route-gateway redirect-gateway эмес: чындыгында эмне өзгөрөт
Бул параметр OpenVPN орноткон маршруттарга гана кийинки секирүүнү берет. Аны өчүрүү түртүлгөн толук туннелди өчүрбөйт, ал эми оңдоо кайра багыттоого таандык.
Туннелиңиз көтөрүлөт, жеке ички тармак жооп берет, бирок кимдир бирөө профилден шлюз сабын өчүргөнүнө карабастан кадимки серептөө дагы эле VPN ичинде жоголот. Бул айкалыш туура эмес директиваны оңдогондун изи. Өчүрүлгөн нерсе кардарга өзү орноткон маршруттар үчүн кийинки секирүүнү берип турган; ал эми трафикти кармоону уланткан нерсе башка жерден келип, сервер түртүп жиберген. Камтуу жана кийинки секирүү өзүнчө иштер, жана алардын бирөө гана коомдук багыттар туннелди колдоноорун чечет.
Сиз өчүргөн сап кийинки секирүү эле, саясат которгучу эмес
Кардар орноткон ар бир маршрутка көрсөтүү үчүн шлюз дареги керек, ал эми маршрут өзү эч кандай даректи атабаса, шлюз директивасы ошол даректин булагы болот. Аны өчүрсөңүз, ал маршруттардын илинип турар жери болбойт, ошондуктан алар же орнотулбайт, же эч жакка алып барбаган жолго түшөт. Жеке ички тармак дал ушундай маршрут ташыган нерсе эле.
Ошол эле учурда аман калган жүрүм-турумдун автору башка: түртүлгөн блоктогу кайра багыттоо параметри, ал өз желектерине ылайык кадимки чыгуучу трафикти туннелге жылдырат. Шлюзду өчүрүү аны өчүрбөйт жана алсыратпайт. Натыйжа эки абалдын эң начары: коомдук трафик дагы эле кармалып, туннелди актаган жеке багыт эми жеткиликсиз. Ошондуктан ошол эле рухта жасалган экинчи оңдоо да эч нерсени өзгөртпөйт.
Төрт тутка, төрт башка иш
Бул талкууда төрт директива бири-биринин ордуна келтирилет, жана алардын бирөө гана камтууну башкарат, башкача айтканда кайсы багыттар туннелден өтөөрүн аныктайт. Экинчиси маршруттар колдонгон кийинки секирүүнү белгилейт, үчүнчүсү бир префиксти орнотот, ал эми төртүнчүсү сервер түртүп жибергендин баарын, анын ичинде жайылтууга керектүү жеке маршруттарды да ыргытып таштайт. Таблица аларды аты боюнча эмес, администратор эмнени өзгөрткүсү келгени боюнча иреттейт, анткени чаташтырууну пайда кылган дал аттар. Аларды төрт өзүнчө чечим катары карап, чындап кайтаргыңыз келгенин тандаңыз.
Иш жүзүндө төртөө тең көбүнчө бир түртүлгөн блокто, сап сайын келишет, бул аларды бир жөндөөнүн бөлүктөрүндөй көрсөтөт. Андай эмес, жана OpenVPN маалымдамасы дал ошол себептен аларды өзүнчө механизмдер деп жазат. Кайсы чечимди кайтарып жатканыңызды аныктоо — иш, ал эми оңдоо — бир сап.
| What you are trying to change | Directive that decides it | What it leaves alone |
|---|---|---|
| Which destinations use the tunnel | redirect-gateway | Per-prefix routes and resolver choice |
| The next hop a pushed route points at | route-gateway | Coverage of public destinations |
| One reachable prefix | route | Every other destination, default path included |
| All pushed routing and DNS at once | route-nopull | Nothing, which is the problem |
Түртүлгөн сапты чыпкалаңыз, кийинки секирүүнү сактаңыз
Эгер каршы чыккан камтуу түртүлгөн параметр катары келсе, тар жооп — ошол параметрди аты боюнча этибарга албай, түртүлгөн блоктун калганын тийбеген бойдон калтыруу. Чыпка катары жазылса, ал төмөнкү сапка окшошот жана орду таасир тарткан кардардын профилинде, сервердин конфигурациясында эмес.
pull-filter ignore "redirect-gateway"Тардык — маселенин маңызы. Чыпка тексттик префиксти салыштыргандыктан, кыскараак үлгү кийинки секирүү директивасына да туура келет, бул жеке маршруттар көз каранды болгон маалыматты дал ошол жол менен сыйрып, баштапкы катаны жаңы кийим менен кайталайт. Чыпка түртүлгөн параметрлерге гана таасир этет, ошондуктан жергиликтүү жазылган же тармак менеджери таңуулаган барабар сапты эч качан кармабайт. Андан кийин кайра туташыңыз, анткени тирүү сессия сервер түртүп жибергенди кайра баалабайт.
Таблицаны эмес, издөөнү окуңуз
Профилди кайра жүктөгөндөн кийин ядродон эки багыттын чындыгында кайда бараарын сураңыз: бири жеке префикстин ичинде, экинчиси коомдук интернетте. Негизги таблицанын толук чыгарылымын окуу кыйыныраак жана туура эмес окуу жеңилирээк, анткени маршрут бар болуп, баары бир такыраак дал келүүгө утулушу мүмкүн. Саясатка негизделген маршруттоодо эреже, таблица жана булак дареги да текшерүүгө кирет.
ip route get 10.40.7.25
ip route get 203.0.113.77
ip rule showdef1 вариантын билүү керек, анткени ал эски демейки жазууну көрүнүп турар кылып калтырат, ал эми жарым демейкилердин жупташуусу издөөнү утат. Ошондуктан чыгарылыштагы 0.0.0.0/0 сабы өзү эч нерсени далилдебейт. Издөө тизме жооп бергендей гана көрүнгөн суроого жооп берет.
DNS, IPv6 жана жеке маршрут дагы эле иштеши керек
Бир IPv4 кайра багыттоодон баш тартуу чечүүчү тууралуу эч нерсе айтпайт, ошондуктан түртүлгөн DNS параметри маршруттар туура көрүнүп турганда да суроолорду туннелге жиберүүнү уланта алат. IPv6 демейкиси IPv4 текшерүүсү тийбеген даректер үй-бүлөсү үчүн да ушундай кыла алат. Экөө тең божомолдун ордуна так чечимди талап кылат. Андан кийин жеке кызмат дагы эле жооп берерин ырастаңыз, анткени жеке маршрутунан ажыраган бөлүнгөн туннел бөлүнгөн туннел эмес, ал сынган.
Бир кененирээк курал эскертүүгө татыктуу: route-nopull ар бир түртүлгөн маршрутту жана ар бир түртүлгөн DNS параметрин ыргытат, бул толук туннелди сөзсүз токтотуп, жайылтуу көз каранды болгон жеке маршруттарды да сөзсүз бузат, ошондуктан бул бир параметрге багытталган ат чыпкасынан алда канча чоң балка. Ар кандай өзгөртүүдөн кийин жеке багытты, коомдук багытты жана чечүүчүнү текшерип, бүткөн кол алышууну кол алышуудан башка эч нерсенин далили деп эсептеңиз.