OpenVPN redirect-gateway: ар бир флаг маршруттарга эмне кылат

Профилде redirect-gateway менен туташыңыз, жана машинаңыздын демейки маршруту жоголушу, экиге бөлүнүшү же так ошол ордунда калышы мүмкүн, бул эч ким эки жолу окубаган флагдарга байланыштуу. Параметр маршруттоо абалын гана өзгөртөт, башка эч нерсени эмес, ошондуктан анын эмне кылганынын жалгыз ишенимдүү далили — кардар кийин орноткон таблица. Андан ары туташуудан кийинки таблица, туннелдин өзүн тирүү кармаган маршрут жана директива эч качан жабарын айтпаган IPv6 трафиги келет. Ар бир кадам — туннел күйүп турганда кардарда аткарса боло турган буйрук.

Ар бир флаг демейки маршрутка эмне кылат

Эч кандай флагсыз параметр кадимки демейки маршрутту алып салат жана анын ордуна туннелди коёт, ошондуктан туташуу күйүп турганда эски шлюз таблицадан жоголот. def1 кошуңуз, ошол демейки тизмеде калат, ишти эки кууш маршрут аткарат. bypass-dhcp кошуңуз, DHCP маршруту да сакталат, бул кардар дагы эле жергиликтүү DHCP серверине жетүүгө тийиш болгон тармакта маанилүү. OpenVPN 2.6 колдонмосунун баракчасындагы флагдар тизмеси бир жолу окууга жетиштүү кыска жана ар бир жазуу таблицага кайсы маршруттар түшөрүн өзгөртөт.

Түртүлгөн параметр келген замат ошондой эле иштейт, ошондуктан кардар профилинде эч нерсе болбошу мүмкүн, ал эми таблица толугу менен багытталгандай көрүнөт. Бул кадимки: сервер флагдарды жөнөттү, кардар аларды колдонду, ал эми жергиликтүү файл директиваны эч качан эске алган эмес. Түртүү эч нерсе кылбай жаткандай көрүнгөндө, тартылган параметрлерди кабыл алган же четке каккан кардар тараптагы чыпканы текшериңиз, анткени четке кагылган параметр эки тарапта тең ката чыгарбайт.

def1 демейкиңизге тийбестен тактык менен жеңет

Эки жарым демейки маршрут бирге IPv4 мейкиндигин жабат, 0.0.0.0/1 жана 128.0.0.0/1. Ар бири 0.0.0.0/0 көбүрөөк так, ошондуктан издөө аларды артык көрөт, ал эми чыныгы демейки эң аз так дал келүүнү сурагандардын баары үчүн таблицада калат.

Профилди эмес, таблицаны окуңуз, анткени ушул учурлардын кайсынысында экениңизди таблица гана көрсөтөт. Аларды ажыратуу үчүн эки сап жетиштүү:

ip route show default
ip route show | grep -E '^(0\.0\.0\.0/1|128\.0\.0\.0/1)'

Ар бир саптагы интерфейс жана метрикага көңүл буруңуз, жалан гана багытка эмес. Туннелге багытталган демейки жана туннелге багытталган жарым демейкилердин жуптугу бир эле ниетти сүрөттөйт жана туннел кулаганда башкача ишсиз болот, анткени бир учурда камдык жол дагы эле бар. Эки талааны тең өзгөрүү жазуусуна жазыңыз. Аман калган камдык жол кээде алыскы сессияны туннелди оңдоого жетиштүү узак тирүү кармайт, жана ниет толук туннель болгондо трафикти агызган да ошол.

Туннелдин акыркы чекитин жеткиликтүү кармаңыз

Кардарга туннелдин алыскы учуна өзү туннелден өтпөгөн маршрут керек. OpenVPN башка эч нерсени өзгөртүүдөн мурун ошол хост маршрутун орнотот, ал эми маршрутту кол менен оңдоо же экинчи VPN кардары аны алып кетиши мүмкүн. Андан кийинки симптом — туташкан деп билдирип, анан эч нерсени өткөрбөгөн туташуу.

Туннел күйүп турганда ядродон акыркы чекиттин дареги үчүн кайсы интерфейсти колдонорун сураңыз. Жооп физикалык интерфейсти жана анын шлюзун аташы керек, эч качан tun0 эмес:

ip route get 198.51.100.20

Эгер бул издөө туннелдин түзмөгүн кайтарса, туннел өз транспортун ташып жүрөт жана кандайдыр бир пакет сыртка чыгышы керек болгондо ойронуп калат. Жергиликтүү префикстер, экинчи адаптер жана саясат негизиндеги маршруттоо бул жерде дагы эле маанилүү, ошондуктан таза ноутбукта иштеген кайра багыттоо башкаруу интерфейси жана эки демейкиси бар хостодо ишсиз болушу мүмкүн. Адатта профилди дарек планы кылган нерсе үчүн күнөөлөшөт.

IPv6 трафиги өз таблицасын колдонууну улантат

IPv4-тү кайра багыттоо IPv6-ны тынч калтырат, ал эми эки үй-бүлөнү ар башка флагдар өзгөртөт. Иштеген v6 демейкиси бар кош стектүү хостодо v4 трафиги туннелдин ичинде толук отура алат, ал эми v6-га жөндөмдүү ар бир багыт физикалык байланыш аркылуу сыртка чыгат. Бир таблицада туура көрүнгөн хост экинчисинде агат.

Туташкандан кийин v6 таблицасын туннел жапты деп болжолдоонун ордуна текшериңиз. Директива дарек үй-бүлөсүнүн флагдарын так ушул себептен алып жүрөт, ал эми аларды өткөрүп жиберген профиль платформанын демейки жасаганын мураска алат:

ip -6 route show default
ip -6 route get 2001:db8::10

Колдонмо кайсы интерфейсти колдонорун далилдеңиз

Туташкан абал — бул блок эмес, ал эми маршруттун өзгөрүшү — авариялык өчүргүч эмес. Эгер туннел ишсиз болгондо түз трафик токтошу керек болсо, бул саясат файрволдо жашайт жана өзүнүн сынагы керек.

Профиль сүрөттөгөн жолду эмес, колдонмо чындап баскан жолду сынаңыз. Адегенде маршрутту сураңыз, анан кезек менен ар бир интерфейске сурамды байлап, алыскы тарап эмне билдиргенин салыштырыңыз:

ip route get 203.0.113.10
curl -s --interface tun0 https://ifconfig.me
curl -s --interface eth0 https://ifconfig.me

Эгер эки сурам тең бирдей даректи кайтарса, маршруттоо таблицасы керек десе да, колдонмо туннелди колдонбойт. Эгер туннелге байланган сурам гана ийгиликтүү болсо, физикалык жол ошол багыт үчүн чыпкаланган жана туннел сиз сураганды кылат. Флагдарды, орнотулган маршруттарды, акыркы чекиттин издөөсүн жана эки чыгуу натыйжасын өзгөрүүлөр журналына жазыңыз, кийинки адам скриншот эмес, фактыларды мураска алсын.