An IP ceannfhreastalaí céanna, dhá chonair: sruth seachtrach OpenVPN a mharcáil

Is bealach óstach an ghnáthchosaint lúb: seol trácht chuig seoladh poiblí an fhreastalaí VPN amach ar an nasc suas ionas nach dtéann an seisiún criptithe isteach ina thollán féin riamh. Oibríonn sé sin go dtí an nóiméad a theastaíonn uait freisin seirbhís ghréasáin ar an bhfreastalaí céanna a shroicheadh tríd an tollán, mar tá an díolúine nasctha leis an gceann scríbe agus tá an ceann scríbe díreach mar a chéile. Is é an tslí amach ná stopadh ag aicmiú de réir cinn scríbe agus aicmiú de réir an soicéid a sheol an paicéad a dhéanamh ina ionad.

Tosaigh leis an dá shruth atá le dealú

Is é an chéad sruth an t-iompar criptithe OpenVPN féin, a chaithfidh dul amach ar an nasc suas, nó iompródh an tollán a nasc seachtrach féin. Is é an dara ceann iarratas HTTPS lom ar an seoladh poiblí céanna, a theastaíonn uait a bheith taobh istigh den tollán ionas go dtiocfaidh sé chuig an tseirbhís ó fhoinse tolláin. An ceann scríbe céanna, an uimhir phoirt chéanna go minic, conair éagsúil riachtanach.

Sa treoir seo, glac le cliant ag 10.90.0.10 thar tun1, seoladh poiblí freastalaí 198.51.100.25 agus príomhthábla neamhbhainte a bhfuil a réamhshocrú dírithe ar an ngnáthnasc suas. Caithfidh taobh an fhreastalaí an tseirbhís ghréasáin a ghlacadh ar an gconair istigh freisin agus trácht a chur ar ais go foinse an tolláin; ní sháraíonn paicéad a sheoladh chuig seoladh poiblí éisteoir ná polasaí balla dóiteáin an fhreastalaí.

Sula n-athraíonn tú aon rud, taifead rialacha reatha an óstaigh agus roghnaigh luachanna nach n-úsáideann aon duine eile: marc, uimhir thábla agus trí thosaíocht rialach. Coinnigh bealach ar ais isteach sa mheaisín nach dtéann tríd an nasc seo, mar baineann botún anseo do rochtain chian féin seachas díreach cluaisín brabhsálaí a bhriseadh.

Marcáil an soicéad a iompraíonn an clúdach

Faigheann cumraíocht an chliaint marc dá phaicéid chriptithe amach, agus stopann sé ag suiteáil bealaí leis féin ionas gurb é an polasaí ionaid an t-aon rud a shocraíonn conairí:

mark 42
route-noexec
disable-dco

Is é 42 deachúil 0x2a heicsidheachúil, agus is í an fhoirm heicsidheachúil an rud a mheaitseálann na rialacha ródaithe. Déanann tagairt na roghanna nasctha cur síos ar mark mar rud a bhaineann le paicéid chriptithe amach ar Linux, arb é go díreach an soicéad a chaithfidh tú a chonair a rialú. Má choinnítear offload an chainéil sonraí as, fanfaidh an sampla seo ar chonair an spáis úsáideora, áit a bhfuil iompar an mhairc mar an t-iompar atá á chur síos.

Cuireann route-noexec faoi chois breiseanna agus baint bealaí uathoibríoch OpenVPN. Ní shuiteálann sé aon rud ina n-ionad, mar sin ón nóiméad seo caithfidh úinéir na mbealaí gach bealach a theastaíonn ón tollán a chothabháil. Má imíonn ceann scríbe príobháideach tar éis an athraithe, sin an polasaí ionaid atá ar iarraidh, ní locht sa mharc.

Ná coinnigh bealach óstach i bpríomhthábla do 198.51.100.25 agus tú ag déanamh seo. Aththugann a leithéid de bhealach isteach go díreach an díolúine atá an dearadh ag iarraidh a chúngú, agus beidh sé i réim don sruth HTTPS sula gcuirtear ceist ar aon cheann de na polasaithe thíos.

Seol gach rud eile chuig tábla an tolláin

A luaithe a bheidh comhéadan an tolláin ann agus a sheoladh aige, féachann an polasaí mar seo:

ip -4 route add default dev tun1 src 10.90.0.10 table 47100
ip -4 rule add priority 20000 lookup main suppress_prefixlength 0
ip -4 rule add priority 20001 not fwmark 0x2a lookup 47100
ip -4 rule add priority 20002 not fwmark 0x2a unreachable

Coinníonn an chéad riail bealaí sonracha an óstaigh le feiceáil, lena n-áirítear aon líonra áitiúil ceadaithe, agus déanann sí bealach réamhshocraithe an phríomhthábla dofheicthe don chuardach seo. Tá tábhacht leis an idirdhealú sin: ní hionann an réamhshocrú a chur faoi chois agus neamhaird a dhéanamh den tábla, agus maireann na díolúintí áitiúla atá uait fós dá bharr. Léigh na díolúintí sin ceann ar cheann seachas glacadh leis gur lasc mhúchta uilíoch an toradh.

