VPN հաճախորդը գործարկում եք SSH-ով? Նախ ամրացրեք ձեր սեփական ուղին

Դուք SSH-ով մուտք եք գործում կառուցման հոսթ, գործարկում եք դրա վրա VPN հաճախորդը, և սեանսը դադարում է պատասխանել։ Ոչինչ չի վթարվել, և ոչինչ սխալ կազմաձևված չի թվում ակնհայտ իմաստով։ Հաճախորդը տեղադրեց լռելյայն ուղի, ուստի ձեր աշխատանքային կայանին ուղղված պատասխանները այժմ դուրս են գալիս թունելով, որտեղ ձեր աշխատանքային կայանի հասցեն ուղղորդելի չէ։ Հետաքրքիրն այն է, որ այս արդյունքը կանխատեսելի էր, և ուղղումը մեկ ուղի է, որը գրվում է մինչև հաճախորդի մեկնարկը։ Ենթադրենք սերվեր մեկ ցանցային քարտով, 192.0.2.254 դարպասով և ադմինիստրատոր, որը միանում է 203.0.113.9 հասցեից։

Գրանցեք ուղին նախքան սկսելը

ip route show default նշում է ընթացիկ դարպասը և ինտերֆեյսը, մինչդեռ ip route get 203.0.113.9 ցույց է տալիս, թե որ ինտերֆեյսը և աղբյուրի հասցեն միջուկը կօգտագործեր ձեր սեանսի համար։ Պահեք երկու արտածումները։ Թունելը բարձրանալուց հետո այդ երկու հրամանները դեռ պետք է նկարագրեն ֆիզիկական ուղին, և եթե դրանք փոխարենը նկարագրում են թունելը, սեանսն արդեն ապրում է փոխառված ժամանակով։

Կարևոր է արդեն հաստատված կապը, ուստի մի ստուգեք միայն նոր մուտքով։ Նոր սեանսը կարող է կարճ ժամանակով հաջողվել այնպիսի վիճակի միջոցով, որը հինն այլևս չունի։

Ամրացրեք հասցեն հաճախորդի սեփական կազմաձևում

Ձեռքով ավելացված ուղին անհետանում է վերագործարկման ժամանակ և մրցում հաճախորդի սեփական աղյուսակի թարմացումների հետ, ուստի բացառությունը դրեք այնտեղ, որտեղ կառավարվում է աղյուսակը։ OpenVPN-ում net_gateway բանալի բառը լուծվում է այն դարպասի, որը գոյություն ուներ թունելից առաջ, ուստի route 203.0.113.9 255.255.255.255 net_gateway պահում է ճիշտ մեկ հասցե դրանից դուրս։ WireGuard-ին այլ մոտեցում է պետք, քանի որ wg-quick-ը ինքն է կառավարում ուղիները՝ սահմանեք Table = off և ավելացրեք բացառությունը PostUp-ում, համապատասխան PostDown-ով, որը հեռացնում է այն։ Երկու ձևերն արտահայտում են նույն մտադրությունը, և երկուսն էլ բացառությունը սահմանափակում են մեկ հասցեով՝ ամեն ինչի համար թունելը թուլացնելու փոխարեն։

IPv6-ի համար նույն գաղափարը վերցնում է մեկ հոսթի նախածանց, և արժե հիշել փաթաթված տրանսպորտի դեպքը՝ եթե թունելի սեփական արտաքին կապը ապրում է ֆիքսված հասցեով, այդ հասցեն պետք է մնա այն թունելից դուրս, որը կրում է այն, այլապես հաճախորդն ուղղորդում է իր տրանսպորտը սեփական ներսը։

Կամ հանեք հիմնական աղյուսակը հավասարումից

Երբ հոսթի մի քանի ծառայություններ պետք է պահպանեն իրենց սովորական ուղին, դադարեք խմբագրել հիմնական աղյուսակը և տվեք հաճախորդին իր սեփականը։ veth զույգով ցանցային անվանատարածքը դա անում է մաքուր՝ հաճախորդի լռելյայն ուղին ապրում է այլ ստեկում, և թունելն օգտագործում են միայն դրա ներսում գործարկված պրոցեսները։ Քաղաքականության ուղղորդումը մեկ նպատակակետի համար հասնում է նմանատիպ տեղ՝ համապատասխան երթևեկությունն ուղարկելով հատուկ աղյուսակ, որի լռելյայնը դեռ ցույց է տալիս ֆիզիկական դարպասին։ Երկու մոտեցումներն էլ հոսթի հիմնական աղյուսակը թողնում են առանց նոր լռելյայն ուղու, և հենց այդ հատկությունն է SSH-ին պահում պատասխանող։

Երկուսն էլ ավելի շատ մեխանիզմ են, քան մեկ հոսթային ուղի, և երկուսն էլ արժեն, երբ մեքենայի վրա մեկից ավելի բան պետք է վերապրի թունելը։

Ենթադրեք, որ ամրացումը կարող է ձախողվել

Ձեր ընթացիկ հանրային հասցեին կապված ուղին կոտրվում է այն պահին, երբ ձեր մատակարարը վերաբաշխում է այն։ Հեռավոր սերվերին այն ժամանակ պետք է ուղի, որը կախված չէ այդ հասցեից՝ վահանակ, երկրորդ կառավարման ինտերֆեյս կամ ցատկող հոսթ, որը մնում է թունելից դուրս։

Երկու պաշտպանիչ միջոց արժեն տաս րոպե։ Պահակը, որը կանգնեցնում է հաճախորդին, եթե հաստատման մուտքը մի քանի րոպեում չի հայտնվում, կողպումը վերածում է ուշացման, և փոփոխության ընթացքում բաց պահված երկրորդ SSH սեանսը ապացուցում է, որ բացառությունը աշխատում է, երբ թունելը վերևում է։ Միայն keepalive-ները այստեղ չեն օգնում, որովհետև ուղին անհետացել է, ոչ թե պարապ է․ դրանք միայն հեշտացնում են մահը նկատելը։

Ստուգեք այն հերթականությամբ, որն կարևոր է

Միացրեք թունելը, հաստատեք, որ ձեր հասցեի ուղին դեռ դուրս է գալիս ֆիզիկական դարպասով, ապա բացեք նոր սեանս։ Եթե նոր սեանսը աշխատում է, և հինը միևնույն է մահանում է, պատճառը ուղղորդումը չէ, այլ կապերի հետևումը կամ վիճակով firewall-ը, ինչը այլ ուղղում է։

Գրեք ամրացված հասցեն և այն հրամանը, որը դա ապացուցեց, փոփոխությունների մատյանում։ Հաջորդ մարդը, ով այդ հոսթում հաճախորդ կգործարկի, երկուսն էլ պետք է ունենա, և հասցեն կարող է մինչ այդ փոխված լինել։