Երկու դարպաս, մեկ VPN. ինչու է OpenVPN-ը ընտրում սխալ վերին կապը

Երկու վերին կապ, մեկ թունել, և երթևեկությունը դուրս է գալիս այն կապով, որը դուք չեք ընտրել։ Մասնավոր ենթացանցերը հասանելի են, մատյանը հաղորդում է հաջող կապի մասին, և հենց չափված կապն է այն տանում։ OpenVPN-ի ելքում ոչինչ չի հիշատակում դարպաս, քանի որ հաճախորդը երբեք չի ընտրել ոչ մեկը։ Այն բացեց վահանակ հեռավոր հասցեի հետ և թողեց միջուկին որոշել, թե ինչպես հասնել այդ հասցեին։

Թունելի հասցեն վերջնակետը չէ

Յուրաքանչյուր նստաշրջանում կան երկու տարբեր ուղիներ։ Արտաքին ուղին տանում է գաղտնագրված փոխադրումը սերվերի հանրային հասցե։ Ներքին ուղին տանում է այն ամենը, ինչ սերվերը մղում է թունել, և մեկի երթուղային կանոնները ազդեցություն չունեն մյուսի վրա։

Պրոֆիլի remote գրառումը նշում է արտաքին նպատակակետը, ուստի հենց այդ հասցեն պետք է ամրացնել։ Դա նաև այն արժեքն է, որը փոխվում է, երբ հոսթի անունը լուծվում է այլ կերպ կամ պրոֆիլը թվարկում է մի քանի remote։

Գտեք այն հասցեն, որին հաճախորդը իրականում զանգահարել է

Կարդացեք կենդանի վահանակը, ոչ թե կազմաձևի ֆայլը։ Վահանակների աղյուսակը ցույց է տալիս զույգին, որին գործընթացը իրականում միացել է, և հենց այդ արժեքին պետք է համապատասխանի բացառությունը։ Պրոֆիլը կարելի է խմբագրել նստաշրջանի մեկնարկից հետո, և վահանակը միակ ապացույցն է այն բանի, թե ինչին են զանգահարել:

ss -tunp | grep -i openvpn
journalctl -u openvpn-client@work --no-pager | grep -i "Peer Connection Initiated"

Մատյանի տողը նշում է զույգի հասցեն և պորտը միացման պահին։ Եթե այն չի համապատասխանում պրոֆիլին, ինչ-որ բան հաճախորդի առջև վերագրում է նպատակակետը մինչև կապի սկսվելը։

Ստուգեք նաև հասցեների ընտանիքը։ Երկակի ստեկ պրոֆիլը կարող է միանալ IPv6-ով, մինչդեռ ձեր բացառությունը ծածկում է միայն IPv4-ը, և այդ դեպքում երթևեկությունը հետևում է ձեր գրածից տարբեր կանոնի։ Նույնը վերաբերում է այն վահանակին, որը պատասխանում է վերջնակետի անունից։ Երկու դեպքում էլ ստացվում է թունել, որն աշխատում է, մինչդեռ ձեր երթուղին ոչինչ չի անում։

Ամրացրեք վերջնակետը և կարդացեք քաղաքականության հերթականությունը

Հոսթի երթուղին ավելի կոնկրետ է, քան ցանկացած լռելյայն երթուղի։ Ուստի զույգի հասցեի /32-ը հաղթում է այն աղյուսակում, որը պարունակում է այն։ Սովորական ձևը հստակ նշում է դարպասը և սարքը:

ip route add 203.0.113.40/32 via 192.168.10.1 dev eth0

Այդ երթուղին օգնում է միայն այն դեպքում, եթե որոնումը հասնում է այդ աղյուսակին։ Քաղաքականության կանոնները գնահատվում են հերթականությամբ, և առաջին համընկնումը որոշում է, ուստի կանոնը, որը ամեն ինչ ուղարկում է երկրորդ աղյուսակ, շրջանցում է ձեր հոսթի երթուղին main-ում։ Կարդացեք կանոնները նախքան երթուղին հեղինակավոր համարելը:

ip rule show
ip route get 203.0.113.40

Հարցրեք երկրորդ հրամանը նույն աղբյուրի հասցեով կամ նշանով, որն օգտագործում է հաճախորդը, երբ քաղաքականությունը կախված է դրանցից։ Այն հաղորդում է այն երթուղին, որը կընտրեր միջուկը, ինչը ապացույց է որոնման մասին և ոչ թե ապացույց, որ կենդանի վահանակը օգտագործում է այդ ուղին։

Երբ վերջնակետը տեղաշարժվում է

Հոսթի անունը, որը լուծվում է մի քանի հասցեի, անվավեր է դարձնում մշտական /32-ը հենց որ պատասխանը փոխվում է։ Մի քանի remote տողերով պրոֆիլն ունի նույն խնդիրը, քանի որ հաճախորդը կարող է վայրէջք կատարել դրանցից որևէ մեկի վրա։ Թարմացրեք երթուղին հաճախորդի սեփական կյանքի ցիկլի կեռիկներից, փոխանակ այն ձեռքով ավելացնելու։ up սկրիպտը, որը կարդում է բանակցված զույգին և տեղադրում հոսթի երթուղին, բացառությունը համահունչ է պահում իրականությանը, իսկ համապատասխան down սկրիպտը հեռացնում է այն։

Գրանցեք թարմացումը նույն տեղում, որտեղ հոսթի մնացած երթուղային կազմաձևն է։ Երթուղին, որը գոյություն ունի միայն մինչև հաջորդ վերագործարկումը, փորձարկում է, ոչ թե ուղղում։

Պահեք ներքին քաղաքականությունը առանձին

Արտաքին ուղին տեղափոխելը չի տալիս հասանելիություն նոր մասնավոր ենթացանցի և չի փոխում, թե որ նպատակակետերն է սերվերը մղում թունել։ Ստորին շերտի երթուղին ընտրում է լարը. մղված երթուղիներն ընտրում են, թե ինչ է մտնում թունել։ Հենց այս երկու որոշումներն առանձին պահելն է դարձնում բաժանումը կանխատեսելի։

Եթե նպատակը միայն գաղտնագրված փոխադրումը չափված կապից հեռու պահելն է, թողեք լռելյայն երթուղին անփոփոխ և ավելացրեք միակ հոսթի բացառությունը։ Մեքենայի լռելյայն երթուղին փոխարինելը մեկ VPN կապ տեղափոխելու համար կոտրում է հոսթի ցանկացած այլ հավելված։

Հաստատեք արդյունքը երկու անկախ դիտարկումներով. վահանակի տեղական հասցեով և սարքով, և այն երթուղով, որին լուծվում է մասնավոր նպատակակետը։ Երբ երկուսն էլ համապատասխանում են ձեր մտադրությանը, բաժանումն իրական է։ OpenVPN 2.6-ի ձեռնարկը ընդգրկում է remote և տեղական կապակցման տարբերակները, որոնք որոշում են, թե որ հասցեին է զանգահարում հաճախորդը։