Bealach VPN nó riail balla dóiteáin: cé acu atá ag scaoileadh an phaicéid?

Tarlaíonn dhá chinneadh neamhspleácha don phaicéad céanna, agus féadann ceachtar acu an t-iarratas a chríochnú go ciúin. Roghnaíonn an cuardach bealaigh comhéadan agus an chéad chéim eile, ansin socraíonn an scagaire paicéad an bhfuil an meascán sin ceadaithe. Insíonn teorainn ama duit gur dhiúltaigh ceann den dá rud, ní cé acu. Oibrigh na céimeanna in ord agus de ghnáth stopann an deisiú de bheith ina bhuille faoi thuairim.

Dhá chinneadh, aon phaicéad amháin, beirt úinéirí

Rachaidh an cuardach bealaigh i gcomhairle le rialacha polasaí ar dtús, ansin leis an tábla a dtugann siad aghaidh air, agus roghnaíonn sé an réimír is sonraí a mheaitseálann an ceann scríbe. Is le cliant a shuiteáil bealach tolláin an cinneadh sin, agus ní féidir le haon rud i riail balla dóiteáin é a chur ina ionad. Nuair a dhíríonn an cuardach áit gan choinne, bíonn gach céim ina dhiaidh sin ag obair ar an bpacéad mícheart.

Tá an scagadh ar leithligh. Ar óstach Linux roinneann crúcaí netfilter an trácht de réir cé dó a bhfuil an paicéad: fágann an t-aschur an meaisín, críochnaíonn an t-ionchur air, téann an t-ardú tríd. Teastaíonn an cosán ardaíochta ó gheata a ghlacann le cliaint VPN agus a stiúrann chuig LAN iad, agus sin go díreach an slabhra a fhágann formhór na gcumraíochtaí réamhshocraithe folamh.

Baineann roghnú foinse leis an gcinneadh céanna, agus is ansin a bhíonn formhór na neamhréireanna i bhfolach. Roghnaíonn an t-eithne seoladh foinse ón gcomhéadan amach mura n-ainmníonn an bealach ceann, mar sin ní mheaitseálann riail scagaire a scríobhadh don fho-líonra LAN paicéad a fhágann le seoladh an tolláin riamh.

Léigh cad a roghnaigh an cuardach i ndáiríre

Priontáil an cinneadh in ionad é a thuiscint go hintuigthe. Réitíonn an t-ordú thíos an bealach a d'úsáidfeadh an t-eithne don cheann scríbe sin, lena n-áirítear an comhéadan agus an fhoinse a roghnódh sé:

ip route get 10.8.0.5
ip route get 10.8.0.5 from 192.0.2.44
ip rule show
ip route show table all | sed -n '1,40p'

Is minic a shuiteálann cliaint VPN rialacha polasaí ag tosaíochtaí faoi bhun an phríomhthábla, mar sin ní chruthaíonn príomhthábla glan aon rud ann féin. Cuir tosaíochtaí na rialacha i gcomparáid leis na táblaí a roghnaíonn siad, agus seiceáil an maireann bealach an tolláin tar éis athnascadh in ionad a bheith curtha leis de láimh uair amháin.

Cuireann IPsec atá bunaithe ar pholasaí tríú céim mheaitseála leis nach gclúdaíonn an ródú, mar a chuireann nótaí seolta strongSwan síos dóibh le haghaidh socruithe tolláin agus iompair. Roghnaíonn an polasaí slándála trácht de réir réimíre agus prótacail, agus ní shocraíonn an bealach ach cá rachadh paicéad gan chosaint. Fanann fo-líonra atá ródaithe ach nach bhfuil aon roghnóir meaitseála aige gan chosaint nó scaoiltear é, ag brath ar an gcumraíocht, agus ní fhéachann ceachtar de na torthaí cosúil le fadhb balla dóiteáin. Priontáil an polasaí agus cuir a roghnóirí i gcomparáid leis na réimíre a raibh súil agat go n-iompródh an tollán iad.

Cuirtear scagadh i bhfeidhm ag crúca, ní ag bealach

Is riail faoi thrácht a dhírítear ar an ngeata féin í riail a cheadaíonn an t-éisteoir VPN. Ní deir sí aon rud faoi chliaint a shroicheann óstaigh taobh thiar den gheata sin, mar théann trácht ardaíochta trí shlabhra eile. Is é an riailtacar a léamh mar aon liosta réidh an chúis is coitianta nach n-íosfaidh riail atá cosúil le bheith ceart riamh.

