Dante SOCKS-ը VPN-ի միջոցով՝ լրիվ թունել կամ աղբյուրային երթուղավորում

Ցանկանում եք, որ SOCKS վստահված սերվերի երթևեկությունը դուրս գա VPN-ով, մինչդեռ հոսթի մնացած մասը պահպանում է իր սովորական ուղին։ Երկու նախագծեր դա անում են, և դրանք տարբերվում են նրանով, թե ինչ է կոտրվում, երբ ինչ-որ բան սխալ է գնում։ Մեկը լռելյայն երթուղին հրում է թունելի մեջ և հետո շրջանցում այն, մյուսը թողնում է հիմնական աղյուսակը անփոփոխ և մեկ աղբյուրի հասցե ուղարկում երկրորդ աղյուսակ։ Երկրորդն ավելի մաքուր է, և ունի իր ծուղակները։

Երկու նախագիծ, երկու տարբեր վնասի շառավիղ

Լրիվ թունելի նախագիծն այն է, ինչ անում են VPN հաճախորդների մեծ մասը լռելյայն՝ փոխարինում են լռելյայն երթուղին, որպեսզի ամեն ինչ հետևի թունելին, ապա բացառում են այն, ինչ չպետք է։ Հեշտ է մտածել դրա մասին և դժվար պահել նեղ, որովհետև յուրաքանչյուր ավելացված տեղական ծառայություն ժառանգում է թունելը, մինչև այն բացառեք։ Ձախողման եղանակը լայն է, քանի որ մեկ սխալ երթուղի իր հետ տանում է հոսթի սեփական կապը։

Աղբյուրի ընտրության նախագիծը գնում է հակառակ ուղղությամբ։ Հիմնական աղյուսակը մնում է ինչպես կար, և մեկ քաղաքականության կանոն ուղարկում է որոշակի տեղական հասցեից եկող փաթեթները թունելային լռելյայն ունեցող աղյուսակ։ Ուրիշ ոչինչ չի փոխվում, ինչը նշանակում է, որ վնասի շառավիղը մեկ հասցե է։

Այդ նեղությունը նաև սահմանափակումն է. նախագիծն աշխատում է միայն, եթե վստահված սերվերի ելքային փաթեթները իսկապես կրում են այդ հասցեն։

Ինչ է անում Dante-ի external կարգավորումը

External կարգավորումը ընտրում է այն հասցեները, որոնք վստահված սերվերն օգտագործում է ելքային միացումների համար. այն չի դիպչում միջուկի երթուղավորման քաղաքականությանը։ Հենց այդ բաժանումն է հնարավոր դարձնում երկրորդ նախագիծը, և հենց այստեղ են մարդիկ սխալ կարդում փաստաթղթերը։ External-ը թունելի հասցեին ուղղելը ստիպում է վստահված սերվերին իր միացումները սկսել այդ հասցեից, և ապա երթուղային աղյուսակը որոշում է, թե ուր են գնում այդ փաթեթները։

Լսողը առանձին հարց է։ Պահեք internal-ը սահմանափակ այն հաճախորդներով, որոնք պետք է օգտագործեն վստահված սերվերը, պահանջեք նույնականացում և փակեք պորտը հրապարակով, քանի որ բաց լսողը VPN ելքի հատկանիշ չէ։

Հաստատեք, որ կարգավորված հասցեն իսկապես պատկանում է թունելին վստահված սերվերի ցանցային անվանատարածքում։

Աղբյուրով ընտրված աղյուսակի կառուցումը

10.90.0.2/24 TUN հասցեի, 10.90.0.1-ում հասանելի գործընկերոջ և այնպիսի աղյուսակի համարի դեպքում, որը ուրիշ ոչինչ չի օգտագործում, դասավորությունն այսպիսին է՝

ip -4 route add table 100 10.90.0.0/24 dev tun0 src 10.90.0.2
ip -4 route add table 100 default via 10.90.0.1 dev tun0 metric 10
ip -4 route add table 100 unreachable default metric 32760
ip -4 rule add priority 1000 from 10.90.0.2/32 lookup 100

Անհասանելի երթուղին այն մասն է, որը մարդիկ բաց թողնում են։ Առանց դրա՝ աղյուսակը, որի թունելային երթուղին անհետանում է, ընկնում է սովորական լռելյայն երթուղու վրա, և վստահված սերվերը լուռ դուրս է գալիս WAN-ով։ Դրա հետ՝ որոնումը ձախողվում է, ինչը տեսանելի ձախողում է լուռ արտահոսքի փոխարեն։ Կանոնի առաջնահերթությունը նույնպես պետք է լինի այդ աղբյուրին համապատասխանող ամեն ինչից առաջ։

Այս արժեքները նկարագրում են մեկ տոպոլոգիա։ Կետ-կետ գործընկերները, net30 հասցեավորումը և այլ նախածանց տրամադրող հաճախորդները բոլորն ունեն իրենց երթուղիների կարիքը, ուստի պատճենեք ձևը, ոչ թե հասցեները։

Որտեղ է արտահոսում աղբյուրի կանոնը

Աղբյուրի հասցեին համապատասխանող կանոնն ազդում է այն օգտագործող յուրաքանչյուր գործընթացի վրա, ոչ միայն վստահված սերվերի։ Եթե մեկ այլ դեմոն կապում է նույն հասցեն, նրա երթևեկությունը նույնպես վերցնում է թունելը, և ձախողումը կթվա որպես անկապ ծառայության խնդիր։ Տվեք վստահված սերվերին հասցե, որը ուրիշ ոչինչ չի օգտագործում, կամ ընդունեք, որ շրջանակը հասցեն է, ոչ գործընթացը։

DNS-ը մյուս արտահոսքն է։ Լուծիչի սոքեթը պարտադիր չէ, որ օգտագործի վստահված սերվերի external տվյալների միացման աղբյուրը, այնպես որ անվանումների որոնումը դեռ կարող է դուրս գալ WAN-ով։ Փորձարկեք լուծումը միացման հաստատումից առանձին և որոշեք՝ արդյոք այդ արդյունքն ընդունելի է։

IPv6-ին պետք են իր կանոնները և երթուղիները, քանի որ IPv4-ի դասավորությունը ոչինչ չի ապացուցում դրա մասին։

Ընտրեք ըստ այն ձախողման, որը կարող եք հանդուրժել

Ընտրեք լրիվ թունելը, երբ հոսթը պետք է պաշտպանվի որպես ամբողջություն, և դուք կարող եք պահպանել բացառությունների ցանկը։ Ընտրեք աղբյուրի վրա հիմնված երթուղավորումը, երբ հոսթը պետք է պահպանի իր ուղին, և միայն մեկ ծառայություն պետք է վերաուղղորդվի։ Երկուսն էլ օրինական են. սխալն այն է, որ ընտրեք մեկը և հետո փորձարկեք այն, կարծես թե մյուսն է։

Ինչ էլ ընտրեք, ստուգեք երկու կողմից էլ՝ հարցում վստահված սերվերի միջոցով և ուղիղ հարցում հոսթից, յուրաքանչյուրի համար գրանցելով դիտարկված ելքի հասցեն։

Եթե թունելը ընկնի, նախապես որոշեք՝ վստահված սերվերը պետք է ձախողվի՞, թե՞ հետ գնա, և թող երթուղային աղյուսակը արտահայտի այդ որոշումը։