ჩადგმული VPN: რომელი გვირაბი ატარებს გარე კავშირს?

ორი ერთდროულად მომუშავე VPN კლიენტი არ ქმნის ჩადგმულ გვირაბს; ისინი ქმნიან ორ გვირაბს და კამათს მარშრუტიზაციაზე. ჩადგმული გვირაბი არსებობს მაშინ, როცა შიდა კლიენტის კავშირს საკუთარ სერვერთან თავად გარე გვირაბი ატარებს, და ეს განლაგება განზრახ შენდება. სწორად თუ გამოვა, შიდა სერვერი ხედავს გარე სერვერის მისამართს; არასწორად თუ გამოვა, ერთი კლიენტი ჩუმად ხელახლა უკავშირდება მეორის გარშემო. სამი პირობა წყვეტს, ჩადგმა ნამდვილია თუ შემთხვევითი.

ჩადგმას სამი პირობა წყვეტს

პირველია, რომელ ბოლო წერტილს რომელი გზა სჭირდება. დაასახელეთ შიდა სერვერის მისამართი, დაასახელეთ გარე სერვერის მისამართი და ცალსახად განაცხადეთ, რომ შიდა სერვერი მხოლოდ გარე გვირაბის გავლით არის ხელმისაწვდომი. დანარჩენი ამ წინადადებიდან გამომდინარეობს, მათ შორის რომელი მარშრუტი რომელ ცხრილს ეკუთვნის.

მეორეა, ხედავთ თუ არა გზას თითოეულ დონეზე. თუ ბირთვს ვერ ჰკითხავთ, რომელ მარშრუტს გამოიყენებდა კონკრეტული დანიშნულება, ჯაჭვს გამოიყვანთ საბოლოო გამოსასვლელი IP-დან, და ეს სწორედ ის მტკიცებულებაა, რომელსაც არ შეუძლია ჩადგმა შემთხვევითობისგან გაარჩიოს.

მესამეა, რა ხდება, როცა გარე გვირაბი ვარდება. შიდა გვირაბს შეუძლია შეწყვიტოს მასთან ერთად, ხელახლა დაუკავშირდეს ჩვეულებრივი ქსელით ან დარჩეს დაბლოკილი, სანამ გარე გზა არ დაბრუნდება, და სამივე დასაცავი პოლიტიკაა. ისინი ერთი და იგივე პოლიტიკა არ არის, და კლიენტების უმეტესობის ნაგულისხმევი ქცევა მეორეა. კლიენტი, რომელიც თავის ბოლო წერტილს ხელახლა უკავშირებს ფიზიკური ქსელით და ამავდროულად ჯანსაღ კავშირს აჩვენებს, ყველაზე გავრცელებული გზაა, რომლითაც განზრახული ჯაჭვი ჩუმად ორ უკავშირო გვირაბად იქცევა.

პირველი პირობა: რომელ ბოლო წერტილს რომელი გზა სჭირდება

ip route get 203.0.113.10 პასუხობს ამ კითხვას პირდაპირ: ბეჭდავს მარშრუტს, წყაროს მისამართს და ინტერფეისს, რომელსაც ბირთვი ახლა გამოიყენებდა ამ დანიშნულებისთვის.

გაუშვით ის შიდა სერვერისთვის შიდა კლიენტის გაშვებამდე და კიდევ ერთხელ შემდეგ, და შეადარეთ. თუ პასუხი იცვლება ფიზიკური ინტერფეისიდან გარე გვირაბის ინტერფეისზე, ჩადგმა იმ მომენტში ნამდვილია. თუ არ იცვლება, შიდა კლიენტი პირდაპირ უკავშირდება, რასაც პანელი იტყვის. გაიმეორეთ გარე სერვერის მისამართისთვის, რომელიც ჯერ კიდევ ფიზიკური ინტერფეისით უნდა გადაწყდეს, რადგან მარშრუტი, რომელიც ორივე ბოლო წერტილს რეკურსიულად იჭერს, არის ის გაუმართაობა, რომელიც მანქანას მთლიანად აშორებს ქსელს.