Socraíonn cuntair an cheist go tapa. Níor sroicheadh riail a bhfuil cuntar paicéad nialasach aici riamh, rud a thaispeánann an slabhra mícheart, an comhéadan mícheart nó scaoileadh níos luaithe. Is í an riail a bhfuil a cuntar ag fás faoi pholasaí scaoilte an teorainn a bhí á lorg agat, agus déantar an paicéad a scriosadh in ionad é a ródú go mícheart.

Seol probe tríd an gcosán a úsáideann an cliant

Téann tástálacha a ritear ar an ngeata féin trí aschur agus ionchur, le seoladh foinse an gheata féin. Is cosán difriúil é sin ó iarratas ardaíochta cliaint, mar sin cruthaíonn curl áitiúil rathúil níos lú ná mar a fheictear. Tástáil ón meaisín a theipeann, nó pionnáil an comhéadan agus an fhoinse go sainráite.

nc -vz -w 3 10.8.0.5 443
ping -c 3 -W 1 10.8.0.5
tcpdump -ni any host 10.8.0.5 and port 443
iptables -vnL FORWARD --line-numbers
nft list ruleset | sed -n '1,60p'

Deighleann gabháil ar an dá cheann na cásanna atá fágtha. Ciallaíonn SYN a fhágann an cliant agus nach sroicheann riamh ródú, criptiú nó liosta rochtana in aghaidh an tsrutha. Ciallaíonn SYN a shroicheann agus nach bhfaigheann freagra an tseirbhís nó a scagaire óstaigh, agus níorbh é an tollán an fhadhb riamh.

Tá féachaint dá chuid féin tuillte ag trácht fillte. Scaoileann ródú neamhshiméadrach mar aon le scagadh cosáin droim ar ais freagraí a shroicheann an comhéadan mícheart, rud a fheictear mar nasc aontreo seachas port blocáilte. Seiceáil luach sysctl sula gcuireann tú an milleán ar an mballa dóiteáin as comhartha nár chruthaigh sé.

Oibríonn logáil mar dhara tuairim, ní mar chéad chéim. Ainmníonn ráiteas loga sealadach ar an slabhra ardaíochta an comhéadan agus na seoltaí a bhuail é, agus is furasta é a bhaint ina dhiaidh sin. Fág ann go buan é agus tá fadhb méide loga tógtha agat in ionad freagra.

Cuir gach athrú san áit a maireann sé tar éis athnascadh

Maireann bealach a cuireadh leis le ip route add go dtí go dtéann an comhéadan síos. Coinnigh sa phróifíl naisc é ina ionad: glacann NetworkManager le bealaí breise ar an nasc, agus coinníonn netplan iad thar amanna tosaithe. Baineann an riail chéanna le heisceacht balla dóiteáin ar thaobh an chliaint, a bhíonn imithe tar éis an chéad athlódála eile.

Baineann rialacha ar thaobh an fhreastalaí leis an gcomhad cumraíochta a lódálann an tseirbhís ag an tús, ní le seisiún idirghníomhach a chríochnaíonn nuair a dhúnann tú é. Scríobh an riail, athlódáil, agus deimhnigh gur bhog an cuntar, mar fágann athlódáil a dhiúltaigh don chomhréir an seantacar rialacha ina áit go ciúin.

Ansin déan an t-iarratas feidhmchláir bunaidh a athrá ó thús go deireadh agus taifead cén ciseal a d'athraigh. Teipfidh ar dheisiú bealaigh a raibh athrú scagaire ag teastáil uaidh freisin, agus is i bhfad níos éasca an dara teip a léamh nuair a bhíonn a fhios agat go bhfuil an chéad cheann imithe. Nótaigh an dáta agus leagan an chliaint in aice an toraidh, mar bogann réamhshocruithe ródaithe agus scagtha araon idir eisiúintí. Coinnigh an nóta sin ar an ticéad ionas go dtosóidh an chéad duine eile san áit ar stop tú in ionad an tsiúlóid dhá chéim a athrá.