Dante SOCKS í gegnum VPN: heiltúnel á móti upprunaleið

Þú vilt að umferð SOCKS-beiðninar fari í gegnum VPN á meðan restin af vélinni heldur venjulegri leið sinni. Tvær hönnunarlausnir gera þetta, og þær eru ólíkar að því hvað bilar þegar eitthvað fer úrskeiðis. Önnur ýtir sjálfgefinni leið inn í túnelinn og vinnur síðan í kringum hana; hin lætur aðaltöfluna í friði og sendir eitt upprunafang í aðra töflu. Sú seinni er hreinna og á sínar eigin gildrur.

Tvær hönnunarlausnir, tveir ólíkir skaðaradíusar

Heiltúnelhönnunin er það sem flestir VPN-klientar gera sjálfgefið: skipta út sjálfgefinni leið svo allt fylgi túnelnum og útiloka síðan það sem ekki á að fara þar. Auðvelt er að rökhugsa um hana og erfitt að halda henni þröngri, því sérhver staðbundin þjónusta sem þú bætir við erfir túnelinn þar til þú útilokar hana. Bilunarhamurinn er víðtækur, því ein röng leið tekur tengingu vélarinnar sjálfrar með sér.

Hönnunin sem velur uppruna fer hina leiðina. Aðaltaflan helst óbreytt, og ein stefnuregla sendir pakka frá tilteknu staðbundnu fangi í töflu með sjálfgefnum túnel. Ekkert annað breytist, sem þýðir að skaðaradíusinn er eitt fang.

Þessi þrengd er líka takmörkunin: hönnunin virkar aðeins ef útfararpakkar beiðninar bera raunverulega þetta fang.

Hvað stillingin external gerir í Dante

Stillingin external velur fangin sem beiðnin notar fyrir útfarartengingar; hún snertir ekki leiðarstefnu kjarnans. Þessi aðskilnaður er það sem gerir seinni hönnunina mögulega, og það er líka þar sem fólk les skjölin rangt. Að beina external að túnelangi gerir beiðnina að uppruna tenginga sinna frá því fangi, og leiðartöflan ákveður síðan hvert þessir pakkar fara.

Hlustandinn er sérstakt mál. Hafðu internal takmarkað við þá klienta sem eiga að nota beiðnina, krefst auðkenningar og settu eldvegg fyrir gáttina, því opinn hlustandi er ekki eiginleiki VPN-útgangs.

Staðfestu að stillta fangið tilheyri raunverulega túnelnum inni í netnafnrými beiðninar.

Að byggja töfluna sem velur uppruna

Fyrir TUN-fang 10.90.0.2/24 með aðgengilegum jafningja á 10.90.0.1, og töflunúmer sem ekkert annað notar, lítur skipulagið svona út:

ip -4 route add table 100 10.90.0.0/24 dev tun0 src 10.90.0.2
ip -4 route add table 100 default via 10.90.0.1 dev tun0 metric 10
ip -4 route add table 100 unreachable default metric 32760
ip -4 rule add priority 1000 from 10.90.0.2/32 lookup 100

Óaðgengilega leiðin er sá hluti sem fólk sleppir. Án hennar fellur tafla þar sem túnelleiðin hverfur niður í venjulega sjálfgefna leið og beiðnin fer hljóðlaust út um WAN. Með henni mistekst uppflettingin, sem er sýnileg bilun í stað hljóðlauss leka. Forgangur reglunnar verður líka að vera á undan öllu öðru sem passar við þann uppruna.

Þessi gildi lýsa einni netlagskipan. Jafningjar punkt-til-punkt, net30-addressun og klientar sem úthluta öðru forskeyti þurfa allir sínar eigin leiðir, svo afritaðu formið en ekki fangin.

Hvar upprunareglan lekur

Regla sem passar við upprunafang hefur áhrif á sérhvert ferli sem notar það, ekki bara beiðnina. Ef annar dæmon bindur sama fang fer umferð hans líka í túnelinn, og bilunin mun líta út eins og ótengt vandamál í þjónustu. Gefðu beiðninni fang sem ekkert annað notar, eða samþykktu að umfangið sé fangið en ekki ferlið.

DNS er hinn lekinn. Resolver-sokkur notar ekki endilega ytra gagnatengingarupprunann hjá beiðninni, svo nafnauppflettingar geta enn farið út um WAN. Prófaðu upplausn aðskilið frá tengingaruppbyggingu og ákveddu hvort sú niðurstaða sé ásættanleg.

IPv6 þarf sínar eigin reglur og leiðir, því IPv4-skipulag sannar ekkert um það.

Veldu eftir þeirri bilun sem þú þolir

Veldu heilan túnel þegar vernda á vélina í heild og þú getur haldið við undantekningarlistanum. Veldu leiðarval byggt á uppruna þegar vélin verður að halda eigin leið og aðeins á að beina einni þjónustu. Báðar eru gildar; mistökin eru að velja aðra og prófa hana síðan eins og hún væri hin.

Hvora sem þú velur, sannprófaðu frá báðum hliðum: beiðni í gegnum proxyið og beina beiðni frá vélinni, og skráðu það útgangsfang sem sést fyrir hvora.

Ef túnelinn dettur, ákveddu fyrirfram hvort proxyið eigi að bregðast eða falla til baka, og láttu leiðartöfluna tjá þá ákvörðun.