Beina OpenVPN-biðlurum í gegnum Cloudflare? Athugaðu hlutverkið fyrst
Tækjabiðlari er ekki beinir. Staðfestu að hlutverk Cloudflare sendi pakka annarra hýsla áfram, og hafðu göng tunnilsins sem þjónninn á sjálfur á sínum gamla slóða.
Þú ert með OpenVPN þjón sem virkar og hýsil sem keyrir líka tækjahugbúnað Cloudflare, og næsta augljósa skref virðist vera að beina biðlarauðinni þangað. Tvær virkar tengingar á einni vél gera ekki saman að flutningsgátt. Það sem vantar er hlutverk sem er skjalfest til að senda áfram pökkum sem tilheyra einhverjum öðrum, og stefna sem flokkar þá pakka þegar þeir berast.
Fyrir hverri reglu koma fjórar spurningar: hvaða umferð kemur inn, hvert fer hún næst, hvernig finna svörin leiðina til baka, og hvað gerir hönnunin þegar þessi önnur leið bregst. Fyrstu tvær eru getuspurningar.
Tvö þjónustur á einum hýsli eru ekki flutningsleið
Tækjabiðlari er byggður til að meðhöndla umferð sem verður til á vélinni þar sem hann keyrir. Hann grípur upplausn nafna, eða valda forritsumferð, og sendir hana í gegnum eigin göng, og stefna hans er skrifuð fyrir notanda þess tækis og ferla þess tækis. Pakki sem sendur er áfram frá OpenVPN-biðlara er ekki staðbundin úttak, svo sömu reglur flokka hann ekki. Þetta er ekki smáatriði í uppsetningu sem hægt er að hylja með víðtækari reglu, því það ræður hvort hugbúnaðurinn sér pakkann yfirhöfuð.
Þess vegna er hönnunarspurningin getuspurning. Annars vegar á uppsetta varan skjalfest hlutverk sem sendir áfram umferð fyrir önnur net, hins vegar tilheyrir flutningsaðgerðin allt öðrum stað.
Hvaða hlutverk Cloudflare má senda áfram
Tækjabiðlari Cloudflare býður upp á ham sem eru mismunandi að umfangi: aðeins upplausn nafna, umferð frá tækinu, og stundum hvort tveggja. Ekkert þessara hamra gerir hýsilinn að beini fyrir einkasvið sem kemur í gegnum annað göng. Sérstaka beiningarhlutverkið er sér vara með eigin tengi, skráningu og netlíkani.
| Question | What has to answer it |
|---|---|
| Does the installed product forward packets from other hosts? | A documented routing or connector role, not a device mode |
| Which prefixes does the connector advertise? | Its own configuration and status output |
| Does the server's own transport still take the old path? | ip route get for the endpoint, before and after |
| Do replies return through the same path? | Connection tracking counters on the forward rule |
Athugaðu uppsetta hlutverkið áður en þú hannar slóðir í kringum það. Lestu hvaða tengi tengið býr til, hvort það tilkynni ákveðin forskeyti eða sjálfgefna slóð, og hvort staðbundin stefna eigi við senda pakka eins og staðbundna. Ef aðeins er meðhöndluð staðbundin umferð getur OpenVPN-þjónninn ekki verið flutningspunkturinn, hvernig sem þýðingarreglan er skrifuð.
Hér þarf líka að orða kröfuna um opinbera útgöngu nákvæmlega. Útganga sem Cloudflare býður fyrir framsendan biðlarauða er ákveðið notkunartilvik, og það þarf að staðfesta gagnvart þeirri þjónustu sem þú hefur í raun.
Hafðu ytra gangið óháð nýju slóðinni
Á þeirri stundu sem þú bætir sjálfgefinni slóð að nýja tenginu byrjar útleið umferð þjónsins sjálfs að keppa um hana, og það felur í sér svör til OpenVPN-biðlara og SSH-lotuna þína að vélinni. Venjulegt einkenni er gang sem kemst á og deyr svo, eða stjórnandi sem læsist úti á meðan breytingin virðist hafa gengið. Berðu saman ip route get fyrir endapunktinn fyrir og eftir, og notaðu stefnubundna beiningu eða hýsilslóð til að halda eigin flutningi þjónsins þar sem hann var. Keyrðu þann samanburð frá vélinni sjálfri, því sýn þjónsins á eigin slóð er sú sem skiptir máli.
Undantekning fyrir opinbert vistfang þjónsins er ekki nóg eitt og sér, því afturleið hvers fjartengds stjórnanda er annar straumur. Ákveddu hvaða strauma verður að lifa breytinguna, og staðfestu svo hvern og einn í stað þess að gera ráð fyrir að fyrsti nái yfir hina.
Takmarkaðu framsendinguna og þýðinguna við einn straum
Mótteknir pakkar fylgja framsendingarslóðinni, ekki staðbundnu úttaksslóðinni, svo reglan sem skiptir máli lifir í forward-krokinum. Þar sem næsta tengi þarf þýðingu skaltu takmarka upptökuna við biðlarasafnið, áfangastaðinn við það sem er leyft og útgönguna við það eina tengi. Masquerade-regla sem er aðeins bundin við tengi velur enga slóð sjálf og leyfir ekki framsendingu framhjá neinu öðru síu.
Ákveddu hegðunina við lokun vegna bilunar fyrirfram og prófaðu hana svo. Stöðvaðu næstu slóð og staðfestu að biðlarar missi fyrirhugaða útgöngu í stað þess að falla hljóðlega aftur á venjulega uppstreymistengingu, því það er niðurstaðan sem enginn tekur eftir fyrr en umferðin fer út um ranga hurð. Endurtaktu athugunina fyrir upplausn nafna og fyrir IPv6, því reglusett aðeins fyrir v4 lætur v6-slóð vera opna.
Skrifaðu niður fjögur svörin sem þú lentir á og athugunina sem sýnir hvert þeirra. Flutningsslóð sem þú getur lýst er sú sem þú getur varið á næstu atvikaryni.