OpenVPN кардарларын Cloudflare аркылуу багыттоо? Адегенде ролду текшериңиз
Түзүлүш кардары маршрутизатор эмес. Cloudflare ролу башка хосттордун пакеттерин өткөрөрүн тастыктап, сервердин өз туннелин эски жолунда калтырыңыз.
Сизде иштеп турган OpenVPN сервери жана Cloudflare'дин түзүлүш программасын да иштетүүчү хост бар, ал эми кийинки ачык кадам кардарлардын трафигин ошол жакка багыттоо болуп көрүнөт. Бир машинадагы эки иштеп турган туташуу транзиттик шлюзду түзбөйт. Жетишпегени — башкага таандык пакеттерди өткөрүү үчүн документтелген роль жана ошол пакеттер келгенде аларды классификациялоочу саясат.
Ар кандай эрежеден мурун төрт суроо турат: кандай трафик кирет, ал кийин кайда барат, жооптор кайтуу жолун кантип табат жана ошол экинчи жол иштен чыкканда дизайн эмне кылат. Алгачкы экөө мүмкүнчүлүк жөнүндөгү суроолор.
Бир хосттогу эки кызмат транзиттик жол эмес
Түзүлүш кардары өзү иштеп жаткан машинада пайда болгон трафикти иштетүү үчүн курулган. Ал аттарды чечүүнү же тандалган колдонмо трафигин кармап, өз туннели аркылуу жөнөтөт, ал эми анын саясаты ошол түзүлүштүн колдонуучусу жана ошол түзүлүштүн процесстери үчүн жазылган. OpenVPN кардарынан өткөрүлгөн пакет жергиликтүү чыгуу эмес, ошондуктан ошол эле эрежелер аны классификациялабайт. Бул кененирээк эреже менен жабыла турган конфигурация деталы эмес, анткени ал программа пакетти такыр көрөбү-көрбөйбү аныктайт.
Ошондуктан дизайн суроосу мүмкүнчүлүк суроосу. Же орнотулган продуктта башка тармактар үчүн трафикти өткөрүүчү документтелген роль бар, же транзит функциясы такыр башка жерге таандык.
Cloudflare'дин кайсы ролуна өткөрүүгө уруксат
Cloudflare'дин түзүлүш кардары көлөмү ар башка режимдерди сунуштайт: аттарды чечүү гана, түзүлүштөн трафик жана кээде экөө тең. Бул режимдердин эч бири хостту башка туннель аркылуу келген жеке диапазон үчүн маршрутизаторго айландырбайт. Атайын маршруттоо ролу — өз коннектору, каттоосу жана тармактык модели бар өзүнчө продукт.
| Question | What has to answer it |
|---|---|
| Does the installed product forward packets from other hosts? | A documented routing or connector role, not a device mode |
| Which prefixes does the connector advertise? | Its own configuration and status output |
| Does the server's own transport still take the old path? | ip route get for the endpoint, before and after |
| Do replies return through the same path? | Connection tracking counters on the forward rule |
Анын айланасында маршруттарды долбоорлоодон мурун орнотулган ролду текшериңиз. Коннектор кайсы интерфейсти түзөрүн, ал конкреттүү префикстерди же демейки маршрутту жарыялайбы, жана жергиликтүү саясат жергиликтүү пакеттерге гана эмес, өткөрүлгөн пакеттерге да колдонулабы — окуңуз. Эгер тек жергиликтүү трафик иштетилсе, котормо эрежеси кандай жазылбасын, OpenVPN сервери транзиттик чекит боло албайт.
Так ушул жерде коомдук чыгуу талабын так айтуу керек. Өткөрүлгөн кардар трафиги үчүн Cloudflare берген чыгуу — конкреттүү колдонуу учуру жана аны иш жүзүндөгү кызматыңызга салыштырып тастыктоо керек.
Сырткы туннелди жаңы маршруттан көз карандысыз кармаңыз
Жаңы интерфейске демейки маршрутту кошкон учурда сервердин өз чыгуучу трафиги ага атаандаша баштайт, ага OpenVPN кардарларына жооптор жана машинага SSH сессияңыз кирет. Адаттагы симптом — орнотулуп, анан өлгөн туннель же өзгөртүү иштегендей көрүнгөндө сыртта кулпуланып калган администратор. Акыркы чекит үчүн ip route getти мурун жана кийин салыштырыңыз, ал эми сервердин өз транспортун мурунку ордунда кармоо үчүн саясатка негизделген маршруттоону же хост маршрутун колдонуңуз. Бул салыштырууну машинанын өзүнөн жүргүзүңүз, анткени сервердин өз маршрутуна болгон көз карашы маанилүү.
Сервердин коомдук дареги үчүн өзгөчөлүк өз алдынча жетишсиз, анткени ар бир алыскы администратордун кайтуу жолу өзүнчө агым. Ошол агымдардын кайсынысы өзгөртүүгө туруштук бериши керектигин чечиңиз, анан биринчиси калганын жабат деп божомолдоонун ордуна ар бирин текшериңиз.
Өткөрүү жана которууну бир агым менен чектеңиз
Кабыл алынган пакеттер жергиликтүү чыгуу жолу менен эмес, өткөрүү жолу менен жүрөт, ошондуктан маанилүү эреже forward илгичинде жашайт. Кийинки интерфейске которуу керек болсо, булакты кардарлар пулу менен, багытты уруксат берилген менен жана чыгууну ошол бир интерфейс менен чектеңиз. Тек интерфейске байланган masquerade эрежеси өзү маршрут тандабайт жана башка кандайдыр бир фильтрден өтүп өткөрүүгө уруксат бербейт.
Ийгиликсиздикте жабылуу жүрүм-турумун алдын ала чечиңиз, анан аны сынаңыз. Кийинки жолду токтотуп, кардарлар кадимки жогорку каналга үнсүз кайтпастан, көздөлгөн чыгуудан ажырашарын тастыктаңыз, анткени бул трафик туура эмес эшиктен чыкмайынча эч ким байкабаган натыйжа. Аттарды чечүү жана IPv6 үчүн текшерүүнү кайталаңыз, анткени тек v4 үчүн эрежелер топтому v6 жолун ачык калтырат.
Токтогон төрт жообуңузду жана ар бирин далилдеген байкоону жазып коюңуз. Сүрөттөй алган транзиттик жол — кийинки окуяны кароодо коргой алган жол.