Beindu einu LAN-undirneti í gegnum OpenVPN og haltu sjálfgefnu leiðinni

Haltu sjálfgefnu LAN-leiðinni á meðan eitt undirnet fer í gegnum göngin. Berðu saman stefnutöflu við breytingar á aðaltöflunni og veldu síðan NAT eða leið á þjónshlið.

Tæki sem beina fyrir LAN og hringja jafnframt í VPN lenda í sömu rökræðunum við sjálf sig: göngin vilja eiga sjálfgefnu leiðina og LANið þarf hana aftur. Þegar OpenVPN tengist getur það sett upp sjálfgefna leið í gegnum göngin eða par af hálfum sjálfgefnum leiðum, sem er rétt fyrir fartölvu og rangt fyrir hlið sem nágrannar þess búast við svörum frá LAN-heimilisfangi þess. Svarið er ekki að sleppa VPNinu. Svarið er að gefa tveimur ákvörðunum mismunandi töflur.

Ein sjálfgefin leið, tveir eigendur

Framsend umferð og umferð sem verður til á staðnum þurfa ekki að fara sömu leið. LAN-biðlarar þurfa göngin aðeins fyrir þá áfangastaði sem þú velur, en stjórnlotur hýsilsins sjálfs og svör hans til þessara biðlara þurfa sjálfgefnu LAN-leiðina. Að blanda báðum í aðaltöfluna þvingar eitt svar á tvær mismunandi spurningar.

OpenVPN hefur rofa einmitt fyrir þetta. route-noexec kemur í veg fyrir að biðlarinn snerti aðaltöfluna yfirleitt, og gildin sem hann hefði notað eru flutt út í route-up skrift sem route_vpn_gateway, dev og netfangsviðmótið. Síðan ákveður þú hvaða tafla fær hvaða leið, í kóða sem þú getur lesið síðar.

Stefntafla eða endurskrifun aðaltöflunnar

ApproachWhat it buysWhat it costs
Separate table plus source ruleLAN traffic and host traffic keep independent defaultsEvery lookup now depends on rule order
Editing the main table onlyFewer moving parts on a single-purpose hostOne mistake takes the gateway offline entirely
Two half-default routesWorks for a full-tunnel clientAmbiguous on a host that must answer on its LAN address

Aðskilda taflan er eini valkosturinn sem stækkar út fyrir eitt undirnet. Gefðu henni nafn einu sinni og vísaðu síðan til hennar með nafni svo enginn þurfi að muna tölu:

echo "10 vpn" >> /etc/iproute2/rt_tables
ip rule add from 192.168.50.0/24 table vpn
ip route add default via 10.8.0.1 dev tun0 table vpn

Heimilisfangin hér eru staðgenglar. Skiptu út LAN-forskeytinu, gönguhliðinu og tækisheitinu úr þinni eigin uppsetningu áður en þú keyrir eitthvað.

Reglan verður líka að passa við hýsilinn

Regla sem passar aðeins við LAN-forskeytið nær yfir framsend pakka. Hún nær ekki yfir umferð sem hliðið skapar sjálft, og nær ekki yfir svörin sem það sendir til baka til LAN-biðlara, sem bera LAN-heimilisfang hliðsins sem uppruna sinn. Þessar uppflettingar falla í main og geta samt farið út um göngin.

Bættu við annarri reglu fyrir eigið LAN-heimilisfang hliðsins, eða víkkaðu fyrstu regluna út í mengi sem inniheldur bæði. Röðin skiptir máli: settu nákvæmari regluna fyrst og athugaðu niðurstöðuna með uppflettingu sem nefnir upprunann skýrt.

ip route get 203.0.113.9 from 192.168.50.1

Ef það greinir frá göngutækinu fyrir áfangastað sem ætti að vera staðbundinn er reglumengið rangt, sama hvað taflan inniheldur.

NAT eða leið hinum megin

VPN-þjónninn þekkir undirnet ganganna og ekkert annað. Pakkar sem koma með LAN-upprunafangi eiga enga afturleið nema einhver sjái fyrir henni, og það eru nákvæmlega tvær leiðir til að sjá fyrir henni. Að bæta leið fyrir LAN-forskeytið á þjóninum heldur upprunalega upprunanum sýnilegum frá enda til enda, sem endurskoðuð hönnun vill venjulega. Dulbreyting á hliðinu endurskrifar upprunann í gagnatúnsheimið og þarf enga samvinnu frá þjóninum.

iptables -t nat -A POSTROUTING -s 192.168.50.0/24 -o tun0 -j MASQUERADE

Veldu NAT þegar þú stjórnar ekki þjóninum og getur ekki bætt við leiðum þar. Veldu leiðina á þjónshlið þegar annálar, aðgangsstýring eða samhverfa afturleiðarinnar skipta máli, því dulbreyting þurrkar upprunalega heimilisfangið út úr öllu sem hinum megin skráir.

Hvort sem er verður framsending að vera virk, og ströng síun afturleiðar getur sleppt svarinu þegar main hefði ekki valið göngin fyrir þann uppruna. Athugaðu raunverulegt gildi áður en þú kennir göngunum um.

Láttu skiptinguna lifa endurtengingu af

Reglur og leiðir sem bætt er við í höndunum hverfa þegar viðmótið er endurskapað, og úrelt færsla í töflunni getur lifað lengur en lotan sem réttlætti hana. Settu töfluregluna, gönguleiðina og dulbreytingarfærsluna inn í route-up skrift biðlarans og tæmdu töfluna efst í skriftinni svo gamalt hlið geti ekki lifað inn í nýju lotuna.

Sannreyndu frá báðum endum: uppflettingu á hliðinu með LAN-upprunanum og raunverulega beiðni frá LAN-biðlara til áfangastaðar sem á að fara um göngin. Leið sem er til en er aldrei valin hegðar sér nákvæmlega eins og engin leið væri, þar til þú lest teljarana.

Tengdir greinar