Full göng drap SSH setuna þína: festu heimleiðina

Ræstu OpenVPN biðlara á vélinni sem þú vinnur á í gegnum SSH, og í miðri skipuninni frýs setan. Göngin segjast tengd, hýsillinn nær internetinu í gegnum þau, og lyklislög þín berast enn þótt ekkert komi til baka. Það sem breyttist eru ekki göngin: það er heimleiðin fyrir pakka sem eru stílaðir á þig, sem nú passar við nýju sjálfgefnu leiðina og fer inn í göng sem fjarlæga gáttin mun ekki nota til að ná í skrifborðið þitt.

Hvað redirect-gateway setur í raun upp

Í def1 mynd sinni redirect-gateway bætir við 0.0.0.0/1 og 128.0.0.0/1 í stað þess að skrifa yfir sjálfgefnu leiðina. Þessir tveir helmingar ná yfir allt vistfangsrýmið og báðir halda áfram að vera lengri forskeyti en 0.0.0.0/0, svo hvert áfangastaður án nákvæmara samsvörunar fer nú inn í göngin. Þetta er ferlið sem á að halda fast í, því hver leiðrétting hér fyrir neðan virkar með því að setja upp nákvæmara samsvörun.

Stjórnunarvistfang þitt er einn af þessum áfangastöðum.

VPN þjónninn sendir umferð biðlara sinna út á internetið. Hann hefur enga leið fyrir hið opinbera vistfang sem þú tengist frá, og enga ástæðu til að meðhöndla þá pakka sem annað en umferð sem kemur frá biðlara, svo hann hendir þeim. Á meðan náði beiðnin sem þú sendir samt hýsilnum, og þess vegna virðist setan lifandi aðeins frá annarri hliðinni.

ip route show table main | head -n 20
ip route get 198.51.100.23

Finndu upprunavistfang þitt og leiðina fyrir göngin

Á þjóninum, listuðu upp stofnuðu SSH tenginguna og skráðu jafningjavistfangið sem hún kom frá. Það vistfang er það sem heimleiðin þín verður að ná yfir, og það er ekki alltaf það sem þú heldur: stökkhýsill, NAT gátt eða þýðandi símafyrirtækis geta sett annað upprunavistfang í staðinn.

Finndu síðan líkamlegu gáttina og viðmótið sem báru umferðina áður en göngin byrjuðu. Í def1 uppsetningunni er sjálfgefna leiðin enn til staðar undir hálfsjálfgefnu leiðunum, svo upplýsingarnar eru tiltækar, þótt lestur á langri leiðartöflu með auganu bjóði upp á mistök.

Skráðu bæði gildin og viðmótsheitið saman, því leiðin sem þú ert að fara að bæta við þarf öll þrjú. Ef hýsillinn notaði stefnubundna leiðarreglu til að velja uppstreymistengingu sína, gæti einföld leið alls ekki verið skoðuð, og sá möguleiki breytir leiðréttingunni.

Festu hýsilleið sem fer fram úr hálfsjálfgefnu leiðunum

Leið /32 er lengri en hvor sem er hálfsjálfgefnu leiðanna, svo svör til vistfangsins þíns velja hana í stað ganganna. Næsta stökk er gáttin fyrir göngin og tækið er líkamlega viðmótið, sem heldur pakkanum á þeirri slóð sem hann notaði áður en göngin voru til.

ip route add 198.51.100.23/32 via 203.0.113.1 dev eth0

Sannprófaðu með uppflettingu í stað þess að skoða töfluna: svarið verður að nefna eth0 og gáttina, aldrei tun0.

OpenVPN bætir nú þegar við hýsilleið að eigin vistfangi VPN þjónsins af sömu ástæðu, svo mynstrið er kunnugt og stjórnunarvistfangið er einfaldlega önnur undantekning. Ekki grípa til route-nopull til að laga þetta, því það hendir þeim leiðum sem ýtt var á og göngin þurfa, þar á meðal fjarlæga netinu og DNS valkostunum.

Gerðu það þannig að það lifi endurtengingu af

Leið sem bætt er við með höndunum hverfur þegar biðlarinn tengist aftur og setur upp sína eigin, sem gerir leiðréttingu að endurteknu tapi. Festu skipunina við eitthvað sem keyrir eftir að leiðirnar eru settar upp.

Bæði route-up skriftan og pre-up krókur netkerfisstjórans virka, og áreiðanlega prófið er endurtenging sem fylgt er eftir með sömu uppflettingu.

Á Windows er jafngildið varanleg leið sem bætt er við með -p, sem lifir endurræsingar af en verður samt að vísa á réttu gáttina eftir netbreytingu. Sama hvaða kerfi er notað, skrifaðu ástæðuna við hlið leiðarinnar: næsti stjórnandi þarf að vita að hún er til staðar til að vernda stjórnunarsetu, ekki vegna þess að netkerfishönnunin krafðist þess.

Þegar fest leið er enn ekki nóg

Síun andhverfrar slóðar getur hent pakka sem berst á eitt viðmót og fer út um annað, og það er einmitt það sem fest leið skapar. Athugaðu virka gildið á rp_filter áður en þú slökkvir á einhverju á heimsvísu, og veldu frekar að laga misræmið en að slökkva á prófinu. Það er stillingin fyrir hvert viðmót sem gildir, og loose hamur skráir oft aðeins misræmið í stað þess að henda pakkanum. Lestu bæði áður en þú ályktar að síunin sé þín sök.

Hýslar með stefnubundna leiðsögn þurfa reglu auk leiðar, því reglubotnin velur töfluna áður en leiðin inni í henni er skoðuð. Leið í main töflunni er ósýnileg flæði sem passar við reglu sem vísar á aðra töflu. Lestu reglurnar áður en þú bætir einhverju við main. Ef regla nær þegar yfir stjórnunarumferð tilheyrir undantekningin töflu þeirrar reglu í staðinn.

Haltu utanbandsstjórnborði opnu meðan þú prófar, og athugaðu aftur frá annarri innskráningu áður en þú aftengir þá sem þú ert að nota. Leið sem sendir þína eigin stjórnunarumferð inn í göngin klippir á tenginguna sem þú ert að laga hana í gegnum. Að komast aftur inn þýðir þá raðstjórnborð eða björgunaroppstoppun, sem er slæmt skipti fyrir að sleppa einu sannprófunarskrefi.