Ikon hijau, IP publik sama: rute mana yang dilewati VPN

Tersambung, ikon baki hijau, dan halaman pantul alamat yang masih menampilkan alamat penyedia tidak otomatis berarti gangguan. Klien mengerjakan dua tugas terpisah: ia membangun terowongan, dan ia menyunting tabel perutean. Salah satunya bisa terjadi tanpa yang lain, dan perutean selektif adalah konfigurasi ketika yang kedua sengaja dilewati.

Apa yang sebenarnya dipasang klien

Tanyakan antarmuka mana yang akan membawa paket ke tujuan nyata, bukan menanyakan apakah terowongannya menyala. Terowongan tanpa rute ke tujuan itu adalah jalan pribadi yang tidak dilalui siapa pun.

ip route get 9.9.9.9
Find-NetRoute -RemoteIPAddress 9.9.9.9
route print -4

Perintah pertama menjawab di Linux dan macOS, dan dua lainnya adalah padanan Windows yang cukup satu. Jika jawabannya menyebut adaptor fisik, terowongannya menyala dan rute bawaan tidak pernah bergeser. Ulangi pemeriksaan untuk tujuan yang seharusnya memakai terowongan, karena dua pemeriksaan, satu jauh dan satu biasa, memberi tahu rancangan mana yang dipakai.

Tiga bentuk perutean selektif

Profil terowongan penuh biasanya menulis rute bawaan menuju antarmuka, atau menulis pasangan prefiks setengah rentang yang menang pada panjang prefiks sementara rute bawaan asli tetap di tabel. Perutean selektif adalah pilihan lain, dan bentuknya bermacam-macam. Satu profil merutekan satu host seperti server RDP, yang lain merutekan rentang publik yang harus dicapai dari lokasi tertentu, dan yang ketiga sengaja mengecualikan satu aplikasi. Ketiganya sah, dan tidak satu pun mengubah alamat yang dilihat situs biasa.

grep -nE "redirect-gateway|route-nopull|route " /etc/openvpn/client/*.conf
ip route show table main | head -20

Baca profil untuk arahan yang menentukan, lalu tabel untuk apa yang dihasilkannya. Arahan yang didorong juga bisa ditekan di klien, karena itu profil dan tabel harus sepakat sebelum Anda menyalahkan server.

Sisi jauh harus menulis ulang alamat sumber

Ada kegagalan kedua yang dari peramban tampak sama. Rute menunjuk ke dalam terowongan, server menerima paket, lalu meneruskannya dengan alamat privat klien tetap utuh. Lompatan berikutnya tidak punya jalur balik untuk alamat itu, jadi balasan menghilang dan halaman menggantung. Server harus meneruskan sama sekali, dan harus menerjemahkan sumber menjadi sesuatu yang bisa dirutekan balik oleh internet.

sysctl net.ipv4.ip_forward
iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
iptables -t nat -S | grep MASQUERADE

Sebutkan antarmuka yang benar-benar menghadap internet, yang pada distribusi modern tidak selalu eth0. Server terkelola dengan alamat tetap bisa menerjemahkan secara eksplisit ke alamat itu alih-alih memakai masquerade. Kedua belahannya penting, karena penerusan tanpa penerjemahan membocorkan sumber yang tidak bisa dirutekan, sedangkan penerjemahan tanpa penerusan tidak pernah melihat paketnya.

Resolusi nama menempuh jalurnya sendiri

Lalu lintas bisa keluar lewat terowongan sementara pemeriksaan yang menemukan nama pergi ke resolver di jaringan lokal. Alamat yang terlihat tetap sama, pemeriksaannya tidak, dan celah itulah yang dipilih rancangan DNS terpisah.

resolvectl status | head -20
resolvectl query example.org

Perhatikan server mana yang menjawab dan apakah berbeda dari garis dasar sebelum terowongan. Pada terowongan terpisah ini biasanya setelan yang ingin diubah orang saat mengeluh soal alamat, dan itulah yang tidak pernah mereka lihat.

Empat pengamatan yang menyelesaikannya

Catat alamat keluar saat terowongan mati, lalu saat menyala. Jalankan pemeriksaan tujuan pada kedua keadaan dan catat antarmukanya setiap kali.

curl -sS https://ifconfig.me/ip
ip route get 9.9.9.9

Ketika pemeriksaan mendarat di dalam terowongan dan pantulan masih menampilkan alamat penyedia, penerjemahan di pintu keluar tidak ada. Ketika pemeriksaan mendarat di adaptor fisik, profilnya selektif dan alamat publik tidak pernah masuk lingkup. Ganti layanan pantul dengan yang Anda percaya dan catat keempat pengamatan bersama-sama, karena terpisah itu hanya anekdot. Bersama-sama, keempatnya menunjukkan tugas mana dari dua tugas itu yang benar-benar dikerjakan klien.