Réimír phoiblí trí OpenVPN: deisigh an cosán fillte

Féach ar an tollán ag éirí agus an cliant ag pingáil an taobh thall, agus ansin freagraíonn seoladh poiblí a bhaineann taobh thiar den VPN ó áit éigin eile, nó ní fhreagraíonn ar chor ar bith. De ghnáth ní bhaineann an siomptóm sin leis an gcipher ná leis na deimhniúcháin. Seachadtar réimír atá ródaithe ag an soláthraí mar ród IP, agus is éard atá i gceist le hiompar trí OpenVPN an ród sin a atáirgeadh ar dhá leibhéal agus an seoladh foinse a chaomhnú ar an gcosán fillte. Ní gá an WAN a dhroicheadú, agus ní chruthaíonn cur an tseoladh le comhéadan an ród uachtarach.

Caithfear an réimír a ródú chugat ar dtús

Fiafraigh den soláthraí conas a sheachadtar an bloc. Is rud difriúil é réimír atá ródaithe chuig príomhsheoladh do fhreastalaí ná seoltaí a bhfuil súil ag an soláthraí iad a shroicheadh go díreach ar dheighleog WAN. Ní oibríonn ach an chéad mhúnla leis an ndearadh anseo.

Má ródaíonn an soláthraí 198.51.100.64/28 chuig do fhreastalaí iontrála, sroicheann paicéid don raon sin an freastalaí agus stadann siad ansin mura seolann tú ar aghaidh iad. Má dhroicheadíonn an soláthraí an raon ar do nasc uachtarach ina ionad, caithfidh an freastalaí freagra ARP a thabhairt air, rud atá ina fhadhb eile.

Tástáil an tsamhail seachadta sula dteagmhálann tú le OpenVPN: ón taobh amuigh, pingáil seoladh sa bhloc agus féach cén comhéadan a fhaigheann é. Mura dtagann aon rud, ní chabhróidh aon chumraíocht tolláin. Má fhreagraíonn an seoladh go díreach ar an WAN, tá an soláthraí ag droicheadú seachas ag ródú, agus ní bhaineann an dearadh thíos.

Dhá leibhéal ródaithe: ród eithne agus iroute

Teastaíonn an réimír ó OpenVPN in dhá áit. Caithfidh an eithne a bheith ar an eolas go mbaineann an réimír leis an ngléas tolláin, ionas go dtiocfaidh na paicéid a sheoltar ar aghaidh isteach in OpenVPN in ionad an róid réamhshocraithe. Caithfidh OpenVPN a bheith ar an eolas freisin cén cliant fíordheimhnithe a shealbhaíonn an réimír, agus is é sin an iontráil iroute sa chomhadlann atá sonrach don chliant.

Tá cuma seo ar an ród ar thaobh an fhreastalaí, agus caithfidh an réimír agus an masc a bheith ag teacht leis an leithdháileadh:

ip route add 198.51.100.64/28 dev tun0

Sannann an chumraíocht atá sonrach don chliant an úinéireacht. Cuir sa chomhad CCD é atá ainmnithe i ndiaidh ainm coiteann dheimhniú an chliaint, agus deimhnigh gurb é an chomhadlann sin an ceann a léann an freastalaí i ndáiríre:

iroute 198.51.100.64 255.255.255.240

Déanann doiciméadú OpenVPN ar líonraí ródaithe cur síos ar an dá leibhéal agus ar an bhfáth a bhfuil siad ar leithligh. Seolann ród eithne gan iroute paicéid isteach sa tollán gan úinéir, agus caitheann OpenVPN amach iad. Fágann iroute gan ród na heithne na paicéid ar chonair réamhshocraithe an fhreastalaí. Breathnaíonn an dá dhearmad mar thollán briste ó thaobh an chliaint.

Cá mbíonn seoladh na seirbhíse

Ní hionann an réimír tharmligthe agus seoltaí an tolláin féin. Uimhirigh an nasc ón spás príobháideach más mian leat, agus cuir seoladh poiblí na seirbhíse san áit a bhfuil an tseirbhís ag rith i ndáiríre.

Ar chliant Linux a chuireann deireadh leis an tseirbhís go háitiúil, is leor aon seoladh ósta amháin:

ip address add 198.51.100.70/32 dev lo

Má ródaítear an réimír ar aghaidh chuig óstach VM nó LAN eile, cumraigh an chonair shíos sin agus a ród fillte ina ionad. Ní gá gach seoladh sa bhloc a shannadh don chliant VPN, agus cruthaíonn sé coinbhleachtaí níos déanaí.

Coinnigh an fhoinse phoiblí ar an gcosán fillte

Caithfidh freagra ón réimír tharmligthe an tollán a fhágáil agus ród an tsoláthraí a shroicheadh. Má sheolann an t-óstach cianda é trína ISP féin, breathnaíonn an seoladh foinse mar rud bréige, agus caitheann an soláthraí nó an ceann scríbe amach é. Is é an réiteach riail atá bunaithe ar fhoinse nó tábla ródaithe tiomnaithe, ní NAT níos leithne. Gan é, oibríonn an tseirbhís ón mbeirt tolláin agus teipeann uirthi ó gach áit eile.

Ag an bhfreastalaí iontrála, is é riail masquerade leathan an ciontóir is gnáth. Athscríobhann sé an fhoinse phoiblí chuig príomhsheoladh an fhreastalaí, agus ní fheiceann an cliant an ceann fíor riamh:

iptables -t nat -S POSTROUTING

Cuir NAT i dteorainn leis na cliaint VPN phríobháideacha a dteastaíonn sé uathu agus fág an réimír tharmligthe gan aistriú. Ansin deimhnigh go seolann an freastalaí an réimír ar aghaidh ar chor ar bith, mar caitheann slabhra seolta ar aghaidh a dhiúltaíonn de réir réamhshocraithe amach go ciúin é.

Fíoraigh an dá threo sula gcuireann tú muinín ann

Is éard atá sa bhfíorú ná ceithre bhreathnóireacht, ní ceann amháin. Deimhnigh go dtagann ród an tsoláthraí, go seolann an eithne an réimír isteach sa tollán, go gcuireann OpenVPN i leith an chliaint cheart é, agus go bhfilleann an freagra leis an bhfoinse phoiblí slán. Tá a ordú féin ag gach breathnóireacht, mar sin díríonn teip ar chiseal seachas ar an dearadh iomlán. Rith iad san ord sin tar éis gach athraithe cumraíochta.

Fiafraigh den eithne cén chonair a thógann seoladh tarmligthe, agus breathnaigh ar an tollán agus iarratas ag rith:

ip route get 198.51.100.70
sudo tcpdump -ni tun0 host 198.51.100.70

Is féidir le scagadh cosáin droim ar ais ród cheart a chealú. Seiceáil an socrú éifeachtach ar an tollán agus ar an nasc uachtarach, agus cuimhnigh go ndiúltaíonn mód dian do thrácht nach dtagann a fhoinse leis an gcomhéadan ar tháinig sé air:

sysctl net.ipv4.conf.tun0.rp_filter net.ipv4.conf.eth0.rp_filter

Ar deireadh, tástáil an cás teipe. Stop an tollán agus deimhnigh nach sceitheann an réimír phoiblí amach tríd an nasc uachtarach iondúil. Ba cheart go dtabharfadh athchóiriú an VPN an tseirbhís ar ais gan na calafoirt a nochtann an t-óstach a leathnú.