ორი კარიბჭე, ერთი VPN: რატომ ირჩევს OpenVPN არასწორ აღმავალ არხს

ორი აღმავალი არხი, ერთი გვირაბი, და ტრაფიკი გადის იმ არხზე, რომელიც თქვენ არ აგირჩევიათ. კერძო ქსელქვეშეცნობილი ქსელები ხელმისაწვდომია, ჟურნალი წარმატებულ კავშირს აცხადებს, და სწორედ გაზომილი არხია ის, რომელიც მას ატარებს. OpenVPN-ის გამოსავალში კარიბჭე არ მოიხსენიება, რადგან კლიენტს არასოდეს არცერთი აურჩევია. მან გახსნა სოკეტი დისტანციურ მისამართზე და ბირთვს დაუტოვა გადაწყვეტილება, როგორ მიაღწიოს ამ მისამართს.

გვირაბის მისამართი ბოლო წერტილი არ არის

ყველა სესიაში ორი განსხვავებული გზა არსებობს. გარე გზა დაშიფრულ ტრანსპორტს სერვერის საჯარო მისამართამდე მიჰყავს. შიდა გზა ატარებს ყველაფერს, რასაც სერვერი გვირაბში უბიძგებს, და ერთის მარშრუტიზაციის წესები მეორეზე გავლენას არ ახდენს.

პროფილში remote ჩანაწერი გარე დანიშნულებას ასახელებს, ამიტომ სწორედ ეს მისამართი უნდა დამაგრდეს. ეს არის ის მნიშვნელობაც, რომელიც იცვლება, როცა ჰოსტის სახელი სხვანაირად წყდება ან პროფილი რამდენიმე remote-ს ჩამოთვლის.

იპოვეთ მისამართი, რომელზეც კლიენტმა სინამდვილეში დარეკა

წაიკითხეთ ცოცხალი სოკეტი და არა კონფიგურაციის ფაილი. სოკეტების ცხრილი აჩვენებს პირს, რომელსაც პროცესი სინამდვილეში დაუკავშირდა, და სწორედ ამ მნიშვნელობას უნდა შეესაბამებოდეს გამონაკლისი. პროფილის რედაქტირება სესიის დაწყების შემდეგაც შეიძლება, და სოკეტი ერთადერთი მტკიცებულებაა იმისა, თუ რაზე დაირეკა:

ss -tunp | grep -i openvpn
journalctl -u openvpn-client@work --no-pager | grep -i "Peer Connection Initiated"

ჟურნალის სტრიქონი კავშირის დროს პირის მისამართსა და პორტს ასახელებს. თუ ის პროფილს არ ემთხვევა, კლიენტის წინ რაღაც დანიშნულებას ხელახლა წერს კავშირის დაწყებამდე.

შეამოწმეთ მისამართის ოჯახიც. ორმაგი სტეკის პროფილს შეუძლია IPv6-ით დაკავშირდეს, მაშინ როცა თქვენი გამონაკლისი მხოლოდ IPv4-ს ფარავს, და მაშინ ტრაფიკი თქვენ მიერ დაწერილისგან განსხვავებულ წესს მიჰყვება. იგივე ეხება პროქსის, რომელიც ბოლო წერტილის სახელით პასუხობს. ორივე შემთხვევაში მიიღება გვირაბი, რომელიც მუშაობს, მაშინ როცა თქვენი მარშრუტი არაფერს აკეთებს.

