Dhá gheata, aon VPN amháin: cén fáth a roghnaíonn OpenVPN an nasc uachtarach mícheart

Dhá nasc uachtaracha, aon tollán amháin, agus téann an trácht amach tríd an gceann nár roghnaigh tú. Tá na fonlíonta príobháideacha inrochtana, tuairiscíonn an logáil nasc rathúil, agus is é an nasc méadraithe a iompraíonn é. Ní luann aon rud in aschur OpenVPN geata, mar níor roghnaigh an cliant ceann riamh. D'oscail sé soicéad chuig seoladh iargúlta agus d'fhág sé faoin eithne cinneadh a dhéanamh conas an seoladh sin a shroicheadh.

Ní hé seoladh an tolláin an deireadhphointe

Tá dhá chonair dhifriúla i ngach seisiún. Iompraíonn an chonair sheachtrach an t-iompar criptithe chuig seoladh poiblí an fhreastalaí. Iompraíonn an chonair inmheánach gach a mbrúnn an freastalaí isteach sa tollán, agus níl aon éifeacht ag rialacha ródaithe ceann amháin ar an gceann eile.

Ainmníonn iontráil remote sa phróifíl an ceann scríbe seachtrach, mar sin sin an seoladh atá le ceangal. Is é freisin an luach a athraíonn nuair a réitítear ainm óstaigh ar bhealach difriúil nó nuair a liostaíonn an phróifíl roinnt remote.

Aimsigh an seoladh ar a ndearna an cliant glaoch i ndáiríre

Léigh an soicéad beo seachas an comhad cumraíochta. Taispeánann tábla na soicéad an péire a ndearna an próiseas ceangal leis i ndáiríre, agus sin an luach a chaithfidh eisceacht teacht air. Is féidir próifíl a chur in eagar tar éis don seisiún tosú, agus is é an soicéad an t-aon fhianaise ar an rud ar glaodh air:

ss -tunp | grep -i openvpn
journalctl -u openvpn-client@work --no-pager | grep -i "Peer Connection Initiated"

Ainmníonn líne an logála seoladh agus port an phéire ag am an naisc. Mura n-aontaíonn sé leis an bpróifíl, tá rud éigin os comhair an chliaint ag athscríobh an chinn scríbe sula dtosaíonn an nasc.

Seiceáil an teaghlach seoltaí freisin. Is féidir le próifíl dhá chruach ceangal thar IPv6 agus gan ach IPv4 clúdaithe ag d'eisceacht, agus ansin leanann an trácht riail dhifriúil ón gceann a scríobh tú. Baineann an rud céanna le proxy a fhreagraíonn thar ceann an deireadhphointe. Táirgeann an dá chás tollán a oibríonn agus do bhealach ag déanamh aon rud.

Ceangail an deireadhphointe agus léigh ord an pholasaí

Tá bealach óstaigh níos sainiúla ná aon bhealach réamhshocraithe. Mar sin bíonn an lámh in uachtar ag /32 do sheoladh an phéire sa tábla ina bhfuil sé. Ainmníonn an fhoirm ghnáthach an geata agus an gléas go sainráite:

ip route add 203.0.113.40/32 via 192.168.10.1 dev eth0

Ní chabhraíonn an bealach sin ach amháin má shroicheann an cuardach an tábla sin. Déantar rialacha an pholasaí a mheas in ord agus cinneann an chéad mheaitseáil, mar sin seachnaíonn riail a sheolann gach rud chuig dara tábla do bhealach óstaigh in main. Léigh na rialacha sula ngabhann tú leis go bhfuil an bealach údarásach:

ip rule show
ip route get 203.0.113.40

Fiafraigh den dara ordú leis an seoladh foinse céanna nó leis an marc a úsáideann an cliant nuair a bhíonn an polasaí ag brath orthu. Tuairiscíonn sé an bealach a roghnódh an eithne, rud atá ina fhianaise faoin gcuardach agus ní ina chruthúnas go bhfuil an soicéad beo ag úsáid na conaire sin.

Nuair a ghluaiseann an deireadhphointe

Déanann ainm óstaigh a réitítear chuig roinnt seoltaí /32 buan a chur ar neamhní a luaithe a athraíonn an freagra. Tá an fhadhb chéanna ag próifíl le roinnt línte remote, mar is féidir leis an cliant teacht ar aon cheann acu. Athnuaigh an bealach ó chrúcaí saolré an chliaint féin in ionad é a chur leis de láimh. Coinníonn script up a léann an péire idirbheartaithe agus a shuiteálann an bealach óstaigh an eisceacht ailínithe leis an réaltacht, agus baineann script down comhfhreagrach é.

Taifead an t-athnuachan san áit chéanna le chuid eile de chumraíocht ródaithe an óstaigh. Is tástáil é bealach nach maireann ach go dtí an chéad atosú eile, ní ceartú é.

Coinnigh an polasaí inmheánach ar leithligh

Ní thugann gluaiseacht na conaire seachtraí rochtain ar fhonlíon príobháideach nua agus ní athraíonn sé cé na cinn scríbe a bhrúnn an freastalaí isteach sa tollán. Roghnaíonn bealach na ciseal íochtair an sreang; roghnaíonn na bealaí brúite cad a théann isteach sa tollán. Is é an dá chinneadh sin a choinneáil ar leithligh a dhéanann an deighilt intuartha.

Más é an t-aon chuspóir an t-iompar criptithe a choinneáil amach ó nasc méadraithe, fág an bealach réamhshocraithe ciúin agus cuir an eisceacht aonair óstaigh leis. Má thagraíonn tú don bhealach réamhshocraithe ar fud an mheaisín chun nasc VPN amháin a bhogadh, brisfidh tú gach feidhmchlár eile ar an óstach.

Deimhnigh an toradh le dhá bhreathnóireacht neamhspleácha: seoladh agus gléas áitiúil an soicéid, agus an bealach a réitítear an ceann scríbe príobháideach chuige. Nuair a thagann an dá rud le d'intinn, tá an deighilt fíor. Clúdaíonn lámhleabhar OpenVPN 2.6 na roghanna remote agus ceangail áitiúla a chinneann cén seoladh a ghlaonn an cliant air.