OpenVPN-klanten troch Cloudflare liede? Kontrolearje earst de rol
In apparaatkliïnt is gjin router. Befêstigje dat de Cloudflare-rol pakketten fan oare hosts trochstjoert, en hâld de eigen tunnel fan 'e tsjinner op syn âlde paad.
Jo hawwe in wurkjende OpenVPN-tsjinner en in host dy't ek de apparaatsoftware fan Cloudflare draait, en de foar de hân lizzende folgjende stap liket it stjoeren fan kliïntferkear dêrhinne te wêzen. Twa wurkjende ferbiningen op ien masine foarmje gjin transit-gateway. Wat ûntbrekt is in rol dy't dokumintearre is om pakketten troch te stjoeren dy't fan immen oars binne, en in belied dat dy pakketten klassifisearret as se oankomme.
Foar elke regel komme fjouwer fragen: hokker ferkear komt der yn, wêr't giet it dêrnei hinne, hoe fine de antwurden de wei werom, en wat docht it ûntwerp as dat twadde paad misbilt. De earste twa binne fragen oer fermogen.
Twa tsjinsten op ien host binne gjin transitpaad
In apparaatkliïnt is boud om ferkear te behanneljen dat ûntstiet op 'e masine dêr't er draait. Hy ûnderskept nammeoplossing, of selektearre applikaasjeferkear, en stjoert it troch syn eigen tunnel, en syn belied is skreaun foar de brûker fan dat apparaat en de prosessen fan dat apparaat. In pakket dat fan in OpenVPN-kliïnt trochstjoerd wurdt is gjin lokale útfier, dus deselde regels klassifisearje it net. Dat is gjin detail fan 'e konfiguraasje dat jo mei in bredere regel bedekke kinne, want it beslút oft de software it pakket wol sjocht.
Dêrom is de ûntwerpfraach in fraach oer fermogen. Of it ynstallearre produkt hat in dokumintearre rol dy't ferkear foar oare netwurken trochstjoert, of de transitfunksje heart hielendal earne oars.
Hokker Cloudflare-rol mei trochstjoere
De apparaatkliïnt fan Cloudflare biedt modi dy't ferskille yn omfang: allinnich nammeoplossing, ferkear fan it apparaat, en soms beide. Gjin fan dy modi makket de host in router foar in prive-berik dat oer in oare tunnel oankomt. De wije routingrol is in apart produkt mei syn eigen konnektor, registraasje en netwurkmodel.
| Question | What has to answer it |
|---|---|
| Does the installed product forward packets from other hosts? | A documented routing or connector role, not a device mode |
| Which prefixes does the connector advertise? | Its own configuration and status output |
| Does the server's own transport still take the old path? | ip route get for the endpoint, before and after |
| Do replies return through the same path? | Connection tracking counters on the forward rule |
Kontrolearje de ynstallearre rol foardat jo rûtes deromhinne ûntwerpe. Lês hokker ynterface de konnektor makket, oft er spesifike prefiksen of in standertrûte oankundiget, en oft it lokale belied jildt foar trochstjoerde pakketten likegoed as foar lokale. As allinnich lokaal ferkear behannele wurdt, kin de OpenVPN-tsjinner it transitpunt net wêze, hoe't de oersettingsregel ek skreaun is.
Hjir moat ek in eask foar in iepenbiere útgong krekt formulearre wurde. In troch Cloudflare levere útgong foar trochstjoerd kliïntferkear is in spesifyk gebrûksgefal, en it moat befêstige wurde tsjin 'e tsjinst dy't jo wier hawwe.
Hâld de bûtenste tunnel ûnôfhinklik fan 'e nije rûte
Op it stuit dat jo in standertrûte nei de nije ynterface tafoegje, begjint it eigen útgeande ferkear fan 'e tsjinner derom te konkurrearjen, en dat omfettet antwurden oan de OpenVPN-kliïnten en jo SSH-sesje nei de masine. It gewoane symptoom is in tunnel dy't him festiget en dan stjert, of in administrator dy't bûtensluten wurdt wylst it liket dat de feroaring wurke hat. Fergelykje ip route get foar it einpunt foar en nei, en brûk beliedsrouting of in hostrûte om it eigen transport fan 'e tsjinner te hâlden dêr't it wie. Fier dy fergeliking fan 'e masine sels út, want it eigen byld fan 'e tsjinner fan syn rûte is dat wat telt.
In útsûndering foar it iepenbiere adres fan 'e tsjinner is op himsels net genôch, want de weromwei fan elke fjirde administrator is in oare stream. Beslút hokker fan dy streamen de feroaring oerlibje moatte, en kontrolearje dan elk ynstee fan oan te nimmen dat de earste de rest beslacht.
Behein it trochstjoeren en oersetten ta ien stream
Untfongen pakketten folgje it trochstjoerpaad, net it lokale útfierpaad, dus de regel dy't telt libbet yn 'e forward-heak. Wêr't de folgjende ynterface oersetten nedich hat, behein de boarne ta de kliïntpool, de bestimming ta wat tastien is en de útgong ta dy iene ynterface. In masquerade-regel dy't allinnich oan in ynterface keppele is, kiest sels gjin rûte en lit gjin trochstjoeren oer in oar filter ta.
Beslút it gedrach by mislearren fan tefoaren, en test it dan. Stop it folgjende paad en befêstigje dat kliïnten de bedoelde útgong ferlieze ynstee fan stil werom te fallen op 'e gewoane uplink, want dat is de útkomst dy't nimmen merkt oant it ferkear troch de ferkearde doar nei bûten giet. Werhelje de kontrôle foar nammeoplossing en foar IPv6, want in regelset allinnich foar v4 lit in v6-paad iepen.
Skriuw de fjouwer antwurden op dêr't jo by útkommen binne en de waarnimming dy't elk dêrfan bewissiget. In transitpaad dat jo beskeaue kinne is ien dat jo by de folgjende ynsidintbesprekking ferdigenje kinne.