დაამაგრეთ ბოლო წერტილი და წაიკითხეთ პოლიტიკის რიგი

ჰოსტის მარშრუტი უფრო კონკრეტულია, ვიდრე ნებისმიერი ნაგულისხმევი მარშრუტი. ამიტომ პირის მისამართის /32 იმარჯვებს იმ ცხრილში, რომელიც მას შეიცავს. ჩვეულებრივი ფორმა კარიბჭესა და მოწყობილობას ცალსახად ასახელებს:

ip route add 203.0.113.40/32 via 192.168.10.1 dev eth0

ეს მარშრუტი მხოლოდ მაშინ ეხმარება, თუ ძებნა ამ ცხრილამდე აღწევს. პოლიტიკის წესები რიგის მიხედვით ფასდება და პირველი დამთხვევა წყვეტს, ამიტომ წესი, რომელიც ყველაფერს მეორე ცხრილში აგზავნის, main-ში თქვენს ჰოსტის მარშრუტს გვერდს უვლის. წაიკითხეთ წესები, სანამ მარშრუტს უფლებამოსილად ჩათვლით:

ip rule show
ip route get 203.0.113.40

ჰკითხეთ მეორე ბრძანებას იმავე წყაროს მისამართით ან ნიშნით, რომელსაც კლიენტი იყენებს, როცა პოლიტიკა მათზეა დამოკიდებული. ის აცხადებს მარშრუტს, რომელსაც ბირთვი აირჩევდა, რაც ძებნის შესახებ მტკიცებულებაა და არა იმის მტკიცებულება, რომ ცოცხალი სოკეტი ამ გზას იყენებს.

როცა ბოლო წერტილი იძვრება

ჰოსტის სახელი, რომელიც რამდენიმე მისამართზე იშლება, მუდმივ /32-ს აუქმებს, როგორც კი პასუხი იცვლება. რამდენიმე remote სტრიქონის მქონე პროფილს იგივე პრობლემა აქვს, რადგან კლიენტი რომელიმეზე შეიძლება დაეშვას. განაახლეთ მარშრუტი თავად კლიენტის სასიცოცხლო ციკლის კაუჭებიდან, ნაცვლად ხელით დამატებისა. up სკრიპტი, რომელიც შეთანხმებულ პირს კითხულობს და ჰოსტის მარშრუტს ამონტაჟებს, გამონაკლისს რეალობასთან თანხმობაში ინახავს, ხოლო შესაბამისი down სკრიპტი მას ხსნის.

ჩაწერეთ განახლება იმავე ადგილას, სადაც ჰოსტის დანარჩენი მარშრუტიზაციის კონფიგურაციაა. მარშრუტი, რომელიც მხოლოდ მომდევნო გადატვირთვამდე არსებობს, გამოცდაა და არა შესწორება.

შიდა პოლიტიკა ცალკე შეინახეთ

გარე გზის გადაადგილება არ იძლევა წვდომას ახალ კერძო ქსელზე და არ ცვლის, რომელ დანიშნულებებს უბიძგებს სერვერი გვირაბში. ქვედა ფენის მარშრუტი ირჩევს მავთულს; უბიძგებული მარშრუტები ირჩევენ, რა შედის გვირაბში. სწორედ ამ ორი გადაწყვეტილების ცალკე შენახვა ხდის გაყოფას პროგნოზირებადს.

თუ მიზანი მხოლოდ დაშიფრული ტრანსპორტის გაზომილი არხისგან მოშორებაა, ნაგულისხმევ მარშრუტს ნუ შეეხებით და დაამატეთ ერთადერთი ჰოსტის გამონაკლისი. მთელი მანქანის ნაგულისხმევი მარშრუტის შეცვლა ერთი VPN კავშირის გადასაადგილებლად ჰოსტზე ყველა სხვა აპლიკაციას ამტვრევს.

დაადასტურეთ შედეგი ორი დამოუკიდებელი დაკვირვებით: სოკეტის ლოკალური მისამართითა და მოწყობილობით, და მარშრუტით, რომელზეც კერძო დანიშნულება იშლება. როცა ორივე თქვენს განზრახვას ემთხვევა, გაყოფა რეალურია. OpenVPN 2.6-ის სახელმძღვანელო მოიცავს remote და ლოკალური მიბმის პარამეტრებს, რომლებიც წყვეტენ, რომელ მისამართზე დარეკავს კლიენტი.