მეორე პირობა: შეამოწმეთ გზა თითოეულ დონეზე

მარშრუტის შერჩევა თანამედროვე კლიენტზე მეტია, ვიდრე მთავარი ცხრილი. პოლიტიკის წესებს შეუძლიათ მონიშნული პაკეტები სხვა ცხრილში გაგზავნონ, კლიენტს შეუძლია თავისი სოკეტი ინტერფეისზე მიამაგროს, და კონტეინერს ან სახელთა სივრცეს საკუთარი ცხრილები აქვს. ip rule და ip route show table all არის გზა იმის გასარკვევად, რომელი მექანიზმია თამაშში.

კლიენტი, რომელიც საკუთარ სოკეტზე აყენებს SO_MARK-ს ან კონფიგურირებულია კონკრეტულ მოწყობილობაზე მიბმაზე, გვივლის ნაგულისხმევ მარშრუტს, რომელიც, თქვენი აზრით, მოაწყვეთ. ეს ფუნქციაა და არა ხარვეზი, და ნიშნავს, რომ ერთადერთი საიმედო შემოწმება ისაა, რომელიც იმავე სახელთა სივრცეში მუშაობს, სადაც კლიენტი. თუ კლიენტები კონტეინერებში მუშაობენ, შემოწმებები ჩაატარეთ იმ კონტეინერებში და არა ჰოსტზე.

მესამე პირობა: რა ხდება, როცა გარე გვირაბი ვარდება

გაუმართაობის ქცევა გადაწყვეტილებას მოითხოვს და არა ნაგულისხმევ მნიშვნელობას. ჩაწერეთ, რა უნდა მოხდეს შიდა გვირაბს, როცა გარე გაქრება, და შემდეგ აიძულეთ კლიენტები ასე მოიქცნენ.

ვარიანტები კონკრეტულია. შიდა კლიენტის გაჩერება, როცა გარე გზა ქრება, იძლევა სუფთა ჯაჭვს და აშკარა შეწყვეტას. მისი პირდაპირ ხელახლა დაკავშირების ნებართვა იძლევა ხელმისაწვდომობას და ჩუმად აშორებს იმ თვისებას, რისთვისაც ჯაჭვი აშენდა. გარე გზის დაბრუნებამდე დაბლოკვა ყველაზე მკაცრი და ოპერირებაში ყველაზე შემაწუხებელი ვარიანტია, რადგან გარე გვირაბის ყოველი რხევა ხილულ ინციდენტად იქცევა.

გამოსცადეთ სამივე უვნებელი ტრაფიკით და გარე გვირაბის განზრახ გაუმართაობით, რადგან კონფიგურაციის კითხვა არ გეტყვით, რომელი გაქვთ. მოკალით გარე გვირაბი, დააკვირდით, რას აკეთებს შიდა კლიენტი და კვლავ შეამოწმეთ მარშრუტი, სანამ ის ჩამოშვებულია. შემდეგ დააბრუნეთ გარე გვირაბი და დაადასტურეთ, რომ ჯაჭვი ხელახლა ყალიბდება და არ ტოვებს შიდა კლიენტს იმ პირდაპირ გზაზე, რომელიც მან ამასობაში აირჩია.

რას არ გაძლევთ ჯაჭვი

დამატებითი დონეები ამატებენ ბოლო წერტილებს, გასაღებებს და გაუმართაობის რეჟიმებს; ისინი არ ამატებენ ანონიმურობის გარანტიას და არ უშლიან ხელს გარე ოპერატორს დაინახოს, რომ გვირაბი არსებობს. ნებისმიერი მტკიცება იმის შესახებ, თუ რისგან იცავს ჩადგმა, უნდა ასახელებდეს დამკვირვებელს, რისგანაც იცავს.

შედეგი არის მოკლე დოკუმენტი და არა მომუშავე კავშირი: რომელი ბოლო წერტილი იყენებს რომელ გზას, რა ხდება გარე გაუმართაობისას და სამი ბრძანება, რომლებიც მიმდინარე მდგომარეობას აჩვენებს. strongSwan-ის გადაცემის დოკუმენტაცია სასარგებლო წყაროა იმის შესახებ, თუ როგორ გადაიცემა გვირაბის ტრაფიკი ინტერფეისებს შორის Linux ჰოსტზე. ხელახლა გაუშვით შემოწმებები ყოველი კლიენტის განახლების შემდეგ, რადგან ნაგულისხმევი მნიშვნელობები, რომლებმაც თქვენი ჯაჭვი შექმნეს, კონტრაქტი არ არის. ჩადგმული გვირაბი, რომლის შემოწმებაც არ შეგიძლიათ, ჭორია სტატუსის შუქნიშნით.