VPN кардарын SSH аркылуу иштетип жатасызбы? Адегенде өз маршрутуңузду бекитиңиз
Толук туннелдүү кардар SSH жообуңузду ташыган таблицаны кайра жазат. Эски шлюз аркылуу бир хост маршрутун бекитиңиз же кардарды өз аталыш мейкиндигинде иштетиңиз.
Сиз SSH аркылуу куруу хостуна киресиз, анда VPN кардарын иштетесиз, жана сессия жооп берүүнү токтотот. Эч нерсе кулаган жок, жана ачык мааниде эч нерсе туура эмес конфигурациялангандай көрүнбөйт. Кардар демейки маршрутту орнотту, ошондуктан жумуш станцияңызга жооптор эми туннелден чыгат, ал жерде жумуш станцияңыздын дареги маршрутталбайт. Кызыктуу жагы – бул натыйжа алдын ала болжолдонгон, ал эми оңдоо кардар башталганга чейин жазылган бир маршрут. Бир тармактык адаптерүү сервер, 192.0.2.254 шлюзу жана 203.0.113.9 дарегинен туташкан администратор деп эсептейли.
Баштоодон мурун жолду жазып алыңыз
ip route show default учурдагы шлюзду жана интерфейсти атайт, ал эми ip route get 203.0.113.9 ядро сиздин сессияңыз үчүн кайсы интерфейс менен булак дарегин колдоноорун көрсөтөт. Эки чыгышты тең сактап коюңуз. Туннел көтөрүлгөндөн кийин бул эки команда дагы эле физикалык жолду сүрөттөшү керек, ал эми эгер алар анын ордуна туннелди сүрөттөсө, сессия мурунтан эле карызга алынган убакытта жашайт.
Маанилүүсү – мурунтан түзүлгөн байланыш, ошондуктан жаңы кирүү менен гана текшербеңиз. Жаңы сессия эскисинде эми жок болгон абалдын аркасында кыска убакытка ийгиликтүү болушу мүмкүн.
Даректи кардардын өз конфигурациясында бекитиңиз
Кол менен кошулган маршрут кайра жүктөөдө жоголот жана кардардын өз таблица жаңыртуулары менен жарышат, ошондуктан өзгөчөлүктү таблица башкарылган жерге коюңуз. OpenVPN ичинде net_gateway ачкыч сөзү туннелге чейин болгон шлюзга чечилет, ошондуктан route 203.0.113.9 255.255.255.255 net_gateway анын сыртында так бир даректи кармайт. WireGuard башка ыкманы талап кылат, себеби wg-quick маршруттарды өзү башкарат: Table = off параметрин коюп, өзгөчөлүктү PostUp ичине кошуңуз, аны алып салуучу тиешелүү PostDown менен бирге. Эки форма тең бир ниетти билдирет жана экөө тең өзгөчөлүктү баары үчүн туннелди алсыратуунун ордуна бир дарек менен чектейт.
IPv6 үчүн ошол эле идея бир хосттун префиксин алат, жана оролгон ташуу учурун эстеп калуу керек: эгер туннелдин өзүнүн тышкы байланышы туруктуу даректе жашаса, ал дарек өзү ташыган туннелден тышкары калышы керек, болбосо кардар өз ташуусун өзүнүн ичине маршруттайт.
Же негизги таблицаны теңдемеден чыгарыңыз
Хосттогу бир нече кызмат кадимки жолун сакташы керек болсо, негизги таблицаны оңдоону токтотуп, кардарга өзүнүкүн бериңиз. veth жуптуу тармактык аталыш мейкиндиги муну таза жасайт: кардардын демейки маршруту башка стекте жашайт жана туннелди анын ичинде башталган процесстер гана колдонот. Саясий маршруттоо бир багыт үчүн ушуга окшош жерге жетет, дал келген трафикти демейкиси дагы эле физикалык шлюзга көрсөтүүчү атайын таблицага жөнөтүү менен. Эки ыкманын кайсынысы болбосун хосттун негизги таблицасын жаңы демейки маршрутсуз калтырат, жана дал ушул касиет SSHти жооп берүүчү абалда кармайт.
Экөө тең бир хост маршрутунан көбүрөөк механизм жана машинадагы бирден ашык нерсе туннелден аман өтүшү керек болгондо экөө тең татыктуу.
Бекитүү ийгиликсиз болушу мүмкүн деп эсептеңиз
Учурдагы жарыя дарегиңизге байланган маршрут провайдериңиз аны кайра дайындаган учурда үзүлөт. Ошондо алыскы серверге ушул дарекке көз каранды эмес жол керек: консоль, экинчи башкаруу интерфейси же туннелден тышкары калган секирүү хосту.
Эки коргоо чарасы он мүнөткө турат. Бир нече мүнөттүн ичинде ырастоо кирүүсү пайда болбосо кардарды токтотуучу күзөтчү кулпулоону кечиктирүүгө айландырат, ал эми өзгөрүү учурунда ачык кармалган экинчи SSH сессиясы туннел көтөрүлгөндө өзгөчөлүктүн иштешин далилдейт. Жалгыз keepalive билдирүүлөрү бул жерде жардам бербейт, анткени жол бош эмес, кетип калган; алар өлүмдү байкоону жеңилдетет гана.
Мааниси бар тартипте текшериңиз
Туннелди туташтырыңыз, дарегиңизге барган маршрут дагы эле физикалык шлюз аркылуу чыгарын ырастаңыз, анан жаңы сессия ачыңыз. Эгер жаңы сессия иштеп, эскиси баары бир өлсө, себеби маршруттоо эмес, байланыштарды көзөмөлдөө же абалдуу firewall, бул башка оңдоо.
Бекитилген даректи жана аны далилдеген команданы өзгөрүүлөр журналына жазыңыз. Ошол хостто кардарды кийинки иштетүүчү адамга экөө тең керек болот, ал эми дарек ошого чейин өзгөргөн болушу мүмкүн.