Titeann trácht neamh-mharcáilte ansin chuig tábla an tolláin, tógann sé foinse an tolláin agus imíonn sé tríd an VPN. Teipeann ar thrácht marcáilte i dtástáil fwmark ar an dá riail eile agus téann sé ar aghaidh chuig an ngnáthphríomhchuardach níos faide síos sa liosta, áit a bhfuil réamhshocrú an naisc suas fós. Is í an riail dheireanach unreachable an rud a choisceann sruth neamh-mharcáilte titim go ciúin ar ais chuig an nasc suas nuair a bhíonn bealach an tolláin ar iarraidh. Is é an marc an roghnóir ó thús go deireadh, agus ní thagann seoladh an chinn scríbe isteach sa chinneadh riamh.

Coinnigh an garda sin in áit thar dhínascadh, agus suiteáil é leis an gcuid eile den pholasaí seachas de láimh. Ní polasaí é riail a imíonn leis an gcomhéadan, is comhtharlú é. Má scriostar an polasaí nuair a thiteann an tollán, athraítear an mód teipe ó “blocáilte” go “sceite”, agus is fadhb i bhfad níos éasca le míniú é bealach tolláin atá as dáta agus a théann in éag níos déanaí ná trácht a d'imigh amach ar an gcomhéadan mícheart.

Lig don chonair ar ais an marc céanna a fheiceáil

Níl i marcanna amach ach leath den mheicníocht, agus is é seo an chuid a fhágann an chuid is mó de na hathchruthuithe ar lár. Tagann freagraí ar an seisiún criptithe isteach ar an nasc suas agus tá siad faoi réir bailíochtaithe conair ar ais, a fhiafraíonn an ródódh an fhoinse ar ais ar an mbealach céanna ar tháinig sí. Gan chabhair, cuireann an cuardach sin do pholasaí tolláin neamh-mharcáilte i bhfeidhm agus measann sé go bhfuil an paicéad ar an gcomhéadan mícheart.

Baineann an ceartú le húinéir an bhalla dóiteáin: sábháil an marc ar an nasc amach, cuir ar ais é ar phaicéid ionracha mheaitseálacha agus cumasaigh láimhseáil marc atá bailíochtaithe ag an bhfoinse don chonair ábhartha. Ní dhéanann OpenVPN marc soicéid a shocrú aon cheann de na trí rud, agus tá oideas nach liostaíonn ach roghanna an chliaint neamhiomlán. Iarr an chomhtháthú sin i scríbhinn, mar is é an chuid is lú infheicthe den dearadh é agus an ceann is éasca le cailleadh in atógáil.

Ní hionann seiceáil ghlacach conair ar ais mar mhalairt ach an oiread. Teastaíonn bealach éigin ón bhfoinse i mód glacach fós, agus baineann an garda unreachable a chuir tú leis ceann amach d'aon ghnó do chuardaigh neamh-mharcáilte. Críochnaigh agus déan athbhreithniú ar chomhtháthú mharc an naisc sula mbraitheann tú ar an dearadh seo, agus caith le scagairí óstaigh mar cheist ar leith: is comhartha ródaithe é marc, ní cead. Má tá an comhtháthú ar iarraidh, is é an tsiomptóm seisiún a bhunaítear agus a éiríonn ciúin a luaithe a thosaíonn freagraí ag teacht isteach.

Cruthaigh é le dhá chuardach bealaigh

Cuir i gcomparáid an méid a shocraíonn an t-eithne don dá chomhthéacs, agus léigh na réimsí dev agus src seachas an stádas scoir:

ip -4 route get 198.51.100.25
ip -4 route get 198.51.100.25 mark 0x2a

Ba cheart go réiteodh an chéad chuardach le tun1 le foinse an tolláin, agus an dara ceann leis an nasc suas. Is cuardaigh shintéiseacha iad, mar sin cruthaíonn siad an polasaí seachas an próiseas beo: deimhnigh conair iompair iarbhír an chliaint atá ag rith ar leithligh, agus ansin déan iarratas HTTPS fíor le fíorú teastais fágtha ar siúl.

Scríobh síos an méid nach gclúdaíonn an dearadh sula ndéarfá go bhfuil sé críochnaithe. Teastaíonn a gcinneadh féin ó DNS, IPv6 agus ó shaolré na rialacha, agus is sampla ródaithe IPv4 é seo seachas cumraíocht príobháideachta iomlán. Is é an roghnóir a luach: faigheann an clúdach díolúine an naisc suas, agus ní gá do ghnáthsheirbhís ag an seoladh céanna í a oidhreacht.