Af hverju rúta í gegnum heil göng lokar á þjóninn sem ber hana

Kveiktu á heilum göngum og hver áfangastaður tilheyrir nú VPN-tenginu, þar á meðal vélin sem lýkur því. Ytri pakkarnir sem bera göngin eru stefndir að þeirri vél, svo rútan eyðir að lokum flutningnum sem hún er háð. Ein frekari sérstök rúta leysir þetta, og ástæðan er þess virði að skilja. Án hennar færir næsta endurbygging gallann inn aftur.

Rúta sem étur eigin flutning

Innpökkun vefur hverjum pakka í aðra haus. Sá ytri er stefndur frá staðbundnu líkamlegu vistfanginu að opinberu vistfangi þjónsins, og hann verður að fara yfir líkamlegu tenginguna áður en nokkur göng geta verið til.

Leyfðu nú uppflettingunni á því opinbera vistfangi að velja göngin. Til að senda pakkann verður vélin að pakka honum inn, sem krefst rútu að sama vistfangi, sem skilar göngunum. Biðlarar takast á við þetta á einn af tveimur vegu. Varkár biðlari neitar að setja upp sjálfgefnu rútuna og tilkynnir villu, en minna varkár tilkynnir árangur og færir þá ekkert. Þegjandi bilunin er sú sem kostar síðdegi.

Lengsta forskeytis samsvörunin ræður uppflettingunni áður en nokkur mælikvarði er skoðaður, svo rúta fyrir eitt vistfang gengur framar hverri sjálfgefinni rútu á vélinni. Þetta er allt ferlið bak við viðgerðina.

Settu undantekninguna upp fyrir sjálfgefnu

Búðu til rútu fyrir eitt vistfang fyrir þjóninn, með líkamlega gáttina sem næsta hopp, áður en sjálfgefna rútan hreyfist. Röðin skiptir máli: að setja hana upp eftir á þýðir að lifa með brotnum göngum á meðan þú skrifar.

Flestir biðlarar gera þetta án þess að vera beðnir um það. OpenVPN flettir upp fjarlæga vistfanginu og festir það áður en sjálfgefna gáttin er endurskrifuð, og route-delay valkosturinn er til fyrir kerfi þar sem sú röð keppir. wg-quick fer alla aðra leið, merkir pakkana og leitar ráða hjá stefnureglu í stað þess að bæta við undantekningu. Mismunandi ferli, sama krafa: ytri pakkinn verður að komast út úr göngunum sem hann býr til.

ip route add 203.0.113.10/32 via 192.168.1.1 dev eth0
ip route get 203.0.113.10

Úttak uppflettingarinnar er samþykktarprófið. Það verður að nefna líkamlega tækið og líkamlega næsta hoppið. Gagnatæki í því svari þýðir að undantekningin vantar, eða var sett eftir einhverju sem hnekkir henni.

Spegilmyndin á þjóninum

Sama gildran bíður hinum megin, öfug. Gefðu þjóninum sjálfgefna rútu í gegnum önnur göng, eða ýttu að honum rútu sem nær yfir opinber vistföng biðlaranna, og svör hans fá vana til að fara ranga leið.

Ímyndaðu þér biðlara sem tengist og sendir beiðni. Svarið er stefnt að opinberu vistfangi þess biðlara, sem passar nú við rútu í göngunum, svo það fer frá öðru tengi og ber uppruna sem biðlarinn hringdi aldrei í. Biðlarinn getur tekið við pakkanum og samt hent honum, því ekkert tengir hann við beiðnina sem hann sendi. Byrjaðu á leiðarákvörðun þjónsins frekar en tímamörkum biðlarans, því aðeins önnur þeirra sýnir raunverulega valið.

ip route get 198.51.100.44 from 10.90.0.1
ip rule show
sudo tcpdump -ni any host 198.51.100.44

Þrjár viðgerðir eru til og þær eru ekki jafngildar. Að festa þjónustuna við líkamlega vistfangið, eða þýða upprunann, báðar fela leiðarákvörðunina í stað þess að leiðrétta hana. Að senda svarumferð fyrir göngusafnið í gegnum sérstaka töflu lagar orsökina, og hinar tvær eru aðeins ásættanlegar á meðan leiðarhönnunin er fryst.

Undantekningar sem göngin halda áfram að stela

Nokkur verk þurfa opið internet jafnvel þótt göngin eigi sjálfgefnu rútuna, og hvert þeirra þarf sína eigin undantekningu. Uppfærsla fyrir kraftstýrða DNS er venjulega fyrst til að brotna.

Hún leysir þjónustuveituna, opnar tengingu og finnur eigin pakka á ferð í gegnum göng sem breyttust fyrir sekúndum, svo uppfærslan mistekst eða birtir rangt vistfang. Þrjár leiðir út: festu veituna með hýsilrútu í gegnum líkamlegu gáttina, keyrðu uppfærsluna áður en göngin rísa, eða gefðu uppfærslunni stefnutöflu sem göngin snerta aldrei. Tímastilling hefur sömu áhrif á tæki sem ræsist án leysir, og endapunktar vottorðasannprófunar eiga heima á listanum af sömu ástæðu.

Undantekning sem enginn skrifaði niður er undantekning sem næsta endurbygging sleppir þegjandi.

Sannaðu það eftir endurtengingu, ekki fyrir

Prófaðu þrjá áfangastaði, ekki einn: endapunktinn, einkavistfang bak við göngin og opinbert vistfang handan þeirra. Ein farsæl uppfletting segir næstum ekkert um hina tvo.

ip route get 203.0.113.10
traceroute -n 203.0.113.10
ip route get 10.90.0.5
ip route get 1.1.1.1

Endurræstu þá tenginguna, því biðlari sem byggir töfluna sína upp aftur við endurtengingu hendir rútu sem þú slóst inn handvirkt. Ef kill switch er í gangi skaltu athuga að endapunkturinn sé leyfður, annars geta göngin ekki snúið til baka eftir netbreytingu og einkennin líta út eins og bilun. Geymdu undantekninguna í sniðinu eða unit-skránni frekar en í skeljarferli, svo endurtengingin búi hana til á ný í stað þess að þurrka hana út.