Scarann tollán iomlán OpenVPN do sheisiún SSH: deisigh an cosán fillte

Is féidir le cliant OpenVPN tolláin iomláin a chur ar siúl ar mheaisín a shroicheann tú trí SSH an seisiún a ghearradh laistigh de shoicind, agus níl aon rud mícheart á dhéanamh ag an meaisín. Ní athraíonn an tollán conas a shroicheann paicéid an freastalaí; athraíonn sé conas a fhágann na freagraí. A luaithe a dhíríonn an bealach réamhshocraithe ar tun0, téann freagra chuig do chliant SSH isteach i líonra an tsoláthraí, nach bhfuil aon bhealach aige ar ais chuig do sheoladh. Crochann an nasc, téann an chéad iarracht eile in am, agus tá an daemon fós ag éisteacht ar phort 22 an t-am ar fad.

Léigh an tábla ródaithe sula léann tú logáil an VPN. Déarfaidh an logáil gur éirigh an tollán, agus tá sé ceart. Is é an cheist cén comhéadan a dtugtar gach freagra dó, agus is cuardach in aghaidh an phaicéid é sin i dtábla a d'athscríobh an tollán díreach.

Cén fáth a bhfágann an freagra tríd an doras mícheart

Tagann paicéid isteach fós ar an gcomhéadan fisiciúil, mar ní féidir le cliant VPN athrú a dhéanamh ar conas a shroicheann an t-idirlíon seoladh poiblí do fhreastalaí. Cinneadh ar leith is ea freagraí: do gach paicéad, féachann an t-eithne an ceann scríbe, agus tar éis --redirect-gateway deir an iontráil réamhshocraithe tollán. Feiceann bealach amach an tsoláthraí ceann scríbe nach bhfreastalaíonn sé air agus caitheann sé an paicéad.

Clúdaíonn cosaint OpenVPN féin ceann scríbe amháin go beacht. Déanann lámhleabhar 2.6 cur síos ar --redirect-gateway mar sheicheamh: cuireann sé bealach ósta leis don peer VPN tríd an gcóngar a bhí in úsáid roimh an tollán, ionas nach féidir leis an trácht criptithe lúbadh ar ais isteach ann féin, agus ansin cuireann sé an bealach réamhshocraithe in ionad. Tá an bealach ósta sin don phiara amháin. Níl i do chliant SSH ach seoladh idirlín eile agus ní fhaigheann sé aon eisceacht.

Is fiú earráid réimír amháin a chur as an áireamh go luath. Meaitseálann ip route add -net 0.0.0.0 gw 10.8.0.1 dev tun0 gan fad an seoladh aonair 0.0.0.0, ní an t-idirlíon; caithfidh sé a bheith 0.0.0.0/0. Agus má bhriseann glacadh an bhealaigh réamhshocraithe iompar an tolláin féin, cuir an pointe deiridh leis mar bhealach ósta tríd an gcomhéadan fisiciúil, ag baint úsáide as fíorsheoladh an tsoláthraí.

Daingnigh seoladh do chliaint SSH chun deisiú láithreach a fháil

An deisiú is tapúla is bealach ósta do sheoladh do chliaint tríd an gcóngar a d'úsáid an freastalaí sular tháinig an tollán ann. Ó do thaobhsa, aimsigh an seoladh a fheicfidh an freastalaí, ansin léigh tábla an fhreastalaí chun an seanchóngar a bheith agat:

curl -s https://ifconfig.co
ip route

Ar an bhfreastalaí, cuir an eisceacht leis sula dtosaíonn an cliant. Is áititheoirí iad na seoltaí anseo; is é an chruth atá tábhachtach:

sudo ip route add 80.128.240.55 via 192.168.178.1

Seo an deisiú a úsáideadh sa chás a tuairiscíodh, agus oibríonn sé láithreach. Tá sé soghonta freisin ar dhá bhealach intuartha: imíonn an bealach ar atosú, agus téann sé mícheart an nóiméad a thugann do ISP seoladh difriúil duit. Caith leis mar bhearta éigeandála agus déan go hintinneach buan é, trí aonad líonra nó trí chrúca an seoltóra, nó glac leis go bhfuil sé sealadach agus scríobh síos an cosán téarnaimh.

