Naisc nua ar mhúchán VPN nua, fágtar seana-shreafaí gan bhaint

Dhá mhúchán VPN folláine, uaslódáil fhada amháin ag rith cheana féin, agus ceanglas go n-úsáidfeadh an chéad nasc eile an tollán eile. Tá dhá bhealach chun é sin a chomhlíonadh, agus nílimid ach ceann amháin díobh sábháilte ar gheata beo. Aistríonn malartú an róid réamhshocraithe gach paicéad, lena n-áirítear iad siúd a bhaineann leis an uaslódáil. Athraíonn draenáil phleanáilte an rogha do naisc nua agus fágann sí na sreafaí rianaithe ar an gcosán ar thosaigh siad air.

Dhá bhealach chun múchán a mhalartú

Is ordú amháin é malartú an róid agus is féidir é a aisiompú i soicindí, agus sin an fáth a n-úsáidtear le linn teagmhas é. Tá sé neamh-idirdhealaitheach freisin: téann paicéid na huaslódála atá ann cheana amach go tobann trí thollán difriúil, le seoladh foinse poiblí difriúil agus staid aistriúcháin ar leithligh.

Má rianaíonn an fhoirceann i bhfad i gcéin sreafaí de réir seoladh foinse, b’fhéidir go stopfadh an uaslódáil de bheith aitheanta. Seachnaíonn an draenáil sin tríd an gcinneadh a dhéanamh uair amháin in aghaidh an naisc agus é a stóráil, mar sin coinníonn an tseanuaslódáil a múchán go dtí go gcríochnaíonn sí. Sin luach iomlán an chleachtaidh: ní fheiceann an fhoirceann i bhfad i gcéin aon athrú a chaithfidh sí a léirmhíniú. Leanann sí ag fáil paicéad a thagann leis an nasc atá ar eolas aici cheana féin.

Is é an costas ná castacht: dhá thábla ródaithe, aicmitheoir a ritheann ag an gcrúca ceart, agus marcanna nach mór a chomhordú le gach aon rud eile ar an mbosca a úsáideann iad.

Tabhair a thábla féin do gach múchán

Cuir tábla ródaithe in áirithe in aghaidh an mhúcháin agus luachanna marc nó giotáin ar leithligh don dá rogha. Teastaíonn na róid atá oiriúnach dá ról ó gach tábla, ní hamháin ainm, agus teastaíonn toradh teipe d’aon ghnó don chás atá ar iarraidh. Tábla folamh a thiteann go ciúin isteach sa phríomhthábla — sin mar a théann trácht amach trí mhúchán nár roghnaigh aon duine.

ip rule add fwmark 0x10/0x10 table 101
ip rule add fwmark 0x20/0x20 table 102
ip route add default via 192.0.2.1 dev wg-a table 101
ip route add default via 198.51.100.1 dev wg-b table 102

Cuir ród blackhole ag deireadh gach tábla ionas go dteipfidh go hard ar chuardach nach bhfaigheann aon mheaitseáil in ionad éalú chuig réamhshocrú nár roghnaigh tú.

Roghnaigh uair amháin, ag an gcéad phaicéad

Aicmithe tar éis rianú naisc a bheith ann agus roimh an gcuardach róid a bhfuil tábhacht leis. Do nasc LAN nua, neamh-aicmithe, roghnaigh an múchán agus sábháil sa staid naisc é. Ar phaicéid níos déanaí, cuir an luach sábháilte ar ais sa mharc paicéid a léann ródú beartais.

Is é an chuid chaoin ná cad is brí le nua. Fós féidir le conntrack NEW a thuairisciú do phaicéid luatha agus d’atharchur sula bhfeictear freagra, mar sin féadfaidh aicmitheoir nach mbraitheann ach ar an staid sin rogha a rinne sé cheana a fhorscríobh. Seiceáil nach bhfuil aon mhúchán sábháilte don nasc sula sannann tú ceann.

Coinníonn nftables marcanna paicéid agus naisc ar leithligh, agus an treoir meiteaisnéise déanann sí cáipéisíocht ar an gcóip shoiléir eatarthu. Ní thiocfaidh marc naisc chun bheith ina mharc paicéid a mheaitseálann do riail leis féin, agus sin an chúis is coitianta nach mbíonn aon éifeacht ag aicmitheoir atá scríofa go cúramach.

Cuir teorainn leis an athchóiriú don treo agus don trácht atá i gceist agat. Má chuirtear marc múcháin idirlín i bhfeidhm ar phaicéid fhillteacha, féadfar freagraí a sheoladh i dtreo an mhúcháin in ionad chuig an LAN, agus is é an tsiomptóm ná nasc aontoiseach a bhfuil cuma fhadhb balla dóite air. Léigh cosán an fhreagra sula mbaineann tú le riail balla dóite, toisc go bhfuil an paicéad á ródú, ach nach bhfuil sé ag filleadh ar an seoltóir.

Ceithre chéim de dhraenáil

1. Ullmhaigh B gan A a bhaint: ródú, aistriú, údarú, NAT agus an cosán fillte. Suiteáil a thábla agus a bheartas roghnúcháin trí úinéir cumraíochta reatha an gheata.

2. Athraigh an t-aicmitheoir ionas go roghnóidh naisc nua, neamh-aicmithe B, agus na roghanna sábháilte á gcaomhnú. Seachnaíonn idirbheart adamhach nftables fuinneog ina gcaithfear an tseanstaid a ghlanadh.

3. Fág A suas go dtí go gcríochnóidh a chuid sreafaí. Tá a chomhéadan, a thábla, a mhúchán i bhfad i gcéin agus a mhapálacha NAT fós mar chuid de na sreafaí sin, agus ní athchruthaíonn eagarthóireacht ar riail NAT na ceangail atá ann cheana féin.

4. Cuir A ar scor nuair a chomhlíontar coinníoll na draenála, arna mheas ó staid na nasc agus ó iompar an fheidhmchláir seachas ó eatramh ciúin amháin.

Cad nach féidir le draenáil a ghealladh

Ní nasc iompair nua é iarratas brabhsálaí; leanann comhthiomsú ag seoladh iarratas ar an sean-cheann. Os a choinne sin, féadfaidh sreabhadh UDP dul in aois as conntrack agus aicmítear paicéad níos déanaí as an nua. Leanann an draenáil sreafaí rianaithe, ní smaoineamh feidhmchláir ar sheisiún.

Má theipeann ar A sula gcríochnaíonn a chuid sreafaí, ní shábhálann an marc sábháilte iad. Athcheanglaíonn siad trí B, nó ní athcheanglaíonn siad ar chor ar bith. Ceannaíonn draenáil phleanáilte leanúnachas fad a bhíonn an buncosán folláin; ní macasamhlú staide idir mhúcháin neamhspleácha é.

Fíoraigh an dá leath

Cuir tús le nasc ceadaithe fadtréimhseach roimh an athrú agus ceann atá fíor-nua ina dhiaidh. Deimhnigh cén tollán a úsáideann gach ceann agus cén seoladh foinse poiblí a fheiceann an fhoirceann i bhfad i gcéin, ansin seiceáil go dtagann an trácht fillte ar ais.

Ná glan an tábla conntrack chun an rogha nua a dhéanamh le feiceáil. Scriosann sé sin go beacht an staid atá le caomhnú ag an draenáil, agus casann sé imirce rialaithe ina chliseadh le tástáil a bhfuil cuma ghlan uirthi.