Sama netfangs-IP, tveir vegir: merkja ytri straum OpenVPN

Venjulega lykkjuvörnin er hýslisleið: sendu umferð á opinbert netfang VPN-þjónsins út um upptenginguna svo dulkóðaða lotan endi aldrei í eigin göngum. Það virkar alveg þangað til þú vilt líka ná vefþjónustu á sama þjóni í gegnum göngin, því undanþágan er bundin við áfangann og áfanginn er sá sami. Útvegurinn er að hætta að flokka eftir áfanga og byrja að flokka eftir því hvaða sökkull sendi pakkann.

Byrjaðu á straumunum tveimur sem þú vilt aðskilja

Annar straumurinn er hið dulkóðaða OpenVPN-flutningskerfi sjálft, sem verður að fara út um upptenginguna, annars myndu göngin bera sína eigin ytri tengingu. Hinn er venjuleg HTTPS-beiðni á sama opinbert netfang, sem þú vilt hafa inni í göngunum svo hún berist þjónustunni frá gönguuppsprettu. Sami áfanginn, í mörgum tilvikum sama gáttarnúmer, önnur nauðsynleg leið.

Í þessari gegnumferð skulum við gera ráð fyrir biðlara á 10.90.0.10 um tun1, opinberu þjónnetfangi 198.51.100.25 og ósnortinni aðaltöflu þar sem sjálfgefna leiðin vísar á venjulegu upptenginguna. Þjónshliðin verður líka að taka við vefþjónustunni á innri leiðinni og senda umferð til baka til gönguuppsprettunnar; að senda pakka á opinbert netfang haggar ekki hlustandanum eða eldveggjarreglum þjónsins.

Áður en þú breytir nokkru skaltu skrá núverandi reglur hýsisins og velja gildi sem enginn annar notar: merki, töflunúmer og þrjár regluforsendur. Hafðu leið aftur inn í vélina sem fer ekki um þessa tengingu, því mistök hér fjarlægja þinn eigin fjaraðgang í stað þess að skemma bara vafraflipa.

Merktu sökkulinn sem ber umslagið

Biðlarastillingin fær merki fyrir dulkóðuðu útfararpakkana sína og hættir að setja leiðir sjálf, svo staðgöngustefnan er það eina sem ræður leiðunum:

mark 42
route-noexec
disable-dco

Tölugildið 42 er sextánundarkerfið 0x2a, og það er sextánundarformið sem leiðarreglurnar passa við. Heimildin um link-options lýsir mark sem einhverju sem á við dulkóðaða útfararpakka á Linux, sem er einmitt sá sökkull sem þú þarft að stýra leiðinni að. Að slökkva á afhleðslu gagnarásarinnar heldur þessu dæmi á notendarými-leiðinni, þar sem merkjahátternið er það sem er lýst.

route-noexec bælir niður sjálfvirka viðbót og fjarlægingu leiða hjá OpenVPN. Það setur ekkert í þeirra stað, svo frá þessu augnabliki verður eigandi leiðanna að viðhalda hverri leið sem göngin þurfa. Ef einkaaðgangsáfanginn hverfur eftir breytinguna er það vantaða staðgöngustefnan, ekki villa í merkingu.

Ekki halda hýslisleið í aðaltöflunni fyrir 198.51.100.25 meðan þú gerir þetta. Slík leið endurtekur einmitt þá undanþágu sem hönnunin reynir að þrengja, og hún mun vinna fyrir HTTPS-strauminn áður en nokkur stefnan hér að neðan er spurð.

Sendu allt annað á göngutöfluna

Þegar gönguviðmótið er til og heldur netfangi sínu lítur stefnan svona út:

ip -4 route add default dev tun1 src 10.90.0.10 table 47100
ip -4 rule add priority 20000 lookup main suppress_prefixlength 0
ip -4 rule add priority 20001 not fwmark 0x2a lookup 47100
ip -4 rule add priority 20002 not fwmark 0x2a unreachable

Fyrsta reglan heldur sértæku leiðum hýsisins sýnilegum, þar á meðal hvaða samþykkta staðarneti sem er, á sama tíma og hún gerir sjálfgefnu leið aðaltöflunnar ósýnilega fyrir þessari uppflettingu. Sá munur skiptir máli: að bæla niður sjálfgefnu leiðina er ekki það sama og að hunsa töfluna, og staðbundnu undantökin sem þú þarft enn lifa einmitt vegna þess. Lestu undantökin eitt í einu í stað þess að gera ráð fyrir að niðurstaðan sé algild neyðarrof.

