Níl aon lasc chun an aip seo a eisiamh: tabhair a fhoinse féin don phróiseas

Ba cheart do chlár amháin an gnáthnasc a úsáid agus gach rud eile ag fanacht ar an tollán, agus níl aon lasc ag an gcliant chuige sin. Níl aon roghchlár i bhfolach le fáil ach an oiread. Roghnaítear ród ó réimsí taobh istigh den phaicéad, agus iompraíonn an paicéad seoltaí agus calafoirt seachas céannacht an phróisis a chruthaigh é, mar sin caithfear eisiamh a chur in iúl i gceann de na réimsí sin. Lean paicéad uair amháin agus stopfaidh na roghanna atá ar fáil a bheith mistéireach.

Cén fáth nach féidir leis an gcliant é a thairiscint

Cuireann ródú cinn scríbe an seoladh cinn scríbe i gcomparáid le réimíreanna agus coinníonn sé an meaitseáil is faide. Ag an nóiméad sin breathnaíonn gach paicéad mar an gcéanna, cibé rud a tháirg é. Leathnaíonn ródú beartais foinse an chomparáid chuig an seoladh foinse, agus sin an crúca a úsáideann gach réiteach praiticiúil: athraigh an fhoinse, agus tagann tábla eile chun bheith incháilithe.

Ní chabhraíonn calafoirt. Bheadh ar eisiamh de réir calafoirt a mheas roimh an lorg cinn scríbe, agus níl aon pháirt ag an gcalafort sa chinneadh sin. Aon rud a fhógraítear mar eisiamh bunaithe ar chalafort eisíonn sé i ndáiríre le réimse eile agus cuireann sé síos air go scaoilte.

Tá fíor-ródú de réir feidhmchláir ann san áit a chuir an t-ardán innealra leis, mar ghlaonna scagaire ar Windows nó ceangal sheirbhís VPN ar Android. Ní thugann cás deisce OpenVPN aon rud díobh sin leis, agus ní cheapann aon bhratach chumraíochta é.

Linux: marcáil an próiseas, ansin ródaigh an marc

Ceanglaíonn an cur chuige is glaine an cinneadh leis an bpróiseas a shealbhaíonn an soicéad. Oibríonn meaitseáil owner do thrácht a ghintear go háitiúil sa slabhra OUTPUT, mar sin is féidir le marc a chuirtear i bhfeidhm ansin tábla ar leith a roghnú:

iptables -t mangle -A OUTPUT -m owner --uid-owner 1001 -j MARK --set-mark 0x1
ip rule add fwmark 0x1 table 200
ip route add 192.168.1.0/24 dev eth0 src 192.168.1.0 table 200
ip route add default via 192.168.1.1 dev eth0 table 200

Fiafraíonn paicéid ó úsáideoir 1001 de thábla 200 ansin agus téann siad amach tríd an ngnáthgheata, agus seolann an príomhthábla gach rud eile isteach sa tollán fós. Ní bhaineann meaitseáil owner ach le paicéid a ghintear go háitiúil, arb é go díreach an trácht atá tábhachtach anseo, agus ní féidir léi paicéid a sheoltar ar aghaidh d’óstach eile a aicmiú. Fíoraigh leis na huirlisí seachas leis an rún: taispeánann ss -tnp an seoladh áitiúil agus an próiseas a shealbhaíonn na naisc bhunaithe, agus taispeánann ip route get 1.1.1.1 mark 0x1 cén tábla a roghnaíonn an marc.

Is é spásainm líonra an freagra is daingne do chlár féinchuimsitheach, mar tá gach soicéad a chruthaítear istigh ann ceangailte leis ó thaobh na tógála de, mar sin faigheann próisis chúnta agus naisc linbh an t-iompar le hoidhreacht gan iad a aicmiú ar chor ar bith. Is é an costas pluiméireacht: péire veth, seoladh ar gach ceann, agus ród réamhshocraithe laistigh den spásainm a dhíríonn ar ais chuig an óstach.

ip netns add novpn
ip link add veth-host type veth peer name veth-ns
ip link set veth-ns netns novpn
ip addr add 10.200.0.1/24 dev veth-host
ip netns exec novpn ip addr add 10.200.0.2/24 dev veth-ns
ip netns exec novpn ip route add default via 10.200.0.1

Windows: socraíonn an ceann scríbe fós

Roghnaíonn Windows an comhéadan amach ón gceann scríbe, mar sin caithfidh clár a theastaíonn cosán eile rud éigin a athrú a gcuireann an chruach comhairle leis sula ndéantar an rogha sin. Clúdaíonn ForceBindIP an chéad leath: tosaíonn sé clár agus a chuid soicéad ceangailte cheana le seoladh áitiúil a ainmníonn tú. Ní athraíonn sé sin ina aonar cén comhéadan a fhágann an paicéad, mar socraíonn an ceann scríbe an ród fós. Ceangail foinse ar ríomhaire glúine a bhfuil a ród réamhshocraithe dírithe ar an tollán agus téann an paicéad isteach sa tollán mar sin féin.

Tá cruth inléite ar an symptom nuair a bhíonn aithne agat air. Seasann sé do sheoladh LAN a shroicheann an comhéadan roghnaithe go díreach agus teipeann sé ar aon rud ar an idirlíon a bhfuil a ród dírithe ar an tollán. Breathnaíonn sé go n-oibríonn sé freisin go dtí go dtugann an clár obair do chúntóir, mar ní dúradh riamh le cúntóir a osclaíonn a shocéad féin faoin gceangal.

Bog an cinneadh nuair is é próiseas amháin an t-aonad mícheart

Má tá gá le feiste seachas clár, cuir ar a SSID nó a VLAN féin í agus lig don ródaire cinneadh: tógann an fhoinse sin an gnáthchosán agus úsáideann foinsí eile an tollán. Is é meaisín geata tiomnaithe an dearadh macánta eile: coinníonn sé an VPN agus ní fhaigheann sé ach na cinn scríbe a sheolann an ródaire chuige. Ar VLAN clúdaíonn an beartas gach sreabhadh a osclaíonn an fheiste, lena n-áirítear na próisis chúnta a bhris cur chuige Windows. Is é an mhalairt raon feidhme: ní féidir dhá chlár ar an bhfeiste sin a láimhseáil go difriúil a thuilleadh.

Is beartais foinse nó cinn scríbe iad an dá cheann a bhfuil raon feidhme acu is féidir a rá in aon abairt amháin. Níl ceachtar acu de réir feidhmchláir, agus teipeann ar dhearadh a dhíolann é féin mar dhearadh de réir feidhmchláir an chéad uair a thugann an clár a chuid oibre do dhara próiseas.