Linux VPN'де дарек, маршрут, DNS жана firewall кимге таандык?

Бир маршрут үчүн күрөшкөн эки скрипт — Linux VPN көйгөйүнүн кадимки формасы, ал маршруттоо катасы катары катталат. Бир компонент туннель түзмөгүн түзөт, экинчиси демейки маршрут кошот, үчүнчүсү resolver конфигурациясын кайра жазат, төртүнчүсү firewall эрежелерин кайра жүктөйт. Алардын кайсынысы болбосун башканын ишин жокко чыгара алат, жеңүүчү — жөн гана акыркы иштеген. Жооп берүүгө татыктуу суроо кайсы пакетти орнотуу эмес, абалдын ар бир бөлүгү үчүн кайсы компонент ыйгарым укуктуу экендиги.

Бул картаны бир жолу жазыңыз, ошондо кайра туташуу ийгиликсиздиктеринин көбү сырдуу болуудан калат. Төрт объект маанилүү: түзмөк жана анын даректери, маршруттар жана саясат эрежелери, DNS конфигурациясы жана firewall.

Түзмөк жана анын даректери

Туннель түзмөгүн профилди билген менеджер же бирөө кол менен иштеткен демон түзөт. Эки жайгашуу тең өз алдынча иштейт; аларды аралаштыруу — жок. Эгер профилди NetworkManager ээлесе, ал түзмөктү да ээлесин, жана ошол эле туннель атына каршы башкарылбаган OpenVPN процессин баштабаңыз.

Сессия бүткөндө түзмөктү ким алып салаарын жазыңыз. Өз сессиясынан узак жашаган түзмөк — эскирген даректердин жана алардан кийинки баш аламандыктын эң кеңири таралган булагы.

Маршруттар жана саясат эрежелери

Дал маршруттарда ээлик жаңжалдары көрүнүктүү зыян келтирет. Туташуу менеджери туннель үчүн демейки маршрутту жана алыскы тармак үчүн такыраак маршрутту орнотот; анан кол менен жазылган скрипт башка метрика менен өз демейкисин кошот жана убакытка жараша үнсүз жеңет же утулат. Кайсы жазуулар туташууга байланган, кайсылары туруктуу саясат жана кайсы компонент аларды кайра туташуудан кийин жаңыртаарын чечиңиз. Анан башка компоненттерди ошол таблицадан сырткары кармаңыз.

Саясат эрежелери да ошондой айкындыкка татыктуу, анткени эч ким толтурбаган таблицага көрсөткөн эреже өлүк туннелге так окшош кара көңдөйүн жаратат. Эгер эреже трафикти бир жерге мажбурлоо үчүн болсо, ал тандаган таблицаны ошол эле ээ кармап турушу керек.

DNS ар дайым өзүнчө ээ

Resolver демону өз идентификациясы менен өз процесси катары иштейт, ошондуктан туннелдин маршруттоо чечимдерин кокустан мурастабайт. VPN DNS серверлерин түрткөндө, бир нерсе аны resolver урматтаган ар бир туташуу конфигурациясына которушу керек, ал эми кийин бир нерсе аны алып салууга тийиш.

Бул жердеги миф — профилге ат серверин жазуу сурамдардын кайда кетерин өзгөртөт деген. Ал resolver'ге эмне айтыларын өзгөртөт, resolver жогоруда кайсы сокетти колдонорун эмес. Файлга ишенүүнүн ордуна сурам жана маршрут издөө менен текшериңиз.

Firewall абалы жана аны ким калыбына келтирет

Firewall эрежелери VPN хостта эң көп кайра жазылуучу объект. Менеджер ар бир туташуу үчүн NAT же өткөрүү эрежелерин кошо алат, ал эми жүктөө учурундагы firewall кызматы сакталган эрежелер жыйындысын кайра жүктөп, аларды өчүрөт. Саясат үчүн бир ыйгарым укукту тандап, экинчисин анын керектөөчүсү кылыңыз, же кайра жүктөө жүрүм-турумду үнсүз өзгөртөрүн кабыл алыңыз. Туташууга байланган өзгөчөлүктөр ошол ээ жүктөгөн файлда болушу керек, мүчүлүштүктөрдү издөө учурунда терилген iptables буйругунда эмес.

Эгер эрежелер кайра туташуудан аман өтүүгө тийиш болсо, аны ачык айтыңыз. Эгер тийиш болбосо, аны да айтыңыз, анткени кийинки инженер ыңгайлуураак жоопту болжолдойт.

Жашоо цикли: жүктөө, кайра туташуу, демонтаждоо

Ушул үч учурдун ар бирине ээ дайындаңыз. Жүктөөдө эмне алдын ала шарттарды даярдаарын жана кандай тартипте экенин чечиңиз. Жумшак кайра жүктөөдө түзмөк аман калышы мүмкүн, ал эми сессия абалы калбашы мүмкүн, ошондуктан түзүүчү эмес, текшерүүчү иштеши керек. Демонтаждоодо ушул туташуу түзгөн нерсени гана алып салыңыз, анткени бардык маршрутту кайра коюу же бүт firewall'ду тазалоо бир туннелди кызматтан чыгарууга барабар эмес.

Байкоо үчүн ip monitor link address route ядронун өзгөрүүлөрүн алар болуп жатканда көрсөтөт, бирок ал ниетти эмес, окуяларды билдирет: жок кылынган маршрут аны кайсы процесс жок кылганы тууралуу эч нерсе айтпайт. Аны ээлик картасы менен жупташтырыңыз, ошондо баш аламан өчүрүү талапкерлердин кыска тизмесине айланат.

Өзгөчөлүктөрдүн да баасы бар. Жаңжалдан кутулуу үчүн бүткүл түзмөк классын башкарылбаган деп белгилөө бул абалды эч кимге бербейт, бул оңдоо эмес, чечим.