Dante SOCKS VPN арқылы: толық тунель немесе бастауға негізделген маршруттау

SOCKS проксидің трафигі VPN арқылы шығып, қалған хост өзінің әдеттегі жолын сақтауын қалайсыз. Мұны екі дизайн жасайды және олар бірдеңе дұрыс болмағанда ненің бұзылатынымен ерекшеленеді. Біреуі әдепкі маршрутты тунельге итеріп, кейін оны айналып өтеді; екіншісі негізгі кестені қозғамай, бір бастапқы мекенжайды екінші кестеге жібереді. Екіншісі тазарақ, бірақ өз тұзақтары бар.

Екі дизайн, екі түрлі зақымдану радиусы

Толық тунель дизайны — көптеген VPN клиенттері әдепкі бойынша жасайтын нәрсе: барлығы тунельге ерсін деп әдепкі маршрутты ауыстырады, содан кейін тиісті болмағанды шығарып тастайды. Оны түсіну оңай, ал тар күйде ұстау қиын, себебі қосқан әрбір жергілікті қызмет шығарып тастағанға дейін тунельді мұралайды. Ақау режимі кең, өйткені бір қате маршрут хосттың өз байланысын да ала кетеді.

Бастапқы мекенжайға таңдалған дизайн керісінше жүреді. Негізгі кесте бұрынғыша қалады, ал бір саясат ережесі нақты жергілікті мекенжайдан келген пакеттерді тунель әдепкісі бар кестеге жібереді. Басқа ештеңе өзгермейді, яғни зақымдану радиусы бір мекенжай.

Бұл тарлық сонымен бірге шектеу: дизайн тек проксидің шығыс пакеттері сол мекенжайды шынымен тасымалдаса ғана жұмыс істейді.

Dante-нің external параметрі не істейді

Параметр external проксидің шығыс қосылымдары үшін пайдаланатын мекенжайларды таңдайды; ол ядроның маршруттау саясатына тимейді. Дәл осы бөліну екінші дизайнды мүмкін етеді және адамдар құжаттаманы дәл осы жерде қате оқиды. external-ды тунель мекенжайына бағыттау проксиді қосылымдарының бастауы ретінде сол мекенжайды пайдалануға мәжбүрлейді, содан кейін маршрут кестесі бұл пакеттердің қайда кететінін шешеді.

Тыңдаушы бөлек мәселе. internal-ды проксиді пайдалануы тиіс клиенттермен шектеңіз, аутентификацияны талап етіңіз және портты файрволмен жабыңыз, өйткені ашық тыңдаушы VPN шығысының мүмкіндігі емес.

Конфигурацияланған мекенжайдың проксидің желілік атаулар кеңістігінің ішіндегі тунельге шынымен тиесілі екенін растаңыз.

Бастапқы мекенжайға таңдалған кестені құру

10.90.0.2/24 TUN мекенжайы, 10.90.0.1-де қолжетімді серіктес және басқа ештеңе пайдаланбайтын кесте нөмірі үшін орналасу былай көрінеді:

ip -4 route add table 100 10.90.0.0/24 dev tun0 src 10.90.0.2
ip -4 route add table 100 default via 10.90.0.1 dev tun0 metric 10
ip -4 route add table 100 unreachable default metric 32760
ip -4 rule add priority 1000 from 10.90.0.2/32 lookup 100

жетпейтін маршрут — адамдар өткізіп жіберетін бөлік. Онсыз тунель маршруты жоғалған кесте қарапайым әдепкіге түсіп, прокси WAN арқылы үнсіз шығып кетеді. Онымен іздеу сәтсіз аяқталады, бұл үнсіз ағудың орнына көрінетін ақау. Ереженің басымдығы да сол бастауға сәйкес келетін кез келген нәрсенің алдында тұруы керек.

Бұл мәндер бір топологияны сипаттайды. point-to-point серіктестер, net30 мекенжайлау және басқа префикс беретін клиенттер — барлығына өз маршруттары керек, сондықтан мекенжайларды емес, пішінді көшіріңіз.

Бастау ережесі қайда ағады

Бастапқы мекенжайға сәйкес келетін ереже оны пайдаланатын әрбір процеске әсер етеді, тек проксиге емес. Егер басқа демон сол мекенжайды байланыстырса, оның трафигі де тунельге кетеді және ақау байланыссыз қызмет мәселесіне ұқсайды. Проксиге басқа ештеңе пайдаланбайтын мекенжай беріңіз немесе ауқым процес емес, мекенжай екенін қабылдаңыз.

DNS — екінші ағу. Резолвер сокеті проксидің external деректер қосылымының бастауын міндетті түрде пайдаланбайды, сондықтан атауларды іздеу әлі де WAN арқылы шығуы мүмкін. Резолюцияны қосылым орнатудан бөлек тексеріңіз және бұл нәтиженің қолайлы екенін шешіңіз.

IPv6-ға өз ережелері мен маршруттары керек, өйткені IPv4 орналасуы бұл туралы ештеңе дәлелдемейді.

Көтере алатын ақауыңызға қарай таңдаңыз

Хост тұтастай қорғалуы керек болса және ерекшеліктер тізімін ұстай алсаңыз, толық тунельді таңдаңыз. Хост өз жолын сақтауы керек және тек бір қызметті бағыттау қажет болса, бастауға негізделген маршруттауды таңдаңыз. Екеуі де заңды; қате — біреуін таңдап, оны екіншісіндей тексеру.

Қайсысын таңдасаңыз да, екі жақтан тексеріңіз: прокси арқылы сұрау және хосттан тікелей сұрау, әрқайсысы үшін байқалған шығыс мекенжайы жазылсын.

Тунель үзілсе, прокси сәтсіз аяқталуы керек пе әлде қосалқыға көшуі керек пе — алдын ала шешіңіз және бұл шешімді маршрут кестесі білдірсін.