Hvernig á að senda eitt IPv4-áfangastað utan OpenVPN-göng

Flestar uppsetningar með fullum göngum senda hvert pakka í gegnum VPN, og redirect-gateway er fyrirmælin sem gera það kleift. Samt sem áður er hægt að undanskilja einn áfangastað. Að bæta við hýsil-leið fyrir það vistfang með net_gateway staðgenglinum segir biðlaranum að ná til þess í gegnum upprunalega gátt vélarinnar, á meðan allt annað heldur áfram að nota göngin.

Línan virðist meinlaus og er það oft, en hún leysir aðeins eina spurningu: hvert pakkar fyrir nákvæmlega þetta IPv4-vistfang fara. Hún breytir hvorki DNS, IPv6, reglum eldveggsins né hvaða ferli opnaði tenginguna, og hvert þessara atriða getur hljóðlaust gert undantekninguna að engu.

Hvað net_gateway nefnir í raun

Færslan í sniðinu fyrir þá undantekningu er ein lína: route 198.51.100.77 255.255.255.255 net_gateway. Fyrsta vistfangið er skjölunarstaðgengill fyrir áfangastaðinn, netgríman gerir hana að leið að einum hýsli, og síðasta táknið nefnir staðgengil gáttarinnar. OpenVPN leysir staðgengla gátta þegar það setur upp leiðir. vpn_gateway þýðir eigin gátt gangsins, fjarlægu hlið VPN-tengingarinnar. net_gateway þýðir sjálfgefnu gáttina sem hýsillinn hafði áður en VPN breytti nokkru, sem er venjulega staðbundni beinirinn á eðlisfræðilega netinu.

Þriðji staðgengillinn, remote_host, vísar í vistfang VPN-þjónsins, og hann er til svo göngin geti náð til þjónsins eftir eðlisfræðilegu leiðinni. Að rugla þessum þremur er algengasta ástæðan fyrir því að undantekning fer á vitlaust stað eða kemst alls ekki upp.

Gildið er lesið við tengingu, ekki skrifað í skrána. Ef vélin flyst yfir á annað net breytist gáttin fyrir VPN og leiðin fylgir þeirri nýju. Það er venjulega það sem þú vilt, en það þýðir líka að hegðun undantekningarinnar fer eftir netinu sem biðlarinn byrjaði frá.

Hvers vegna hýsil-leið vinnur yfir sjálfgefna leið gangsins

Leiðsögn ræðst af nákvæmasta samsvarandi forskeytinu. redirect-gateway def1 kemur venjulega ekki í stað sjálfgefnu leiðarinnar; það bætir við tveimur hlutum, leið fyrir neðri helming vistfangasvæðisins og einni fyrir þann efri, svo upprunalega sjálfgefna leiðin varðveitist fyrir aðra notkun. Þessir hlutar eru breiðari en eitt vistfang.

Leið fyrir eitt vistfang með netgrímunni 255.255.255.255 er /32, sem er eins nákvæmt og IPv4 getur orðið. Þegar pakki fyrir það vistfang er metinn passar /32 og vinnur óháð því hvaða leið var sett upp fyrst. Þetta er aðferðin að baki undantekningunni, og hún virkar eins á Linux, macOS og Windows svo framarlega sem leiðin er raunverulega til staðar.

Windows bætir við annarri vídd. Þegar tvær leiðir eru jafn nákvæmar vinnur sú með lægra mæligildið, og VPN-adapter getur borið tengimæligildi sem breytir niðurstöðunni. /32 er enn nákvæmara en hlutarnir, svo undantekningin heldur venjulega, en gömul leið frá fyrri lotu getur gefið ruglingslega niðurstöðu ef hún er jafn nákvæm.

Hvað undantekningin nær ekki yfir

DNS er fyrsta eyðan. Biðlarinn getur ýtt innri stillingum upplausnaraðila og stýrikerfið mun halda áfram að nota þær fyrir uppflettingar. Forrit sem leysir nafn áður en það tengist getur fengið innra vistfang fyrir þjónustu sem á að fara beint, eða utanaðkomandi vistfang sem leysist rétt en stumrar svo á næstu eyðu.

IPv6 er annað. Leiðarfyrirmælin höndla aðeins IPv4. Áfangastaður með tvískiptum stafla getur valið IPv6, sem fylgir göngunum eða sjálfgefinni IPv6-leið hýsilsins eftir stefnu, svo undantekningin fyrir IPv4 kemur aldrei til framkvæmda. Þú þarft samsvarandi IPv6-leið, eða meðvitaða ákvörðun um að slökkva á IPv6 fyrir þann biðlara.

Umfang forrita er þriðja. Reglan byggir á áfangastað, svo hvert ferli sem tengist því vistfangi notar beinu leiðina, hvort sem það er það sem þú hafðir í huga eða ekki. Hins vegar getur vefsíða svarað frá nokkrum vistföngum, svo undantekning fyrir eitt /32 undanskilur ekki síðuna. Ef raunverulega krafan er leiðsögn eftir forritum, þá er leiðatafla Community-biðlarans rangt verkfæri.

Athuga undantekninguna án að blekkja sjálfan sig

Byrjaðu á uppsettu leiðinni, ekki vafranum. Á Linux skaltu spyrja kjarnann hvaða leið og næstu hopp hann muni nota fyrir tiltekið vistfang; á Windows skaltu lesa leiðatöfluna fyrir það /32. Staðfestu að gáttin sé sú eðlisfræðilega en ekki göngin. Ef færslan vantar var sniðinu ekki beitt eða biðlarinn hafði ekki réttindi til að breyta leiðum.

Prófaðu svo tvo áfangastaði. Beiðni til undanskilda vistfangsins ætti að fara út um eðlisfræðilega tengið, og beiðni til innra stýrivistfangs ætti enn að nota göngin. Að prófa aðeins undanskilda vistfangið sannar ekkert um afgang gangsins, og að prófa opinbera vefsíðu prófar það vistfang sem sú síða leystist í, sem er kannski ekki vistfangið í reglunni.

Að lokum skaltu athuga stýringarnar sem geta hnekkt leiðinni. Kill switch á biðlarahlið eða Windows-stillingin block-outside-dns getur bannað beina umferð, sem birtist sem tenging sem mistekst þótt leiðin sé rétt. Ekki slökkva á þessum stýringum til að láta undantekninguna virðast virka; ef stefnan bannar beinu leiðina er undantekningin hönnunarvandamál fyrir eiganda VPN-þjónustunnar.

Athugaðu aftur eftir endurtengingu eða netskipti, því gáttin fyrir VPN og fáanlega leiðin eru eiginleikar augnabliksins, ekki sniðsins.