Enginn rofi til að undanskilja þetta forrit: gefðu ferlinu sína eigin uppsprettu

Eitt forrit ætti að nota venjulegu tenginguna meðan allt annað heldur sig í göngunum, og biðlarinn hefur engan rofa fyrir það. Það er heldur ekkert falið valmynd að finna. Leið er valin úr reitum inni í pakkanum, og pakkinn ber vistföng og gáttir frekar en auðkenni ferlisins sem bjó hann til, svo undanskilja verður að koma fram í einum þessara reita. Fylgdu pakka einu sinni og þeir valkostir sem í boði eru hætta að vera ráðgáta.

Hvers vegna biðlarinn getur ekki boðið það

Leiðsögn eftir áfangastað ber saman áfangastaðinn við forskeyti og heldur lengsta samræminu. Á þeirri stundu lítur hver pakki eins út, hver sem bjó hann til. Leiðsögn eftir stefnu uppsprettu víkkar samanburðinn út í uppsprettuvistfangið, og það er krókurinn sem sérhver hagnýt lausn notar: breyttu uppsprettunni og önnur tafla verður gild.

Gáttir hjálpa ekki. Undanskilja eftir gátt þyrfti að meta fyrir leitina að áfangastað, og gáttin á engan þátt í þeirri ákvörðun. Allt sem er auglýst sem undanskilja byggt á gátt undanskilur í raun eftir einhverjum öðrum reit og lýsir því lauslega.

Raunveruleg leiðsögn eftir forritum er til þar sem stýrikerfið bætti við vélbúnaði fyrir hana, eins og síuköllum í Windows eða bindingu VPN-þjónustunnar í Android. Skjáborðsútgáfa af OpenVPN kemur með ekkert af því, og ekkert stillingarflag býr það til.

Linux: merktu ferlið og leiddu svo merkið

Hreinasta aðferðin bindur ákvörðunina við ferlið sem á sokkinn. owner samræmið virkar fyrir umferð sem myndast á staðnum í OUTPUT keðjunni, svo merki sem sett er þar getur valið sér töflu:

iptables -t mangle -A OUTPUT -m owner --uid-owner 1001 -j MARK --set-mark 0x1
ip rule add fwmark 0x1 table 200
ip route add 192.168.1.0/24 dev eth0 src 192.168.1.0 table 200
ip route add default via 192.168.1.1 dev eth0 table 200

Pakkarnir frá notanda 1001 leita þá í töflu 200 og fara út um venjulegu gáttina, meðan aðaltaflan sendir áfram allt annað inn í göngin. owner samræmið gildir aðeins fyrir pakka sem myndast á staðnum, sem er einmitt umferðin sem skiptir máli hér, og það getur ekki flokkað pakka sem eru sendir áfram fyrir annan hýsil. Sannprófaðu með verkfærunum en ekki áforminu: ss -tnp sýnir staðbundið vistfang og eigandi ferli tenginganna sem eru komnar á, og ip route get 1.1.1.1 mark 0x1 sýnir hvaða töflu merkið velur.

Nafnrými nets er sterkara svar fyrir sjálfstætt forrit, því hver sokkur sem verður til inni í því er bundinn því að byggingu, svo hjálparferlar og barnatengingar erfa hegðunina án þess að vera flokkaðir yfirhöfuð. Kostnaðurinn er píplagnir: veth par, vistfang á hvorum enda, og sjálfgefin leið inni í nafnrýminu sem vísar til baka á hýsilinn.

ip netns add novpn
ip link add veth-host type veth peer name veth-ns
ip link set veth-ns netns novpn
ip addr add 10.200.0.1/24 dev veth-host
ip netns exec novpn ip addr add 10.200.0.2/24 dev veth-ns
ip netns exec novpn ip route add default via 10.200.0.1

Windows: áfangastaðurinn ræður enn

Windows velur útgangsviðmótið út frá áfangastaðnum, svo forrit sem vill aðra leið verður að breyta einhverju sem staflinn leitar til fyrir það val. ForceBindIP nær yfir fyrri hlutann: það ræsir forrit með sokkana þegar bundna við staðbundið vistfang sem þú nefnir. Það eitt breytir ekki um hvaða viðmót pakkinn fer, því áfangastaðurinn velur leiðina enn. Bindu uppsprettu á fartölvu þar sem sjálfgefna leiðin vísar inn í göngin og pakkinn fer samt inn í göngin.

Einkennin hafa læsilega mynd þegar maður þekkir þau. Þau gilda fyrir LAN-vistfang sem valið viðmót nær beint til og bregðast fyrir allt á internetinu sem leið þess vísar á göngin. Þau virðast líka virka þar til forritið færir vinnu til hjálparferlis, því hjálparferli sem opnar sinn eigin sokk var aldrei sagt frá bindingu.

Færðu ákvörðunina þegar eitt ferli er röng eining

Ef raunverulega krafan er tæki en ekki forrit, settu það á sitt eigið SSID eða VLAN og láttu beininn ráða: sú uppspretta fer venjulegu leiðina meðan aðrar uppsprettur nota göngin. Sérhæfð gáttarvél er hin heiðarlega hönnun: hún heldur VPN-inu og tekur aðeins við þeim áfangastöðum sem beininn sendir henni. Á VLAN nær stefnan yfir hvert flæði sem tækið opnar, þar á meðal hjálparferlana sem brutu Windows aðferðina. Skiptin eru umfang: ekki er lengur hægt að meðhöndla tvö forrit á því tæki á mismunandi hátt.

Báðar eru stefnur um uppsprettu eða áfangastað með umfangi sem þú getur sagt í einni setningu. Hvorug er eftir forritum, og hönnun sem auglýsir sig sem eftir forritum bregst í fyrsta sinn sem forritið felur vinnu sína öðru ferli.