OpenVPN iroute nó bealach an eithne: cé acu atá in easnamh?

Glacann paicéad do 10.77.20.0/24 dhá chinneadh ar leith ar fhreastalaí OpenVPN: caithfidh an córas oibriúcháin é a thabhairt don chomhéadan VPN, agus caithfidh OpenVPN a bheith ar an eolas faoi cén cliant nasctha a shealbhaíonn an réimír sin. Caitheann bealach eithne atá ar iarraidh é roimh an tollán, agus caitheann bealach piara atá ar iarraidh é ina dhiaidh. Breathnaíonn an dá theip mar an gcéanna ón LAN i bhfad i gcéin, agus teastaíonn ordú amháin ar gach taobh chun a dhiagnóisiú cé acu atá agat.

Sa chonair sonraí chlasaiceach i spás úsáideora, tugann bealach na heithne an paicéad isteach sa phróiseas tolláin agus insíonn iroute don phróiseas sin cé acu piara ba cheart é a fháil. Ní thagann ceachtar in ionad an chinn eile, agus beidh cuma réasúnta ar chumraíocht nach bhfuil ach ceann amháin acu inti go dtí an chéad ping.

Dhá chinneadh, ní bealach amháin

Samhlaigh nasc ó shuíomh go suíomh ina bhfuil 10.77.20.0/24 taobh thiar de chliant amháin. Seolann bealach eithne an fhreastalaí, mar shampla ip route add 10.77.20.0/24 dev tun0, na paicéid mheaitseála chuig gléas an tolláin. Ansin féachann OpenVPN ar a thábla inmheánach féin, a tógadh as iontrálacha iroute i bhfillteán cumraíochta an chliaint, chun cinneadh a dhéanamh cé acu nasc piara a gheobhaidh iad. Gan bealach na heithne ní shroicheann an paicéad an próiseas riamh, agus gan bealach an phiara sroicheann sé an próiseas agus ní théann sé aon áit.

Is furasta dearmad a dhéanamh den deighilt sin, mar is féidir le líne bhealaigh amháin i bpróifíl cliaint breathnú amhail is go ndéanann sí an dá phost. Ní dhéanann: insíonn brú bealaigh do chliaint cad a sheoladh tríd an tollán, agus insíonn iroute don fhreastalaí cé a shealbhaíonn raon seoltaí taobh thiar de chliant. Maireann siad i bhfillteáin éagsúla, léann taobhanna éagsúla iad, agus teipeann siad i dtreonna urchomhaireacha.

Cén áit a mbaineann iroute agus cad a deir sé

Téann an iontráil i bhfillteán in aghaidh an chliaint atá ainmnithe i ndiaidh common_name an chliaint, faoi client-config-dir, mar iroute 10.77.20.0/24. Níl comhoiriúnú ainm an fhillteáin cosmaideach: cuardaíonn OpenVPN an fhéiniúlacht fhíordheimhnithe agus léann sé an fillteán go díreach leis an ainm sin, mar sin ní bhíonn éifeacht ag fillteán darb ainm site-a ach amháin do chliant a bhfuil an t-ainm coitianta site-a air. Cuir ccd-exclusive leis mura gcóir diúltú go hiomlán do chliaint gan a leithéid d’fhillteán, agus sin an socrú ceart nuair is geata suímh gach cliant. Coinnigh fillteán amháin in aghaidh an gheata agus ainmnigh é i ndiaidh ábhar an teastais a eisíonn tú i ndáiríre.

Tástáil an iontráil ón bhfreastalaí sula gcuireann tú an milleán ar an LAN i bhfad i gcéin. Liostaíonn an fillteán stádais na cliaint nasctha lena n-ainmneacha coitianta, agus déanann freastalaí a ritheann le --verb 4 logáil ar shuiteáil iroute nuair a nascann an piara. Mura dtagann aon rud chun solais ag am an naisc, tá an fillteán sa chomhadlann mhícheart nó tá an fhéiniúlacht mhícheart á lua aige.

An gaiste: fillteán i láthair, féiniúlacht mícheart

Cailleann iroute atá cosúil le bheith ceart ach a cheanglaítear don phiara mhícheart níos mó ama ná fillteán atá ar iarraidh, mar tá cuma cheart ar gach rud ar an diosca. Tá athainmniú teastas, ainmneacha coitianta dúblacha, agus username-as-common-name a athraíonn an fhéiniúlacht éifeachtach go léir ina gcúis leis. Seiceáil cé an fhéiniúlacht a fhíordheimhnigh an freastalaí seachas an ceann a raibh tú ag súil leis: is é aschur an stádais an t-údarás, agus níl san ainm fillteáin ach eochair chuardaigh.

Is féidir le bealach maireachtáil níos faide ná a úinéir. Déanann bealaí statacha agus iontrálacha iroute cur síos ar réimír seachas ar ráthaíocht infhaighteachta, mar sin is féidir leis an trácht leanúint de bheith á ródú i dtreo piara atá dícheangailte faoi láthair.

Críochnaigh an chonair thar an piara

Is é úinéireacht an phiara lár na conaire, ní a deireadh. Caithfidh an cliant paicéid a chur ar aghaidh ón tollán isteach ina LAN, rud a chiallaíonn seoladh IP ar aghaidh cumasaithe ar an óstach sin agus riail balla dóiteáin a ligeann don idirthuras. Teastaíonn bealach fillte ó óstaigh an LAN i bhfad i gcéin don seoladh tolláin: nó bealach a dhíríonn ar ais chuig an ngeata, nó dearadh NAT a dhéantar d’aon ghnó ar thaobh an chliaint. Deimhnigh an socrú seolta ar aghaidh ar an gcliant le sysctl net.ipv4.ip_forward seachas glacadh le réamhshocrú dáileacháin.

Má chaithfidh cliaint VPN eile an fho-líonra sin a shroicheadh, fásann an socrú arís: teastaíonn client-to-client ón bhfreastalaí, agus caithfidh na cliaint sin an réimír a ródú tríd an tollán. Ní thagann aon rud díobh sin ó thábla ródaithe an fhreastalaí féin.

Fíoraigh ceann scríbe amháin ó fhoinse fhíor seachas ón bhfreastalaí féin. Cuireann ping ó óstach LAN nach mbaineann leis chuig óstach taobh thiar den chliant an bealach fillte, an riail seolta ar aghaidh agus úinéireacht an phiara i bhfeidhm in aon ghluaiseacht amháin, agus ní chruthaíonn crannchur rathúil ach féiniúlacht. Ansin dícheangail an piara úinéara agus taifead cad a dhéanann an bealach, mar is é an freagra sin do mhód teipe.