Eisbhealach scartha: linn VPN ar usb0, trácht an gheata ar eth0

Ceanglaíonn cliaint agus déanann siad fíordheimhniú, agus ansin téann a dtrácht amach ar an nasc mícheart, mar is leis an ngeata féin an t-aon bhealach réamhshocraithe ar an meaisín. Chuirfeadh ionadú an bhealaigh réamhshocraithe sin isteach ar nuashonruithe agus ar rochtain riaracháin an mheaisín, mar sin caithfidh an roghnú a bheith níos cúinge ná «an trácht ar fad». Is é an fhoirm oibre riail pholasaí atá bunaithe ar sheoladh foinse inmheánach na linne cliant, a dhíríonn ar an dara tábla ródaithe a shealbhaíonn an WAN malartach. As sin amach baineann an tseicliosta le hiomláine agus le hiompar teipe, ní leis an riail féin.

Deimhnigh go maireann an seoladh foinse go dtí an cinneadh ródaithe

Ní thagann riail pholasaí a mheaitseálann raon foinse i bhfeidhm ach amháin nuair a bhíonn an fhoinse sin fós ag an bpacáiste tráth an chuardaigh. Déanann trácht cliant a sheoltar ar aghaidh amhlaidh, fad is nach bhfuil aon rud suas an sruth tar éis é a athscríobh roimh an ródú. Ní dhéanann trácht a ghineann an geata féin amhlaidh, agus is ar an gcúis sin go díreach is féidir le bealach réamhshocraithe an gheata fanacht san áit a bhfuil sé.

Seo an áit a gcuireann tástálacha áitiúla amú. Is sruth áitiúil é curl a ritear ar an ngeata, le seoladh an gheata air, mar sin tógann sé an príomhthábla agus ní chruthaíonn sé aon rud faoi chonair an chliaint. Déan tástáil ó chliant ceangailte, nó gin trácht le foinse a bhaineann go fírinneach leis an linn.

Cuir tús trí na fíorluachanna a scríobh síos: réimír na linne, an comhéadan tolláin a iompraíonn í, seoladh agus chéad léim eile an dara WAN, agus an uimhir tábla a bhfuil tú chun í a úsáid. Glan na seanrialacha ó aon iarracht roimhe seo sula gcuireann tú cinn nua leis, mar chruthaíonn rialacha dúblacha ar thosaíochtaí éagsúla teipeanna a bhíonn cosúil le randamach.

Tóg tábla roghnaithe atá iomlán

Ní bealach réamhshocraithe le cara é tábla. Teastaíonn a ndóthain bealaí uaidh ionas go réitítear gach cuardach laistigh de, lena n-áirítear an bealach nasctha don fho-líonra WAN ionas go mbeidh an chéad léim eile inrochtana. Do linn 10.77.0.0/24 ar tun1, seoladh WAN 203.0.113.20/24 le chéad léim eile 203.0.113.1, agus tábla 600:

ip -4 route replace 203.0.113.0/24 dev usb0 src 203.0.113.20 table 600
ip -4 route replace 10.77.0.0/24 dev tun1 table 600
ip -4 route replace default via 203.0.113.1 dev usb0 table 600
ip -4 rule add priority 1500 from 10.77.0.0/24 lookup 600

Suíonn an riail ar thosaíocht faoi bhun aon riail ghabhála uile atá ann cheana, mar sin buaileann cliaint mheaitseála le tábla 600 ar dtús agus titeann gach rud eile síos go dtí an príomhthábla. Cuireann tagairt ip-rule síos go hiomlán ar an mhúnla cuardaigh ordaithe agus ar chomhréir an roghnóra.

Ansin smaoinigh ar a bhfuil ar iarraidh ón tábla. Ní fhaightear ceann scríbe nach bhfuil bealach ann ach sa phríomhthábla, amhail fo-líonra bainistíochta atá inrochtana trí eth0, i dtábla 600 agus ní thitfidh sé ar ais chuig an bpríomhthábla a luaithe a bheidh bealach réamhshocraithe ann. Má tá tábhacht leis na conairí sin, cuir go sainráite iad sa tábla roghnaithe, arb é an freagra ceart de ghnáth é do thábla eisithe VPN.

Coinnigh trácht an éisteora féin lasmuigh den pholasaí

Tá a nasc seachtrach féin ag éisteoir OpenVPN, á iompar ar cibé nasc ar shroich an cliant é. Caithfidh an trácht sin an bealach ar ais a choinneáil mar a tháinig sé, agus is féidir le riail leathan a chlúdaíonn seoladh poiblí an fhreastalaí nó an comhéadan tolláin ar fad é a tharraingt isteach sa tábla malartach. Cuir an riail i bhfeidhm ar an linn inmheánach amháin agus ar rud ar bith eile.

