OpenVPN tolláin iomláin: cuir eisíocht idirlín leis ar thaobh an fhreastalaí

Déanann cliant fíordheimhniú, faigheann sé seoladh ón linn agus sroicheann sé seirbhísí ar óstach VPN, ach téann gach ceann scríbe poiblí thar am. Sin é an chuma a bhíonn ar thollán gan eisíocht, agus fanann sé mar sin go dtí go mbeidh ceithre rud ar leith fíor. Caithfidh an cliant glacadh le bealach réamhshocraithe, caithfidh an freastalaí cur ar aghaidh, caithfidh an balla dóiteáin an trasnú a cheadú, agus teastaíonn bealach ar ais chuig an linn ó na freagraí. Tá an tsiomptóm chéanna ag na ceithre mhainneachtain, mar sin athraigh mír amháin in aghaidh an iarrachta agus scríobh síos an toradh.

Brúigh an bealach réamhshocraithe agus dearbhaigh cad a shuiteáil an cliant

Tá an líne ar thaobh an fhreastalaí gearr, agus ní bhíonn tionchar aici ach ar chliaint a ghlacann le roghanna brúite. Suiteálann an fhoirm def1 dhá leathbhealach réamhshocraithe in ionad an réamhshocraithe atá ann a scriosadh, rud a choinníonn an nasc reatha beo agus a ghabhann gach ceann scríbe fós.

push "redirect-gateway def1"

Tar éis athnascadh, léigh tábla ródaithe an chliaint seachas muinín a chur sa phróifíl. Ar Linux tagann an dá iontráil /1 chun solais in aice leis an réamhshocraithe bunaidh, agus taispeánann Windows an phéire céanna mar 0.0.0.0/1 agus 128.0.0.0/1. Coinníonn cliant a dhéanann neamhaird de roghanna brúite, nó ceann atá cumraithe chun iad a dhiúltú, a sheanréamhshocraithe agus ní sheolann sé trácht idirlín isteach sa tollán riamh. Réitigh an cheist sin sula n-athraíonn tú aon rud ar an bhfreastalaí, mar ní féidir le haon riail ar thaobh an fhreastalaí é sin a chúiteamh.

Is socrú freastalaí é cur ar aghaidh, ní socrú VPN

Léigh an bratach cur-ar-aghaidh sula dteagmhaíonn tú le ródú. Ciallaíonn nialas ansin go bhfaigheann an eithne paicéad an chliaint agus go ndiúltaíonn sé é a rith ar aghaidh, rud a fhéachann go beacht le bac balla dóiteáin ón taobh thall. Socraigh an luach trí chomhadlann chumraíochta an chórais ionas go mairfidh sé athluchtú.

sysctl net.ipv4.ip_forward
echo 'net.ipv4.ip_forward=1' | sudo tee /etc/sysctl.d/99-vpn-forward.conf
sudo sysctl --system

Ansin, dearbhaigh go bhfuil bealach oibre ag an óstach féin chuig eisíocht an idirlín. Cruthaíonn iarratas ó bhlaosc an fhreastalaí go bhfuil an bealach suas-srutha inúsáidte agus ní deir sé aon rud faoi phaicéad cliaint a chur ar aghaidh, mar sin caith leo mar dhá thriail ar leith. Mura féidir leis an bhfreastalaí an ceann scríbe a shroicheadh, ní chabhróidh aon mhéid cumraíochta cur-ar-aghaidh.

Lig isteach go díreach an trasnú atá i gceist agat, agus ní aon rud eile

Téann paicéid churtha ar aghaidh trasna an bhealaigh forward; téann trácht atá dírithe ar óstach VPN féin trasna input. Cinntí ar leith iad sin, agus ní cheadaíonn oscailt an bhealaigh input trasnú tríd an meaisín. Is é a meascadh an chúis is coitianta go bhfeictear balla dóiteáin ag ceadú gach rud agus na cliaint fós ag dul thar am.

Glacann polasaí íosta le naisc nua ón linn i dtreo an chomhéadain eisíochta agus glacann sé le freagraí a bhaineann le sruthanna bunaithe. Cuir é san úinéir tacar rialacha a úsáideann do dháileadh, seachas riail dhúblach a chur leis ag gach tosú; cruinníonn rialacha dúblacha agus éiríonn na cuntair gan bhrí.

sudo iptables -A FORWARD -i tun0 -o eth0 -s 10.90.0.0/24 -j ACCEPT
sudo iptables -A FORWARD -i eth0 -o tun0 -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT

Cuireann athrú gach slabhra go glacadh ar chumas an triail a rith agus baineann sé an chúis atá le balla dóiteáin. Coinnigh an raon chuig an linn agus an comhéadan eisíochta, agus fág cur-ar-aghaidh neamhghaolmhar ina stad.

Tabhair áit do na freagraí chun dul ann

Tá seoltaí na linne príobháideach, mar sin ní féidir le freastalaí poiblí freagra a sheachadadh chucu go díreach. Déanann óstach VPN an seoladh foinse a aistriú ar an mbealach amach, nó tá bealach ar ais chuig an linn ag gléas suas-srutha.

sudo iptables -t nat -A POSTROUTING -s 10.90.0.0/24 -o eth0 -j MASQUERADE

Cuir go beacht aon chiseal aistriúcháin amháin leis. Folaíonn an dara NAT níos faide suas an chéad cheann agus fágann sé an dá logáil beagnach gan úsáid nuair a bhriseann rud éigin níos déanaí. Má dhéanann ródaire suas-srutha an linn a ródú ar ais cheana, tá aistriúchán ar an óstach iomarcach, agus braitheann an bealach ar ais ansin ar chumraíocht an ródaire sin seachas ar do chumraíocht féin.

Cuireann cásanna scamall geata amháin eile leis, mar scaoileann roinnt ardán paicéid nach leo féin a seoladh foinse mura scaoiltear an tseiceáil sin. Tá an socrú sin lasmuigh den aoi agus is furasta é a dhearmad nuair a oibríonn meaisín trialach áitiúil.

Cruthaigh é ón gcliant, ní ó bhlaosc an fhreastalaí

Tosaigh le hiarratas uimhriúil IPv4, ansin cuardach ainm, ansin an feidhmchlár. Cruthaíonn ping cur ar aghaidh agus aistriúchán;ní chruthaíonn sé aon rud faoin réiteach, mar ní thagann roghanna DNS i bhfeidhm go dtí go suiteálann comhtháthú an chliaint iad.

curl -4 -m 5 http://198.51.100.10/
dig +short example.com

Scríobh síos na hathruithe agus an chéim chealaithithe agus tú ag dul, ionas gur féidir an polasaí eisíochta a aisiompú in aon ghníomh amháin nuair a theipeann ar thriail. Ní chlúdaíonn an t-oideas seo ach IPv4; déan fardal ar IPv6 ar leith sula maíonn tú go n-iompraíonn an t-imscaradh an trácht ar fad.