Бир IPv4 багытын OpenVPN туннелинен сыртка жөнөтүү

Толук туннель конфигурацияларынын көбү ар бир пакетти VPN аркылуу жөнөтөт, жана redirect-gateway ушуну мүмкүн кылган директива. Бир гана багытты баары бир өзгөчөлөп коюуга болот. Ошол дарек үчүн net_gateway ордун толтургучу менен хост маршрутун кошуу кардарга ага машинанын баштапкы шлюзу аркылуу жетүүнү айтат, ал эми калгандын баары туннелди колдонууну улантат.

Сап зыянсыз көрүнөт жана көбүнчө ошондой, бирок ал бир гана суроону чечет: так ошол IPv4 дареги үчүн пакеттер кайда барат. Ал DNS, IPv6, брандмауэр саясатын же кайсы процесс байланышты ачканын өзгөртпөйт, жана алардын ар бири өзгөчөлүктү үнсүз жок кылышы мүмкүн.

net_gateway чындыгында эмнени атайт

Ошол өзгөчөлүк үчүн профиль жазуусу бир сап: route 198.51.100.77 255.255.255.255 net_gateway. Биринчи дарек багыт үчүн документтик ордун толтургуч, маска аны бир хосттун маршрутуна айландырат, ал эми акыркы токен шлюздун ордун толтургучун атайт. OpenVPN маршруттарды орнотууда шлюз ордун толтургучтарын чечет. vpn_gateway туннелдин өз шлюзун, башкача айтканда VPN байланышынын алыс жагын билдирет. net_gateway VPN бир нерсени өзгөрткөнгө чейин хосттогу демейки шлюзду билдирет, ал адатта физикалык тармактагы жергиликтүү маршрутизатор.

Үчүнчү ордун толтургуч, remote_host, VPN серверинин дарегине шилтеме кылат, жана туннел серверге физикалык жол менен жетиши үчүн бар. Бул үчөөнү алмаштыруу — өзгөчөлүктүн туура эмес жерге кетишинин же такыр орнотулбашынын эң көп тараган себеби.

Маани байланыш учурунда окулат, файлга жазылбайт. Эгер машина башка тармакка өтсө, VPNге чейинки шлюз өзгөрөт жана маршрут жаңысына ээрчийт. Бул адатта каалаган нерсеңиз, бирок өзгөчөлүктүн жүрүм-туруму кардар баштаган тармакка көз каранды экенин да билдирет.

Эмне үчүн хост маршруту туннелдин демейки маршрутунан басымдуу

Маршруттоо эң так дал келген префикс менен аныкталат. redirect-gateway def1 адатта демейки маршрутту алмаштырбайт; ал эки жарымды кошот, дарек мейкиндигинин төмөнкү жарымына маршрут жана жогорку жарымына дагы бири, ошондуктан баштапкы демейки маршрут башка максаттар үчүн сакталат. Бул жарымдар бир даректен кененирээк.

255.255.255.255 маскасы бар бир дарек үчүн маршрут /32 болуп саналат, бул IPv4 жете ала турган эң так деңгээл. Ошол дарек үчүн пакет бааланганда /32 дал келет жана кайсы маршрут биринчи орнотулганына карабастан жеңет. Бул өзгөчөлүктүн артындагы механизм, жана маршрут чын эле бар болсо, Linux, macOS жана Windows системаларында бирдей иштейт.

Windows экинчи өлчөмдү кошот. Эки маршрут бирдей так болгондо, метрикасы төмөнүрөөк жеңет, жана VPN адаптери натыйжаны өзгөрткөн интерфейс метрикасын алып жүрүшү мүмкүн. /32 жарымдардан дагы так, ошондуктан өзгөчөлүк адатта сакталат, бирок мурунку сессиядан калган эски маршрут бирдей так болсо, татаал натыйжа бериши мүмкүн.

Өзгөчөлүк эмнени камтыбайт

DNS — биринчи боштук. Кардар ички чечүүчүнүн жөндөөлөрүн түртүп жибериши мүмкүн, жана операциялык система аларды сурамдар үчүн колдонууну улантат. Байланыштан мурун аталышты чечкен колдонмо түз баары тийиш болгон кызмат үчүн ички даректи, же туура чечилип, бирок кийин кийинки боштукка чалынып калган тышкы даректи алышы мүмкүн.

IPv6 — экинчиси. Маршрут директивасы IPv4 менен гана иштейт. Кош стектүү багыт IPv6ны артык көрүшү мүмкүн, ал саясатка жараша туннелди же хосттун IPv6 демейки маршрутун ээрчийт, ошондуктан IPv4 өзгөчөлүгү эч качан күчүнө кирбейт. Сизге дал келген IPv6 маршруту же ошол кардар үчүн IPv6ны өчүрүү тууралуу аң-сезимдүү чечим керек.

Колдонмо камтымы — үчүнчүсү. Эреже багытка негизделген, ошондуктан ошол дарекке туташкан ар бир процесс түз жолду колдонот, ал сиз ойлогон процесс болобу же жокпу. Тескерисинче, веб-сайт бир нече даректен жооп бере алат, ошондуктан бир /32ни өзгөчөлөп коюу сайтты өзгөчөлөбөйт. Эгер чыныгы талап колдонмо боюнча маршруттоо болсо, Community кардарынын маршрут таблицасы туура эмес курал.

Өзүңүздү алдабай өзгөчөлүктү текшерүү

Браузерден эмес, орнотулган маршруттан баштаңыз. Linuxте ядродон так дарек үчүн кайсы маршрут жана кийинки секирүүнү колдонорун сураңыз; Windowsто ошол /32 үчүн маршрут таблицасын окуңуз. Шлюздун туннел эмес, физикалык экенине ынаныңыз. Эгер жазуу жок болсо, профиль колдонулган эмес же кардардын маршруттарды өзгөртүүгө укугу болгон эмес.

Андан кийин эки багытты сынаңыз. Өзгөчөлөнгөн дарекке сурам физикалык интерфейстен чыгышы керек, ал эми көзөмөл ички дарегине сурам дагы эле туннелди колдонушу керек. Өзгөчөлөнгөн даректи гана сыноо туннелдин калган бөлүгү жөнүндө эч нерсени далилдебейт, ал эми коомдук веб-сайтты сыноо ошол сайт чечилген даректи сынайт, ал эрежедеги дарек болбошу мүмкүн.

Акырында, маршруттан ашып түшүшү мүмкүн болгон көзөмөл каражаттарын текшериңиз. Кардар тараптагы kill switch же Windowsтун block-outside-dns жөндөөсү түз трафикти тыюуга мүмкүн, бул маршрут туура болсо да ийгиликсиз болгон байланыш катары көрүнөт. Өзгөчөлүк иштеп жаткандай көрүнүшү үчүн бул көзөмөлдөрдү өчүрбөңүз; эгер саясат түз жолду тыюу салса, өзгөчөлүк VPN кызматынын ээси үчүн долбоор маселеси.

Кайра туташкандан же тармак алмашкандан кийин кайра текшериңиз, анткени VPNге чейинки шлюз жана жеткиликтүү жол — учурдун касиеттери, профилдин эмес.