Tá féachaint tuillte ag scagadh conaire droim ar ais ar an gcúis chéanna. Nuair a théann freagraí chuig cliaint amach trí usb0 agus an t-iarratas tagtha ar nasc eile, is féidir le socrú rp_filter dian pacáistí a chaitheamh amach a mheasann an polasaí ródaithe a bheith bailí. Seiceáil na luachanna sysctl éifeachtacha ar an dá chomhéadan sula dtagann tú chun críche gur theip ar an riail.

Tá tábhacht leis an ordú freisin maidir le haon rud eile ar an meaisín. Cuireann droichid Docker, dara VPN, agus aon rialacha a bhí ann roimhe ó íomhá soláthraí tosaíochtaí leis, mar sin léigh an liosta iomlán rialacha seachas glacadh leis go bhfuil tosaíocht 100 ina haonar.

Déan an t-ardú agus an t-aistriú a ailíniú leis an mbealach

Roghnaíonn ródú nasc; ní thugann sé cead chun a sheoladh ar aghaidh. Caithfidh seoladh ar aghaidh IPv4 a bheith cumasaithe sa chruthán, agus caithfidh an balla dóiteáin an treo ó chliant go WAN agus an trácht ar ais a ghlacadh. Cruthaíonn tábla ceart le slabhra FORWARD a chaitheann an sruth amach an tsiomptóm céanna le bealach atá ar iarraidh, agus is ar an gcúis sin a sheiceáiltear an dá rud san aon bhabhta.

Mura ndéanfaidh an dara WAN linn phríobháideach a ródú ar ais chugat, aistrigh an fhoinse ar an eisbhealach sin. Do chomhéadan le seoladh dinimiciúil, is é an rogha is gnáthaí riail masquerade chúng atá teoranta don linn agus don chomhéadan:

iptables -t nat -A POSTROUTING -s 10.77.0.0/24 -o usb0 -j MASQUERADE

Tá an scóip níos tábhachtaí ná an sprioc anseo. Athscríobhfaidh riail masquerade a mheaitseálann aon chomhéadan amach trácht a théann amach i gceart trí eth0 freisin, agus ceilfidh sé sin earráidí ródaithe in ionad iad a shocrú. Ritheann an t-aistriú tar éis an chinnidh ródaithe, mar sin ní féidir leis pacáiste a seoladh chuig an nasc mícheart a dheisiú riamh.

Teastaíonn aird ó fhorchostas an tolláin freisin a luaithe a bhíonn na conairí difriúil. Má shocraíonn cliaint MSS TCP mór agus má tá MTU níos ísle nó tollán istigh ag an WAN malartach, stadann deighleoga móra agus oibríonn cinn bheaga. Má chlampáiltear MSS ar chonair an ardaithe, déantar iompar intuartha de seachas crochadh eatramhach.

Cinneadh cad a tharlaíonn nuair a imíonn usb0

Ní staid dhúnta ar theip é tábla folamh. Má imíonn an bealach meaitseála, leanann an cuardach ar aghaidh chuig an gcéad riail eile, sroicheann an príomhthábla agus tógann bealach réamhshocraithe eth0. Téann trácht a bhí le himeacht tríd an dara WAN amach go ciúin tríd an gcéad cheann, agus i n-imscaradh atá ródaithe de réir polasaí is é sin de ghnáth an toradh is lú a theastaíonn uait.

Mar nach bhfuil an t-aischur sin inghlactha, cuir bealach teirminéil sainráite le tábla 600, amhail bealach réamhshocraithe blackhole, nó caith an linn sa bhalla dóiteáin agus an comhéadan síos. Is cinneadh é ceachtar den dá rogha ar féidir leat é a scríobh; ní hea an ciúnas.

Is é an marthanacht an mhír dheireanach. Cibé duine a shealbhaíonn an dá nasc, cibé acu an bainisteoir líonra, script seoltóra nó saolré an naisc é, caithfidh sé na bealaí agus an riail a athchruthú ar gach athnascadh gan dúbláin a chur leis. Fíoraigh le hiarratas ó chliant fíor agus iarratas ar leith ón ngeata, deimhnigh an t-eisíomhán breathnaithe ar an dá rud, ansin tarraing an dara WAN agus breathnaigh cé acu den dá thoradh a dhear tú a tharlaíonn i ndáiríre. Teastaíonn a thábla, a riail agus a aistriú féin ó IPv6; ní deir an riail IPv4 thuas aon rud faoi.