Græn táknmynd, sama opinbera IP: hvaða leið VPN sleppti

Tengt, græn táknmynd í bakkanum og síða sem endurspeglar vistfangið þitt og sýnir enn vistfang þjónustuveitandans þýða ekki sjálfkrafa bilun. Biðlarinn vinnur tvö aðskilin verk: hann byggir göng og hann breytir leiðartöflunni. Hvort tveggja getur gerst án hins, og sértæk leiðsögn er sú uppsetning þar sem seinni hlutanum er viljandi sleppt.

Hvað biðlarinn setti í raun upp

Spurðu hvaða tengi myndi bera pakka að raunverulegum áfangastað í stað þess að spyrja hvort göngin séu uppi. Göng án leiðar að þeim áfangastað eru einkavegur sem enginn fer.

ip route get 9.9.9.9
Find-NetRoute -RemoteIPAddress 9.9.9.9
route print -4

Fyrsta skipunin svarar á Linux og macOS, og hinar tvær eru Windows jafngildin þar sem ein nægir. Ef svarið nefnir líkamlega millistykkið eru göngin uppi og sjálfgefna leiðin hreyfðist aldrei. Endurtaktu athugunina fyrir áfangastað sem ætti að nota göngin, því tvær athuganir, ein fjarlæg og ein venjuleg, segja hvaða hönnun er í notkun.

Þrjár gerðir sértækrar leiðsagnar

Prófíll fyrir heil göng skrifar yfirleitt sjálfgefna leið að tenginu, eða skrifar parið af hálfdrægniforskeytum sem vinna á forskeytislengd á meðan upprunalega sjálfgefna leiðin verður eftir í töflunni. Sértæk leiðsögn er hinn kosturinn, og hún kemur í nokkrum myndum. Einn prófíll beinir einum hýsli eins og RDP-þjóni, annar beinir opinberu bili sem ná verður frá tilteknum stað, og sá þriðji undanskilur eitt forrit viljandi. Allir þrír eru lögmætir, og enginn þeirra breytir vistfanginu sem venjuleg vefsíða sér.

grep -nE "redirect-gateway|route-nopull|route " /etc/openvpn/client/*.conf
ip route show table main | head -20

Lestu prófílinn fyrir skipunina sem ræður, og svo töfluna fyrir það sem hún framleiddi. Skiptingu sem ýtt er inn má líka bæla á biðlaranum, þess vegna verða prófíllinn og taflan að stemma áður en þú kennir þjóninum um.

Fjarlæga hliðin verður að endurskrifa upprunavistfangið

Það er önnur bilun sem lítur eins út frá vafranum. Leiðin liggur inn í göngin, þjónninn tekur við pökkunum og sendir þá svo áfram með einkavistfang biðlarans óskert. Næsta stökk hefur enga leið til baka fyrir það vistfang, svo svör hverfa og síður hanga. Þjónninn verður að senda áfram yfirleitt, og hann verður að þýða upprunann í eitthvað sem internetið getur beint til baka.

sysctl net.ipv4.ip_forward
iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
iptables -t nat -S | grep MASQUERADE

Nefndu tengið sem snýr í raun að internetinu, sem er ekki alltaf eth0 á nútíma dreifingu. Hýstur þjónn með fast vistfang getur þýtt beint yfir á það vistfang í stað masquerade. Báðir helmingar skipta máli, því áframsending án þýðingar lekur leiðarlausum upprunum, en þýðing án áframsendingar sér pakkann aldrei.

Nafnaleysing fer sína eigin leið

Umferð getur farið út um göngin á meðan athugunin sem fann nafnið fór til leysis á staðarnetinu. Sýnilega vistfangið er það sama, athuganirnar ekki, og það bil er einmitt það sem skipt DNS-hönnun velur.

resolvectl status | head -20
resolvectl query example.org

Taktu eftir hvaða þjónn svaraði og hvort hann er frábrugðinn grunnlínunni fyrir göngin. Á skiptum göngum er þetta venjulega stillingin sem fólk vildi breyta þegar það kvartaði yfir vistfanginu, og hún er sú sem það skoðaði aldrei.

Fjórar athuganir sem ráða úr málinu

Skráðu útgangsvistfangið með göngin niðri og svo uppi. Keyrðu áfangastaðarathugunina í báðum ástandum og taktu eftir tenginu í hvert sinn.

curl -sS https://ifconfig.me/ip
ip route get 9.9.9.9

Þegar athugunin lendir inni í göngunum og endurspeglunin sýnir enn vistfang veitandans vantar þýðinguna á útganginum. Þegar athugunin lendir á líkamlega millistykkinu er prófíllinn sértækur og opinbera vistfangið var aldrei í spilunum. Skiptu endurspeglunarþjónustunni út fyrir þá sem þú treystir og skráðu fjórar athuganir saman, því hver fyrir sig eru þær sögur. Saman sýna þær hvoru tveggja verkanna biðlarinn gerði í raun.