Nýjar tengingar á nýrri VPN-útgöngu, gömlu flæðin látin í friði

Skipulögð tæming færir aðeins óflokkað flæði. Berðu það saman við leiðarskipti og sjáðu merkin, töflurnar og conntrack-stöðuna sem halda því.

Tvær heilbrigðar VPN-útgöngur, ein löng upphleðsla þegar í gangi og krafa um að næsta tenging noti hina göngin. Tvær leiðir eru til að uppfylla það, og aðeins ein þeirra er örugg á lifandi gátt. Skipti á sjálfgefinni leið færa hvert pakka, þar á meðal þá sem tilheyra upphleðslunni. Skipulögð tæming breytir valinu fyrir nýjar tengingar og lætur rakna flæðin vera á þeirri leið sem þau byrjuðu á.

Tvær leiðir til að skipta um útgöngu

Leiðarskiptin eru ein skipun og hægt að afturkalla á sekúndum, þess vegna eru þau notuð í atvikum. Þau eru líka ógjörn: pakkar núverandi upphleðslu fara skyndilega út um önnur göng, með annarri opinberri uppsprettuheimilisfangi og aðskildu þýðingarástandi.

Ef fjarlægi endinn rekur flæði eftir uppsprettuheimilisfangi getur upphleðslan einfaldlega hætt að þekkjast. Tæmingin forðast það með því að taka ákvörðunina einu sinni fyrir hverja tengingu og geyma hana, svo gamla upphleðslan heldur útgöngunni sinni þar til henni lýkur. Það er allt gildi æfingarinnar: fjarlægi endinn sér enga breytingu sem hann þarf að túlka. Hann heldur áfram að fá pakka sem passa við tenginguna sem hann þekkir þegar.

Kostnaðurinn er flækja: tvær leiðatöflur, flokkari sem keyrir á rétta króknum og merki sem þarf að samræma við allt annað á vélinni sem notar þau.

Gefðu hverri útgöngu sína töflu

Taktu frá leiðatöflu fyrir hverja útgöngu og aðskilin merkisgildi eða bita fyrir valkostina tvo. Hver tafla þarf leiðir sem hæfa hlutverki hennar, ekki bara nafn, og hún þarf viljandi bilunarútkomu fyrir það tilvik sem vantar. Tóm tafla sem dettur hljóðlaust í aðaltöfluna — svona fer umferð út um útgöngu sem enginn valdi.

ip rule add fwmark 0x10/0x10 table 101
ip rule add fwmark 0x20/0x20 table 102
ip route add default via 192.0.2.1 dev wg-a table 101
ip route add default via 198.51.100.1 dev wg-b table 102

Bættu blackhole-leið við enda hverrar töflu svo leit sem finnur enga samsvörun mistakist hávært í stað þess að sleppa til sjálfgefins sem þú valdir ekki.

Veldu einu sinni, við fyrsta pakkann

Flokkaðu eftir að tengingarakning er til og fyrir þá leiðarleit sem skiptir máli. Fyrir nýja, óflokkaða LAN-tengingu, veldu útgönguna og geymdu hana í stöðu tengingarinnar. Á síðari pökkum skaltu endurheimta geymda gildið í pakkamerkið sem stefnuleiðsögn les.

Hin fíngerða hlið er hvað nýtt þýðir. Conntrack getur enn tilkynnt NEW fyrir snemma pakka og endursendingar þar til svar sést, svo flokkari sem treystir eingöngu á þá stöðu getur skrifað yfir val sem hann hefur þegar gert. Athugaðu að engin útganga sé geymd fyrir tenginguna áður en þú úthlutar einni.

nftables heldur pakka- og tengingarmerkjum aðskildum, og leiðarvísirinn um metaupplýsingar skjalfestir hið skýra afrit þeirra á milli. Tengingarmerki verður ekki af sjálfu sér það pakkamerki sem reglan þín passar við, og það er algengasta ástæðan fyrir því að vandlega skrifaður flokkari hefur engin áhrif.

Takmarkaðu endurheimt við þá stefnu og umferð sem þú átt við. Að beita internet-útgöngumerki á pakka sem koma til baka getur sent svör í átt að útgöngunni í stað LAN, og einkennið er einstefnutenging sem lítur út eins og eldveggsvandamál. Lestu svarleiðina áður en þú snertir eldveggsreglu, því pakkinn er á leið sinni, bara ekki til baka til sendanda.

Fjórir fasar tæmingar

  1. Undirbúðu B án þess að snerta A: leiðsögn, framsending, heimild, NAT og bakleiðin. Settu upp töfluna og valstefnuna í gegnum núverandi stillingareiganda gáttarinnar.

  2. Skiptu um flokkara svo nýjar, óflokkaðar tengingar velji B, með geymdum valkostum varðveittum. Atómísk nftables-færsla kemur í veg fyrir glugga þar sem gamla stöðuna þarf að hreinsa.

  3. Leyfðu A að vera í gangi þar til flæðin þess klárast. Viðmót þess, tafla, fjarlæg útganga og NAT-vörpun eru enn hluti af þeim flæðum, og breyting á NAT-reglu endurbyggir ekki tengingar sem þegar eru til.

  4. Taktu A úr notkun þegar skilyrði tæmingar er uppfyllt, metið út frá stöðu tenginga og hegðun forrits frekar en einu hljóðu millibili.

Hvað tæming getur ekki lofað

Beiðni vafra er ekki ný flutningstenging; samnýting heldur áfram að senda beiðnir um þá gömlu. Aftur á móti getur UDP-flæði orðið gamalt út úr conntrack og síðari pakki flokkast upp á nýtt. Tæmingin fylgir raknum flæðum, ekki hugmynd forrits um setu.

Ef A bregst áður en flæðin þess klárast bjargar geymda merkið þeim ekki. Þau tengjast aftur um B, eða tengjast alls ekki. Skipulögð tæming kaupir samfellu meðan upprunalega leiðin er heilbrigð; hún er ekki stöðuafritun milli óháðra útgangna.

Staðfestu báða helmingana

Byrjaðu langlífa leyfða tengingu fyrir breytinguna og sanna nýja eftir hana. Staðfestu hvaða göng hvor notar og hvaða opinbera uppsprettuheimilisfang fjarlægi endinn sér, athugaðu svo að bakumferðin komi til baka.

Tæmdu ekki conntrack-töfluna til að láta nýja valið birtast. Það eyðileggur einmitt þá stöðu sem tæmingunni er ætlað að varðveita, og það breytir stýrðri flutningi í niðurfall með hreinskilnu prófi.

Tengdir greinar