Zöld ikon, ugyanaz a nyilvános IP: melyik útvonalat hagyta ki a VPN

A tálcán lévő ikon alagutat jelez, nem alapértelmezett útvonalat. Négy lekérdezés mutatja meg, telepítette-e a kliens az útvonalat, vagy a kimenet sosem fordította le a forrást.

Csatlakozva, zöld ikon a tálcán, és egy oldal, amely visszamutatja a címedet, még mindig a szolgáltató címét mutatja, ez azonban nem jelent automatikusan hibát. A kliens két külön munkát végez: alagutat épít, és szerkeszti az útválasztási táblázatot. Bármelyik megtörténhet a másik nélkül, a szelektív útválasztás pedig az a konfiguráció, ahol a másodikat szándékosan kihagyják.

Mit telepített valójában a kliens

Ahelyett, hogy azt kérdeznéd, áll-e az alagút, kérdezd meg, melyik interfész vinné a csomagot egy valódi célhoz. Az alagút, amelynek nincs útvonala ehhez a célhoz, olyan magánút, amelyen senki nem jár.

ip route get 9.9.9.9
Find-NetRoute -RemoteIPAddress 9.9.9.9
route print -4

Az első parancs Linuxon és macOS-en válaszol, a másik kettő a Windows megfelelője, ahol egy is elég. Ha a válasz a fizikai adaptert nevezi meg, az alagút áll, és az alapértelmezett útvonal soha nem mozdult el. Ismételd meg a lekérdezést egy olyan célra, amelynek az alagutat kellene használnia, mert két lekérdezés, egy távoli és egy közönséges, megmondja, melyik terv van telepítve.

A szelektív útválasztás három formája

A teljes alagút profilja általában az interfészre mutató alapértelmezett útvonalat ír, vagy felírja a fél tartományú előtagok párját, amelyek az előtag hossza miatt nyernek, miközben az eredeti alapértelmezett a táblázatban marad. A szelektív útválasztás a másik választás, és több formában létezik. Az egyik profil egyetlen gazdagépet irányít, például egy RDP-kiszolgálót, a másik egy nyilvános tartományt, amelyet egy adott helyről kell elérni, a harmadik pedig szándékosan kizár egy alkalmazást. Mindhárom jogos, és egyik sem változtatja meg azt a címet, amelyet egy közönséges webhely lát.

grep -nE "redirect-gateway|route-nopull|route " /etc/openvpn/client/*.conf
ip route show table main | head -20

Olvasd el a profilt a döntő utasításért, majd a táblázatot azért, amit előállított. A betolt utasítás a kliensen is elnyomható, ezért a profilnak és a táblázatnak egyeznie kell, mielőtt a kiszolgálót hibáztatod.

A túloldalnak át kell írnia a forráscímet

Van egy második hiba, amely a böngészőből azonosnak látszik. Az útvonal az alagútba vezet, a kiszolgáló megkapja a csomagokat, majd továbbítja őket a kliens magáncímével érintetlenül. A következő ugrásnak nincs visszaútja ehhez a címhez, ezért a válaszok eltűnnek, és az oldalak megakadnak. A kiszolgálónak egyáltalán továbbítania kell, és le kell fordítania a forrást valamivé, amit az internet vissza tud irányítani.

sysctl net.ipv4.ip_forward
iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
iptables -t nat -S | grep MASQUERADE

Nevezd meg az interfészt, amely valóban az internet felé néz, ami modern disztribúción nem mindig eth0. A fix című hosztolt kiszolgáló kifejezetten erre a címre fordíthat a masquerade helyett. Mindkét fél számít, mert a fordítás nélküli továbbítás nem irányítható forrásokat szivárogtat, a továbbítás nélküli fordítás pedig soha nem látja a csomagot.

A névfeloldás a saját útját járja

A forgalom kiléphet az alagúton, miközben a nevet megtaláló lekérdezés a helyi hálózat feloldójához ment. A látható cím ugyanaz marad, a lekérdezések nem, és pontosan ezt a rést választja a felosztott DNS-terv.

resolvectl status | head -20
resolvectl query example.org

Figyeld meg, melyik kiszolgáló válaszolt, és eltér-e az alagút előtti kiindulási értéktől. Felosztott alagútnál ez általában az a beállítás, amelyet az emberek meg akartak változtatni, amikor a címre panaszkodtak, és pont az, amelyre soha nem néztek rá.

Négy megfigyelés, amely eldönti a kérdést

Rögzítsd a kilépési címet leengedett alagúttal, majd felengedettel. Futtasd a cél lekérdezését mindkét állapotban, és minden alkalommal jegyezd fel az interfészt.

curl -sS https://ifconfig.me/ip
ip route get 9.9.9.9

Amikor a lekérdezés az alagúton belülre esik, és a visszhang még mindig a szolgáltató címét mutatja, a kimeneti fordítás hiányzik. Amikor a lekérdezés a fizikai adapterre esik, a profil szelektív, és a nyilvános cím soha nem volt játékban. Cseréld le a visszhangszolgáltatást egy megbízhatóra, és jegyezd fel a négy megfigyelést együtt, mert külön-külön anekdoták. Együtt megmutatják, melyik munkát végezte el a kliens valójában.

Kapcsolódó cikkek