Seoladh cuntais Linux amháin trí OpenVPN le riail UID

Oireann ródú bunaithe ar chuntas nuair is gá gach soicéad IPv4 atá ag úsáideoir Linux amháin a fhágáil trí thollán atá ann cheana, agus ní oireann sé nuair a theastaíonn leithlisiú ar leibhéal cláir uait. Roghnaíonn sé de réir UID, mar sin tá gach rud a ritheann faoin gcuntas sin sa raon, lena n-áirítear an tasc baisce a rinne tú dearmad air. Réitigh an cheist sin sula dteagmhálann tú le haon ip rule amháin.

Glacann an sampla thíos le cuntas brabhsálaí tiomnaithe ag UID 1500, gléas tolláin tun-office a bhfuil an seoladh áitiúil 10.80.0.11 aige, agus VPN a cheadaíonn na cinn scríbe atá i gceist. Ritheann an daemon féin lasmuigh den UID sin.

Trí choinníoll a roghnaíonn an mheicníocht

Roghnaigh riail UID nuair is é an cuntas an t-aitheantas a dhéanann an obair, nuair atá sé inghlactha a thrácht ar fad a bhogadh, agus nuair a bheadh namespace níos troime ná mar a thuilleann an tasc. Roghnaigh namespace líonra nuair a theastaíonn a chomhéadain, a réiteoir agus a thábla ródaithe féin ón ualach oibre. Roghnaigh seachfhreastalaí nó ceangal in aghaidh an phróisis nuair is ceart feidhmchlár amháin a bhogadh agus an chuid eile den seisiún ag fanacht ar an gcosán áitiúil. Cuireann scríobh na dtrí rud seo cosc le riail a chlúdaíonn níos mó ná mar a bhí beartaithe gan fhios.

Is é an botún atá le seachaint ná glacadh leis go sainíonn lainseálaí an t-úinéir. Níor chruthaigh brabhsálaí ar thug seisiún úsáideora eile URL dó aon soicéid faoi UID 1500, agus ní bhogfaidh aon riail an trácht a ghineann sé.

An tábla, an riail agus an garda

Tar éis na rialacha atá ann a sheiceáil agus uimhreacha tábla agus tosaíochta nach bhfuil in úsáid a roghnú, tá an socrú gairid: bealach réamhshocraithe i dtábla tiomnaithe a iompraíonn seoladh foinse an tolláin, riail a sheolann cuardaigh an chuntais chuig an tábla sin, agus riail chríochnaitheach a chuireann bac ar an gcúlú. Scríofa amach, is é sin athsholáthar bealaigh idempotent, ip -4 route replace default dev tun-office src 10.80.0.11 table 51820, agus ip -4 rule add priority 12100 uidrange 1500-1500 lookup 51820 ina dhiaidh.

Is é an garda ip -4 rule add priority 12101 uidrange 1500-1500 unreachable, agus tá tábhacht níos mó leis ná mar a thugann a fhad le tuiscint. Gan é, titeann bealach atá ar iarraidh i dtábla 51820 síos chuig an nasc uachtarach rialta agus sceitheann an cuntas trácht go ciúin a bhí le breith ag an bpolasaí. Leis, déantar teip chéanna de chomh maith, is é sin blocáil seachas cúlú.

Coinnigh an riail rialta um sheoladh áitiúil os comhair na rialacha seo, agus socraigh go comhfhiosach an mbaineann eisceachtaí LAN nó bainistíochta leis roimh an tábla roghnaithe. Ní cheistíonn bealach réamhshocraithe a fhaightear ansin main níos déanaí maidir le bealach LAN níos sainiúla, rud a chuireann iontas ar dhaoine a bhfuil súil acu go mbíonn meaitseáil an réimír is faide i bhfeidhm trasna táblaí. Scríobh an liosta eisceachtaí beartaithe sa nóta athraithe agus an réasúnaíocht fós úr.

An rud a fhágann ródú UID ar lár: DNS

Osclaíonn daemon réiteora a shocéid uachtaracha faoina UID féin, mar sin ní bhogann roghnú 1500 na fiosrúcháin sin isteach i dtábla 51820. Is cinneadh ar leith é comhtháthú DNS: díriú an cuntais ar réiteoir is féidir a shroicheadh tríd an tollán, nó glacadh leis go leanann réiteach ainmneacha cosán an óstaigh ach nach leanann an trácht.

Ní cruthúnas é fiosrúchán loopback chuig stub áitiúil gur úsáid an fiosrúchán uachtarach bealach an bhrabhsálaí, agus ní hea lódáil rathúil leathanaigh ón taisce ach an oiread.

Teastaíonn a abairt féin ag IPv6 sa dearadh

Ní chlúdaíonn na rialacha thuas ach IPv4. Más é an ceanglas tollán IPv4 gan IPv6 díreach ón gcuntas seo, cuir riail chríochnaitheach athbhreithnithe leis ar nós ip -6 rule add priority 12101 uidrange 1500-1500 unreachable, ansin seiceáil rialacha IPv6 níos luaithe móide na heisceachtaí loopback ar mhaith leat a choinneáil.

Ní tollánú dé-stac é IPv6 díreach a bhac; is teorainn é. Cuirfidh sé trí chéile ar an gcéad duine eile a léifidh an polasaí é a thabhairt tollánú air, agus tiocfaidh an trí chéile chun solais mar thicéad deisce cabhrach faoi shuíomh IPv6 briste.

Fíoraigh leis an bhfíorchuntas, ansin glac leis an timthriall saoil

Cuir na cuardaigh i gcomparáid: ip -4 route get 198.51.100.25 uid 1500 in aghaidh an chinn scríbe chéanna le UID rialta. Ansin déan iarraidh cheadaithe faoin gcuntas tiomnaithe agus seiceáil an seoladh foinse a fheiceann an fhoirceann i bhfad i gcéin. Ní source NAT é seoladh foinse tosaíochta, agus ní sháróidh sé feidhmchlár a cheanglaíonn rud éigin eile. Má thugann an dá chuardach an cosán céanna ar ais, níl an riail ag déanamh an rud a cheapann tú.

Coinnigh an tábla, na rialacha agus saolré bhealach an tolláin faoi úinéir amháin, tástáil athnascadh agus cailliúint tolláin, agus agus an polasaí á scor ná bain ach a iontrálacha beacha. Tá namespace ar fáil fós más comhéadain ar leith agus staid ar leith atá uait i ndáiríre.