Innfellt VPN: hvaða göng bera ytra sambandið?

Tveir VPN-biðlarar sem keyra samtímis búa ekki til innfellt göng; þeir búa til tvö göng og deilur um leiðirnar. Innfellt göng eru til þegar samband innri biðlarans við eigin þjón er sjálft borið af ytri göngunum, og það er fyrirkomulag sem þú byggir af ásetningi. Ef það tekst sér innri þjónninn vist ytri þjónsins; ef það mistekst endurtengist annar biðlarinn hljóðlega fram hjá hinum. Þrjú skilyrði ráða því hvort innfellingin er raunveruleg eða tilviljun.

Þrjú skilyrði ráða innfellingunni

Það fyrsta er hvaða endapunktur þarf hvaða leið. Nefndu vist innri þjónsins, nefndu vist ytri þjónsins og taktu skýrt fram að innri þjónninn sé aðeins aðgengilegur í gegnum ytri göngin. Allt annað leiðir af þeirri setningu, þar á meðal hvaða leiðir eiga heima í hvaða töflu.

Það annað er hvort þú getur séð leiðina á hverju lagi. Ef þú getur ekki spurt kjarnann hvaða leið tiltekinn áfangastaður myndi nota, þá ályktar þú keðjuna út frá lokauppgjöf IP-tölu, og það er einmitt sú sönnun sem getur ekki greint innfellingu frá tilviljun.

Það þriðja er hvað gerist þegar ytri göngin falla. Innri göngin geta stöðvast með þeim, endurtengst yfir venjulega netið eða verið lokuð þar til ytri leiðin kemur til baka, og allt þrennt eru verjanlegar stefnur. Þær eru ekki sama stefnan, og sjálfgefin hegðun flestra biðlara er sú önnur. Biðlari sem endurtengir endapunkt sinn yfir líkamlega netið á meðan hann sýnir heilbrigt samband er algengasta leiðin sem ætluð keðja verður hljóðlega að tveimur ótengdum göngum.

Skilyrði eitt: hvaða endapunktur þarf hvaða leið

ip route get 203.0.113.10 svarar þeirri spurningu beint: skipunin prentar leiðina, upprunavistina og viðmótið sem kjarninn myndi nota fyrir þann áfangastað núna.

Keyrðu hana fyrir innri þjóninn áður en innri biðlarinn byrjar og aftur eftir á, og berðu saman. Ef svarið breytist frá líkamlega viðmótinu yfir í viðmót ytri ganganga er innfellingin raunveruleg á þeirri stundu. Ef það breytist ekki tengist innri biðlarinn beint, sama hvað stjórnborðið segir. Endurtaktu fyrir vist ytri þjónsins, sem á enn að leysast í gegnum líkamlega viðmótið, því að leið sem grípur báða endapunkta endurkvæmt er bilunin sem tekur vélina algjörlega af netinu.

Skilyrði tvö: skoðaðu leiðina á hverju lagi

Leiðarval er meira en aðaltaflan á nútímabiðlara. Stefnureglur geta sent merktar pakkningar í aðra töflu, biðlari getur bundið sokk sinn við viðmót, og gámur eða nafnrými hefur alveg sínar eigin töflur. Með ip rule og ip route show table all finnur þú út hver þessara er í gangi.

Biðlari sem setur SO_MARK á eigin sokk eða er stilltur til að binda sig við tiltekið tæki fer fram hjá sjálfgefnu leiðinni sem þú hélt að þú hefðir komið fyrir. Það er eiginleiki en ekki villa, og það þýðir að eina áreiðanlega prófunin er sú sem keyrir í sama nafnrými og biðlarinn. Ef biðlararnir keyra í gámum skaltu keyra prófanirnar í þeim gámum í staðinn fyrir á hýsilnum.

Skilyrði þrjú: hvað gerist þegar ytri göngin falla

Bilunarhegðun krefst ákvörðunar, ekki sjálfgefins gildis. Skrifaðu niður hvað eigi að gera við innri göngin þegar þau ytri hverfa, og láttu biðlarana svo gera það.

Valkostirnir eru áþreifanlegir. Að stöðva innri biðlarann þegar ytri leiðin hverfur gefur hreina keðju og augljóst bilunartilfelli. Að leyfa honum að endurtengjast beint gefur aðgengi og fjarlægir hljóðlega þann eiginleika sem keðjan var byggð fyrir. Að loka þar til ytri leiðin kemur til baka er strangasti og flóknasti valkosturinn í rekstri, því að hvert titringur í ytri göngunum verður sýnilegt atvik.

Prófaðu alla þrjá með hættulausum umferð og viljandi bilun í ytri göngunum, því að að lesa stillingarnar segir þér ekki hvaða valkost þú hefur. Drepðu ytri göngin, fylgstu með hvað innri biðlarinn gerir og athugaðu leiðina aftur á meðan þau eru niðri. Komdu svo ytri göngunum aftur og staðfestu að keðjan myndist aftur í staðinn fyrir að skilja innri biðlarann eftir á beinu leiðinni sem hann valdi í millitíðinni.

Hvað keðjan gefur þér ekki

Fleiri lög bæta við endapunktum, lyklum og bilunarháttum; þau bæta engri nafnleyndartryggingu við og þau gera ytri rekstraraðilanum ekki ókleift að sjá að göng eru til. Sérhver fullyrðing um hvað innfellingin verndar verður að nefna þann áhorfanda sem hún verndar gegn.

Afurðin er stutt skjal en ekki virkt samband: hvaða endapunktur notar hvaða leið, hvað gerist við bilun í ytri göngunum og þrjár skipanirnar sem sýna núverandi stöðu. skjöl strongSwan um framsendingu eru gagnleg tilvísun fyrir það hvernig umferð um göngin er framsend milli viðmóta á Linux-hýsli. Keyrðu prófanirnar aftur eftir hverja biðlarauppfærslu, því að sjálfgefnu gildin sem bjuggu til keðjuna þína eru ekki samningur. Innfellt göng sem þú getur ekki skoðað eru orðrómur með stöðuljósi.