kontrolearje dan wat in gewoane applikaasje noch berikke kin, mei in harmless bestimming en in fersyk datsto ferifiearje kinst. It resultaat datsto wolst is in wegering op 'e uplink en sukses troch de tunnel, net in dûbelsinnige time-out dy't beide betsjutte kin. Hâld de regelset ûnder deselde eigner as de rest fan 'e firewall, ynstee fan de hiele tabel te ferfangen út in shellskript. In belied wêryn't elke tastimming himsels rjochtfeardigje kin is mear wurdich as in lange regelset dy't nimmen útlizze kin.