Tvær gáttir, eitt VPN: hvers vegna OpenVPN velur ranga upptengingu

Tvær upptengingar, einn tunnill, og umferðin fer út um þá sem þú valdir ekki. Einkanetin eru aðgengileg, annállinn segir frá vel heppnaðri tengingu, og það er mælda tengingin sem ber hana. Ekkert í úttaki OpenVPN nefnir gátt, því biðlarinn valdi aldrei neina. Hann opnaði innstungu að fjarlægu fangi og lét kjarnann ráða hvernig ná ætti því fangi.

Tunnilfangið er ekki endapunkturinn

Í hverri lotu eru tvær ólíkar brautir. Ytri brautin flytur dulritaða flutninginn að opinberu fangi þjónsins. Innri brautin flytur allt sem þjónninn ýtir inn í tunnilinn, og leiðarreglur fyrir aðra hafa engin áhrif á hina.

remote-færslan í prófílnum nefnir ytra áfangastaðinn, svo það er fangið sem festa þarf. Það er líka gildið sem breytist þegar hýsilsnafn leysist á annan hátt eða prófíllinn telur upp nokkrar remote-færslur.

Finndu fangið sem biðlarinn hringdi reyndar í

Lestu virka innstunguna í stað stillingaskrárinnar. Innstungutaflan sýnir jafningjann sem ferlið tengdist reyndar, og það er gildið sem undantakið verður að passa við. Hægt er að breyta prófíl eftir að lotan hefst, og innstungan er eina sönnunin fyrir því í hvað var hringt:

ss -tunp | grep -i openvpn
journalctl -u openvpn-client@work --no-pager | grep -i "Peer Connection Initiated"

Annálslínan nefnir fang jafningjans og portið á tengitímanum. Ef hún stangast á við prófílinn er eitthvað fyrir framan biðlarann að endurskrifa áfangastaðinn áður en tengingin hefst.

Athugaðu líka fangfjölskylduna. Prófíll með tvöfaldan stafla getur tengst um IPv6 á meðan undantakið þitt nær aðeins yfir IPv4, og þá fylgir umferðin annarri reglu en þeirri sem þú skrifaðir. Sama gildir um proxy sem svarar fyrir hönd endapunktsins. Bæði tilvikin skila tunnli sem virkar á meðan leiðin þín gerir ekkert.

Festu endapunktinn og lestu röð stefnunnar

Hýsilleið er sértækari en hvaða sjálfgefna leið sem er. Þess vegna vinnur /32 fyrir fang jafningjans innan töflunnar sem inniheldur það. Venjulega formið nefnir gáttina og tækið skýrt:

ip route add 203.0.113.40/32 via 192.168.10.1 dev eth0

Sú leið hjálpar aðeins ef uppflettingin nær til þeirrar töflu. Stefnu reglur eru metnar í röð og fyrsta samsvörunin ræður, svo regla sem sendir allt í aðra töflu fer fram hjá hýsilleiðinni þinni í main. Lestu reglurnar áður en þú gerir ráð fyrir að leiðin sé ráðandi:

ip rule show
ip route get 203.0.113.40

Spurðu seinni skipunina með sama upprunafangi eða merki sem biðlarinn notar þegar stefnan fer eftir þeim. Hún segir frá leiðinni sem kjarninn myndi velja, sem er sönnun um uppflettinguna en ekki sönnun þess að virka innstungan noti þá braut.

Þegar endapunkturinn færist

Hýsilsnafn sem leysist í nokkur föng gerir varanlegt /32 ógilt um leið og svarið breytist. Prófíll með margar remote-línur hefur sama vandamálið, því biðlarinn getur lent á hvaða einni sem er. Endurnýjaðu leiðina úr eigin lífsferilskrókum biðlarans í stað þess að bæta henni við fyrir hönd. up-skrift sem les samið jafningjafang og setur upp hýsilleiðina heldur undantakinu í takt við raunveruleikann, og samsvarandi down-skrift fjarlægir hana.

Skráðu endurnýjunina á sama stað og restin af leiðarstillingum hýsilsins. Leið sem er aðeins til þar til næsta endurræsing er prófun, ekki lagfæring.

Haltu innri stefnunni aðskilinni

Að færa ytri brautina veitir ekki aðgang að nýju einkaneti og breytir ekki því hvaða áfangastaði þjónninn ýtir inn í tunnilinn. Leið neðra lagsins velur vírinn; ýttu leiðirnar velja hvað fer inn í tunnilinn. Að halda þessum tveimur ákvörðunum aðskildum gerir skiptinguna fyrirsjáanlega.

Ef markmiðið er aðeins að halda dulritaða flutningnum frá mældri tengingu skaltu láta sjálfgefnu leiðina í friði og bæta við einu hýsilundantaki. Að skipta út sjálfgefnu leið vélarinnar til að færa eina VPN-tengingu brýtur hverja aðra forrit á hýsilnum.

Staðfestu niðurstöðuna með tveimur óháðum athugunum: staðarfangi og tæki innstungunnar, og leiðinni sem einkafangstaðurinn leysist í. Þegar bæði passa við áform þín er skiptingin raunveruleg. OpenVPN 2.6 handbókin fjallar um remote- og staðbundna bindivalkosti sem ráða hvaða fang biðlarinn hringir í.