Cuir cosc ar an gcliant an bealach réamhshocraithe a thógáil

An rogha is glaine is ea cosc a chur ar an tollán an bealach réamhshocraithe a athsholáthar ar chor ar bith. Glacann route-nopull, a úsáidtear le --client nó le --pull, leis na roghanna a bhrúitear seachas bealaí, block-outside-dns agus roghanna ar nós DHCP amhail freastalaithe DNS, mar sin ní chuireann tú ach na réimíreanna a theastaíonn uait leis. Uirlis níos cúinge is ea scagaire tarraingthe, a chaitheann treoir amháin lochtach agus a choinníonn an chuid eile:

route-nopull
pull-filter ignore "redirect-gateway"

Úsáid ceann amháin nó an ceann eile, ní an dá rud, agus bí soiléir faoi cad a athraíonn. Gan bealach réamhshocraithe tríd an tollán, ní bhíonn an freastalaí ag brabhsáil an idirlín tríd an soláthraí a thuilleadh; ní shroicheann sé ach an méid a rinne tú ródú go sainráite air. Más é an tollán iomlán an chúis iomlán leis an socrú, is é seo an lasc mícheart agus is é an bealach ósta thuas an ceann ceart.

Roinn an cosán fillte de réir foinse nó de réir naisc

Nuair a bhíonn an seoladh isteach cobhsaí, coinníonn riail foinse na freagraí go háitiúil gan na bealaí féin an tolláin a bhaint. Tabhair a thábla féin do sheoladh an chomhéadain fhisiciúil ina bhfuil réimír LAN agus an réamhshocrú fisiciúil, ansin roghnaigh an tábla sin don trácht a thagann as:

ip rule add from 192.168.1.11 table 128
ip route add table 128 to 192.168.1.0/24 dev eth0
ip route add table 128 default via 192.168.1.1

Oibríonn sé seo mar go dtagann freagraí ar nasc SSH isteach ón seoladh a nasc an cliant leis. D'úsáid cás a tuairiscíodh, inar ghá do gach seirbhís isteach leanúint ag obair, an chruth seo go beacht. Nuair a bhíonn an seoladh isteach ar snámh nó an cosán dinimiciúil, marcáil an nasc ina ionad: cuir marc conntrack ar an gcéad phaicéad a thagann ón gcomhéadan fisiciúil, cóipeáil chuig paicéid fhreagra é in OUTPUT, agus déan ródú ar phaicéid mharcáilte trí thábla a dhíríonn ar an gcóngar fisiciúil.

iptables -t mangle -A PREROUTING -i eth0 -m conntrack --ctstate NEW -j CONNMARK --set-mark 1234
iptables -t mangle -A OUTPUT -m connmark --mark 1234 -j MARK --set-mark 4321
ip route add default via 192.168.1.1 dev eth0 table 3412
ip rule add fwmark 4321 table 3412

Coinnigh marc an naisc, marc an bhalla dóiteáin agus uimhir an tábla ar leithligh agus tú ag tástáil. Má athúsáidtear uimhir amháin do dhá ról cruthaítear riail a bhféachann sé ceart agus a mheaitseálann na paicéid mhíchearta. Teastaíonn via ó iontráil réamhshocraithe an tábla freisin leis an gcóngar LAN ar ghnáthnasc Ethernet; ní oibríonn dev eth0 lom ach amháin nuair atá an comhéadan pointe-le-pointe nó nuair a réitítear an chéad léim eile ar bhealach eile. Tharla gur ar nasc ina n-oibrigh an fhoirm lom a bhí an t-óstach Jessie a tuairiscíodh, agus ní riail dáilte í sin le cóipeáil.

Fíoraigh gan tú féin a chur faoi ghlas amuigh

Ná déan tástáil trí dhícheangal. Coinnigh an chéad seisiún oscailte, ardaigh an tollán, agus fiafraigh den eithne cén cosán a thógfadh do sheoladh féin:

ip route get 80.128.240.55

Ba chóir don fhreagra an comhéadan fisiciúil agus an seanchóngar a ainmniú, ní an tollán. Ansin oscail dara nasc SSH; sin an fíor-thástáil, mar féadfaidh an sean-seisiún maireachtáil ar staid nach féidir le nasc nua a atáirgeadh. Má chrochann an dara ceann agus an chéad cheann fós ag freagairt, níor mheaitseáil an riail riamh leis an trácht atá tábhachtach, agus is iad na marcanna nó an seoladh foinse an áit le breathnú.

Coinnigh consól lasmuigh den bhanna ar fáil i rith an chleachtaidh ar fad. Ní féidir freastalaí arb é an tollán atá briste agat díreach an t-aon bhealach rochtana aige a dheisiú tríd an tollán sin, agus is fusa an rollú ar ais nuair a bhíonn uimhreacha na dtáblaí agus na réimíreanna a chuir tú leis scríofa síos agat.