Ómerkt umferð fellur þá á göngutöfluna, tekur gönguuppsprettuna og fer út um VPN. Merkt umferð fellur á fwmark-prófinu á næstu tveimur reglunum og heldur áfram að venjulegu aðaluppflettingunni neðar á listanum, þar sem sjálfgefna upptengingarleiðin er enn. Loka-reglan um unreachable er það sem kemur í veg fyrir að ómerktur straumur falli hljóðlega aftur á upptenginguna þegar gönguleiðin vantar. Veljarinn er merkið frá upphafi til enda, og áfangastaðurinn kemur aldrei inn í ákvörðunina.

Haltu þessari vörð á sínum stað yfir aftengingar og settu hana upp með restinni af stefnunni í stað þess að gera það í höndunum. Regla sem hverfur með viðmótinu er ekki stefna, heldur tilviljun. Að eyða stefnunni þegar göngin falla breytir bilanahamnum úr „læst“ í „lekið“, og gömul gönguleið sem rennur út síðar er mun auðveldara vandamál að útskýra en umferð sem fór út um rangt viðmót.

Láttu bakleiðina sjá sama merki

Útfararmerki eru aðeins helmingurinn af vélbúnaðinum, og þetta er hlutinn sem flestar endurgerðir sleppa. Svör við dulkóðuðu lotunni berast á upptengingunni og lúta bakleiðarstaðfestingu, sem spyr hvort uppsprettan myndi leiða til baka sömu leið og hún kom. Án hjálpar beitir sú uppfletting ómerktu göngustefnunni þinni og kemst að þeirri niðurstöðu að pakkinn sé á röngu viðmóti.

Lagfæringin tilheyrir eiganda eldveggjarins: geymdu merkið á útfarartengingunni, endurheimtu það á samsvarandi innkomandi pakka og virkjaðu uppsprettustaðfesta merkjahöndlun fyrir viðkomandi leið. Að OpenVPN setji sökkulmerki gerir ekkert af þessum þremur hlutum, og uppskrift sem telur aðeins upp biðlaravalkostina er ófullnægjandi. Biddu um þá samþættingu skriflega, því hún er minnst sýnilegi hlutinn af hönnuninni og sá sem er auðveldast að týna við endurgerð.

Laus bakleiðarprófun er heldur engin staðganga. Laus hamur þarf enn einhverja leið fyrir uppsprettuna, og unreachable-varðan sem þú bættir við fjarlægir með vilja eina fyrir ómerktar uppflettingar. Láttu samþættingu tengingarmerkisins klárast og fara í yfirferð áður en þú treystir á þessa hönnun, og meðhöndla hýsilfiltra sem sérstaka spurningu: merki er leiðarmerki, ekki leyfi. Ef samþættingin vantar er einkennið lota sem kemst á og verður svo þögul um leið og svör fara að berast.

Sannaðu það með tveimur leiðaruppflettingum

Berðu saman hvað kjarninn ákveður fyrir samhengin tvö og lestu dev- og src-reitina frekar en útgangsstöðuna:

ip -4 route get 198.51.100.25
ip -4 route get 198.51.100.25 mark 0x2a

Fyrsta uppflettingin ætti að leiða til tun1 með gönguuppsprettunni og önnur til upptengingarinnar. Þetta eru tilbúar uppflettingar, svo þær sanna stefnuna en ekki keyrandi ferlið: staðfestu raunverulega flutningsleið keyrandi biðlarans sérstaklega og sendu svo raunverulega HTTPS-beiðni með skírteinisstaðfestingu á.

Skrifaðu niður hvað hönnunin nær ekki yfir áður en þú lýsir henni fullbúinni. DNS, IPv6 og lífsferill reglnanna þurfa hver sína ákvörðun, og þetta er IPv4-leiðardæmi frekar en heildstæð persónuverndarstilling. Gildið er veljarinn: umslagið fær undanþágu upptengingarinnar, og venjuleg þjónusta á sama netfangi þarf ekki að erfa hana.