Fullt göng OpenVPN: bættu við internetútgöngu á þjónshliðinni

Biðlari auðkennir sig, fær vistfang úr lauginni og nær þjónustum á VPN-hýsilnum, en hver opinber áfangastaður rennur út á tíma. Svona lítur göng án útgöngu út, og þannig helst það þar til fjórir aðskildir hlutir eru sannir. Biðlarinn verður að samþykkja sjálfgefna leið, þjónninn verður að endursenda, eldveggurinn verður að leyfa gegnumferðina og svörin þurfa leið til baka í laugina. Allar fjórar bilanir deila einu einkenni, svo breyttu einum hlut í hvert skipti og skráðu niðurstöðuna.

Ýttu sjálfgefnu leiðinni út og staðfestu hvað biðlarinn setti upp

Línan á þjónshliðinni er stutt, og hún hefur aðeins áhrif á biðlara sem samþykkja ýttu valkostina. def1-formið setur upp tvær hálf-sjálfgefnar leiðir í stað þess að eyða fyrirliggjandi sjálfgefnu leið, sem heldur núverandi tengingu lifandi og grípur samt hvern áfangastað.

push "redirect-gateway def1"

Eftir að hafa tengst aftur skaltu lesa leiðatöflu biðlarans í stað þess að treysta sniðinu. Á Linux birtast færslurnar tvær /1 við hlið upprunalegu sjálfgefnu leiðarinnar, og Windows sýnir sama par sem 0.0.0.0/1 og 128.0.0.0/1. Biðlari sem hunsar ýttu valkostina, eða sá sem er stilltur til að hafna þeim, heldur gömlu sjálfgefnu leiðinni sinni og sendir aldrei internetumferð inn í göngin. Leystu það úr fyrirfram áður en þú breytir einhverju á þjóninum, því engin regla á þjónshlið getur bætt það upp.

Endursending er stilling á þjóni, ekki stilling á VPN

Lestu endursendingarflagginn áður en þú snertir leiðarval. Núll þar þýðir að kjarninn tekur við pakka biðlarans og neitar að senda hann áfram, sem lítur nákvæmlega út eins og eldveggslokun frá hinum endanum. Stilltu gildið í gegnum stillingarmöppu kerfisins svo það standist endurræsingu.

sysctl net.ipv4.ip_forward
echo 'net.ipv4.ip_forward=1' | sudo tee /etc/sysctl.d/99-vpn-forward.conf
sudo sysctl --system

Staðfestu næst að hýsillinn sjálfur hafi virka leið út á internetið. Beiðni úr skel þjónsins sannar að leiðin uppstreymis sé nothæf og segir ekkert um endursendingu á pakka biðlara, svo meðhöndlaðu þær sem tvö aðskilin próf. Ef þjónninn nær ekki áfangastaðnum mun engin upphæð endursendingarstillinga hjálpa.

Leyfðu nákvæmlega þá gegnumferð sem þú ætlar, og ekkert annað

Endursendir pakkar fara um forward-leiðina; umferð sem beint er að VPN-hýsilnum sjálfum fer um input. Þetta eru aðskildar ákvarðanir, og opnun input-leiðarinnar leyfir ekki gegnumferð um vélina. Að rugla þeim saman er algengasta ástæðan fyrir því að eldveggur virðist leyfa allt á meðan biðlarar renna enn út á tíma.

Lágmarksstefna samþykkir nýjar tengingar úr lauginni í átt að útgönguviðmótinu og samþykkir svör sem tilheyra uppsettum flæðum. Settu hana í þann reglusafnshafa sem dreifingin þín notar, í stað þess að bæta afritri reglu við hverja ræsingu; afritri reglur safnast upp og teljararnir hætta að þýða eitthvað.

sudo iptables -A FORWARD -i tun0 -o eth0 -s 10.90.0.0/24 -j ACCEPT
sudo iptables -A FORWARD -i eth0 -o tun0 -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT

Að skipta hverri keðju yfir í samþykkt lætur prófið standast og fjarlægir ástæðuna fyrir tilvist eldveggsins. Haltu umfanginu við laugina og útgönguviðmótið, og láttu ótengda endursendingu í friði.

Gefðu svörunum stað til að fara á

Vistföng laugarinnar eru einkaaðgengileg, svo opinber þjónn getur ekki skilað svari beint til þeirra. Annaðhvort þýðir VPN-hýsillinn upprunavistfangið á útleið, eða tæki ofar í straumnum heldur leið til baka í laugina.

sudo iptables -t nat -A POSTROUTING -s 10.90.0.0/24 -o eth0 -j MASQUERADE

Bættu við nákvæmlega einu þýðingarlagi. Annað NAT ofar í straumnum felur það fyrra og gerir báðar annálana nánast gagnslausar þegar eitthvað bilar síðar. Ef beinir ofar í straumnum beinir lauginni þegar til baka er þýðing á hýsilnum óþörf, og bakleiðin fer þá eftir stillingum þess beinis en ekki þínum.

Skýjaþjónustutilvik bæta við einu hliði enn, því sumir pallar henda pökkum þar sem upprunavistfang er ekki vistfang tilviksins nema slakað sé á þeirri athugun. Sú stilling er utan gestanna og er auðveld að gleyma þegar staðbundin prófunarvél virkar.

Sannaðu það frá biðlaranum, ekki úr skel þjónsins

Byrjaðu á tölulegri IPv4-beiðni, svo nafnauppflettingu, svo forritinu. ping sannar endursendingu og þýðingu;það sannar ekkert um upplausn, því DNS-valkostir taka aðeins gildi þegar samþætting biðlarans setur þá upp.

curl -4 -m 5 http://198.51.100.10/
dig +short example.com

Skráðu breytingarnar og afturköllunarskrefið jafnóðum, svo hægt sé að afturkalla útgöngustefnuna með einni aðgerð þegar próf mistekst. Þessi uppskrift nær aðeins yfir IPv4; taktu IPv6 sérstaklega í sundur áður en þú fullyrðir að uppsetningin beri alla umferð.